Si chiama Baiting, ossia “adescamento”, l’ultima tecnica usata dai cyber-criminali per frodare le persone. Si tratta di una modalità di social engeneering che sfrutta la curiosità degli individui e permette ad hacker professionisti di accedere ad un computer e di conseguenza all’intera rete aziendale.

La tecnica consiste nel lasciare incustodito un dispositivo di storage, una chiavetta USB ad esempio, con all’interno un malware, appositamente “dimenticata” in una posizione strategica nell’azienda, in modo da essere notata da un dipendente che spinto dalla curiosità la collegherà ad un PC per controllarne il contenuto.

A quel punto il malware andrà in esecuzione automatica, permettendo così al cyber-criminale di avere libero accesso alla rete privata aziendale.

La curiosità è un istinto innato, radicato nella natura umana, un impulso difficile da controllare per molti, ed essendo questo aspetto psicologico al centro degli attacchi di Baiting, fa di questo una delle minacce più infide e pericolose.

Un recente studio condotto dal Dipartimento di Sicurezza degli Stati Uniti ha evidenziato come il 90% delle persone collegherebbe un USB sconosciuta al proprio computer. Dunque, a un cyber-criminale basterebbe lasciare incustodita una chiavetta USB con impresso sopra il logo dell’azienda, o con una dicitura come “stipendi dipendenti” o “licenziamenti 2020”, per spingere un dipendente ad introdurre il dispositivo nel proprio computer aziendale così da dare inizio all’attacco di Baiting.

Negli ultimi anni è aumentato notevolmente il numero di attacchi provenienti direttamente dall’interno delle aziende. Rispetto ad una minaccia proveniente dall’esterno, un attacco intestino ha probabilità più alte di successo, in quanto il cyber-criminale avendo familiarità con l’ambiente e con le persone che lo compongono, avrà modo di scegliere ed adescare la sua vittima facendo leva sulla psicologia e l’emotività di quest’ultima in modo da riuscire a stimolarne facilmente la curiosità.

Alcune misure di sicurezza tecnica possono essere attuate per prevenire un possibile attacco, come software che consentano di monitorare le connessioni USB, ma sono davvero pochi.

Misure effettivamente efficaci sono quelle relative alla formazione del personale stesso, supportata da una policy specifica. Rendere consapevoli i dipendenti delle minacce, farli sentire parte attiva della difesa della propria azienda, risulta fondamentale poiché in questo modo si può creare responsabilizzazione, rendendo il personale consapevole di come le loro scelte e azioni possano compromettere gravemente la sicurezza di tutto l’apparato aziendale.

Fonte: https://securitytrails.com/blog/social-engineering-attacks