An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering

Ogni giorno, le persone compiono scelte su cosa cliccare, cosa aprire e di cosa fidarsi. Nel mondo della cybersicurezza, queste scelte rappresentano la prima linea di difesa. Gli attaccanti non hanno sempre bisogno di sfondare complessi codici informatici; spesso, devono semplicemente ingannare una persona per farle consegnare una password o scaricare un virus. Questo metodo di manipolazione è chiamato ingegneria sociale. Esso si basa sullo sfruttamento del modo in cui funziona la mente umana, utilizzando specifici trigger psicologici per aggirare la cautela. Alcuni di questi trigger sono emozioni familiari come la paura o la promessa di una ricompensa, mentre altri sono abitudini sociali come obbedire a un capo o fidarsi di un marchio ben noto. Comprendere quale trigger emotivo funzioni meglio con quale tipo di messaggio è fondamentale, perché aiuta le organizzazioni a insegnare ai propri dipendenti come individuare la trappola prima che scatti.

Un team di ricercatori in Germania si è posto l'obiettivo di mappare queste trappole. Volevano sapere se determinati trigger emotivi funzionassero meglio con specifici tipi di messaggi. Ad esempio, la promessa di denaro gratuito funziona meglio in un messaggio di testo o in un'e-mail? La paura di un conto bancario congelato funziona meglio tramite una telefonata o in una finestra pop-up? Per trovare le risposte, i ricercatori hanno condotto un esperimento controllato in un laboratorio. Hanno riunito dodici volontari e mostrato loro una serie di attacchi simulati. Ogni partecipante ha visto venticinque scenari diversi. Questi scenari sono stati creati mescolando cinque diversi tipi di messaggi con cinque diversi trigger psicologici. I tipi di messaggi includevano e-mail standard, e-mail mirate che sembravano provenire da una persona specifica, messaggi di testo, chiamate vocali e finestre pop-up che appaiono su uno schermo. I trigger psicologici erano la curiosità, l'avidità, la fiducia, la paura e il senso di obbedienza a una figura di autorità.

I ricercatori non hanno chiesto ai volontari di cliccare effettivamente su link o di fornire informazioni reali. Invece, hanno mostrato loro immagini dei messaggi o riprodotto registrazioni delle chiamate e hanno posto una domanda semplice: risponderesti a questo? I volontari hanno anche spiegato il loro pensiero ad alta voce mentre osservavano gli scenari. Ciò ha permesso ai ricercatori di vedere non solo cosa facessero le persone, ma anche perché compivano quelle scelte. Lo studio era piccolo e si è svolto in una stanza silenziosa, quindi i risultati sono una prima visione di come questi fattori interagiscano piuttosto che una regola definitiva per tutto il mondo.

I risultati hanno rivelato un modello chiaro nel modo in cui le persone reagiscono. La combinazione più efficace per ingannare i volontari è stata un'e-mail mirata che prometteva un premio finanziario. Quando un'e-mail sembrava provenire da una persona specifica e offriva un affare, tre volontari su quattro hanno dichiarato che avrebbero risposto. Ciò suggerisce che la combinazione di attenzione personale e la promessa di denaro sia un richiamo potente. Il secondo metodo più efficace è stato un'e-mail standard che prometteva un premio o chiedeva al destinatario di fidarsi del mittente, come un messaggio che dichiarava di provenire da un servizio di streaming. In questi casi, più della metà dei volontari ha dichiarato che avrebbe interagito con il messaggio.

Tuttavia, non tutte le combinazioni hanno funzionato. I ricercatori hanno scoperto che alcuni metodi fallivano quasi completamente. Quando gli attaccanti cercavano di usare l'autorità di un capo per esigere un'azione urgente, ciò raramente funzionava, specialmente se il messaggio arrivava tramite una telefonata, un messaggio di testo o una finestra pop-up. Infatti, quando una chiamata vocale cercava di usare la curiosità per spingere una persona ad ascoltare, falliva completamente; nessuno dei volontari ha dichiarato di rispondere a quello specifico scenario. I volontari hanno spiegato che consideravano questi canali inappropriati per il tipo di richiesta. Ad esempio, ritenevano che un capo non avrebbe chiamato per chiedere il download di un file, o che un'azienda non avrebbe inviato un messaggio di testo riguardo a una cartella condivisa.

Lo studio ha anche mostrato che il tipo di emozione contava. La paura è stata un forte motivatore, ma ha avuto un doppio taglio. Quando un messaggio affermava che un conto bancario era stato congelato, molte persone sentivano l'impulso di risolvere il problema, ma un gruppo ancora più numeroso si sentiva sospettoso e rifiutava di cliccare perché preoccupato per la sicurezza. L'avidità, d'altro canto, è stata un motore più diretto. Quando un messaggio offriva uno sconto o un affare, le persone erano più propense ad agire, a patto che il messaggio sembrasse legittimo. Anche la fiducia ha giocato un ruolo importante; quando un messaggio sembrava provenire da un'azienda familiare come un servizio di streaming, le persone erano disposte a cliccare, ma solo se il messaggio arrivava in un formato che si aspettavano, come un'e-mail.

Interessante è che i ricercatori hanno scoperto che la fiducia di una persona nella propria sicurezza digitale non corrispondeva sempre al suo comportamento. Alcuni volontari che dichiaravano di essere molto sicuri nella gestione dei rischi digitali cadevano comunque nelle trappole, mentre altri che si dichiaravano insicuri erano in realtà più cauti. Ciò suggerisce che sentirsi sicuri non significa sempre essere sicuri. Lo studio ha anche evidenziato che le chiamate vocali e i messaggi di testo erano generalmente meno efficaci delle e-mail. I volontari erano naturalmente più sospettosi verso le telefonate e i messaggi di testo, citando spesso che questi canali sembravano inadeguati per il tipo di richiesta effettuata.

In conclusione, la ricerca dipinge un quadro di vulnerabilità umana che è specifico e situazionale. Non si tratta solo di essere ingenui; si tratta del contesto. Un messaggio che funziona in un formato potrebbe fallire in un altro, e la promessa di denaro funziona meglio di un comando da parte di un capo. Gli attacchi più efficaci sono stati quelli che hanno combinato un formato familiare e fidato con un forte gancio emotivo. Sebbene lo studio fosse piccolo, fornisce una mappa chiara di quali trigger psicologici siano più pericolosi in quali ambienti digitali, offrendo una guida su come costruire migliori difese e formazione sulla consapevolezza per il futuro.