Badge, visitatori e porte tagliafuoco

Un'intrusione basata sull'ingegneria sociale poggia sulla credibilità. La CISA spiega che, se l'attaccante non ottiene abbastanza informazioni da una persona, può contattarne un'altra nella stessa organizzazione e basarsi su ciò che la prima ha detto per apparire più affidabile¹. Un dipendente che conferma «sì, è atteso» senza aver verificato fa così da garante dello sconosciuto per tutto ciò che segue.

La CISA ricorda che ogni membro della comunità, colleghi compresi, è «the first line of defense» per la sicurezza⁵. Il NIST inserisce la protezione fisica e ambientale tra le famiglie di controlli del suo catalogo SP 800-53, accanto alla sensibilizzazione e alla formazione⁶. In altre parole, porte, badge e formazione delle persone fanno parte dello stesso dispositivo di sicurezza delle password.

Le azioni qui sotto sono pratiche di prudenza. Solo la verifica dell'identità presso l'organizzazione interessata è sostenuta dalle fonti citate qui¹.

• Accolga il visitatore alla reception, non in un corridoio, e lo accompagni dall'inizio alla fine della visita, fino all'uscita.
• Verifichi la sua identità e il suo badge con la persona che lo attende, usando un numero che già conosce, non quello che il visitatore Le fornisce.
• Non tenga la porta a una persona che non conosce, anche se è carica di scatoloni. Si offra di accompagnarla alla reception.
• Non presti mai il Suo badge e non lasci che un collega o un fornitore lo usi al Suo posto.
• Segnali subito un badge smarrito o dimenticato, senza aspettare il giorno dopo.
• Non blocchi mai una porta tagliafuoco in posizione aperta e non la sblocchi mai per comodità. Se è d'intralcio, lo segnali alla vigilanza.
• Se uno sconosciuto si muove da solo, chieda con cortesia chi sta cercando, poi lo accompagni alla reception o avvisi la vigilanza.

Tre leve ricorrono nei racconti di ingegneria sociale. Le fonti citate qui documentano le prime due per canali diversi dalla porta d'ingresso, ma valgono anche alla reception.

• L'urgenza simulata. MITRE rileva l'invio di più messaggi dall'aspetto urgente per spingere il bersaglio a rispondere⁴. All'ingresso diventa un «sono in ritardo, la squadra mi aspetta».
• La falsa legittimità. La CISA osserva che l'attaccante può dichiararsi un tecnico di riparazioni ed esibire documenti di identificazione a sostegno¹. Una divisa e un badge non provano nulla finché la persona attesa non ha confermato.
• La cortesia. Non è menzionata nelle fonti citate qui. Eppure spinge a lasciar passare qualcuno per non offenderlo. Rifiutare con garbo non è una colpa.

Un'altra trappola riguarda ciò che non si vede: un piccolo dispositivo posato sotto una scrivania o collegato a una presa di rete. MITRE cita tra le capacità di questo hardware l'ascolto passivo della rete, la modifica del traffico, l'iniezione di tasti e l'aggiunta di punti di accesso wireless³. Un dispositivo sconosciuto o un cavo che non dovrebbe esserci si segnala, non lo si scollega da sé.

DarkVishnya, banche attaccate con collegamento diretto

MITRE cita il gruppo DarkVishnya, che ha collegato fisicamente dispositivi (un Bash Bunny, un Raspberry Pi, netbook e portatili economici) nell'ambiente dell'organizzazione presa di mira per accedere alla sua rete locale³. MITRE rimanda a un'analisi datata 6 dicembre 2018, intitolata «DarkVishnya: Banks attacked through direct connection to local network»³. Le fonti citate qui non precisano come i dispositivi siano stati introdotti nei locali.

MITRE precisa inoltre che gli usi documentati pubblicamente da parte di attori malevoli sono rari, mentre molti team di penetration test utilizzano queste aggiunte di hardware come primo accesso³.