Tailgating e piggybacking: entrare senza badge

L'intruso sceglie un pretesto che spieghi la sua presenza. La CISA cita il nuovo dipendente, la persona incaricata di una riparazione e il ricercatore¹. Può anche procedere per tappe: se una persona non fornisce abbastanza informazioni, ne contatta un'altra nella stessa organizzazione e si appoggia a ciò che la prima ha detto per sembrare più credibile¹. Una reception, un addetto alla sicurezza o un collega di passaggio possono così fare, senza saperlo, da garanti per il successivo.

L'obiettivo varia. Può trattarsi di manomettere dell'hardware: MITRE cita strumenti come il Bash Bunny o il Raspberry Pi, e portatili economici, collegati alla rete locale dell'organizzazione dal gruppo DarkVishnya². Può trattarsi di lasciare un supporto rimovibile, un caso illustrato più avanti³.

In questo tipo di scenario non c'è nessuno schermo sospetto: conta la scena stessa. L'illustrazione seguente è inventata e non riprende alcun caso reale.

Illustrazione (scena fittizia, nessun caso reale)
[Una persona sconosciuta, gentile, con le braccia cariche, arriva dietro di Lei
 davanti a una porta con badge e chiede di farla passare.]
[Spiega che è attesa o che ha dimenticato il badge.]

Ciò che il dipendente nota per prima cosa è una normale cortesia. I segnali utili sono altrove: la persona non può provare chi sia, non ha un referente interno da nominare, oppure insiste. La CISA raccomanda di diffidare di visite, telefonate o e-mail non richieste di persone che si interessano ai dipendenti o a informazioni interne, e di verificare l'identità di chi dichiara di appartenere a un'organizzazione rivolgendosi direttamente a quest'ultima¹. In pratica, non ci si affida ai recapiti che la persona fornisce da sé.

Il primo riflesso è rifiutare con cortesia, poi indirizzare la persona alla reception. L'NCSC raccomanda di verificare le richieste importanti ricevute per e-mail attraverso un secondo mezzo di comunicazione, compresa una conferma di persona⁵. Trasposta alla porta, questa logica dà il seguente risultato: una persona che dice di essere attesa può essere annunciata dal suo referente interno.

Poi bisogna segnalare. L'NCSC descrive una cultura in cui gli utenti segnalano i tentativi, anche quelli a cui hanno ceduto, il che informa l'organizzazione sugli attacchi in corso⁵. La CISA chiede di avvisare le persone competenti dell'organizzazione, tra cui gli amministratori di rete, se si pensa di aver rivelato informazioni sensibili, in modo che sorveglino qualsiasi attività insolita¹.

Il controllo degli accessi poggia su più livelli: vestibolo, badge, reception. Ciascuno può essere aggirato se una persona autorizzata apre il passaggio. Le fonti citate qui non dettagliano questi meccanismi. Indicano invece le difese che contano quando un intruso è già entro le mura.

MITRE raccomanda regole di controllo degli accessi alla rete, come i certificati dei dispositivi e lo standard 802.1x, e di limitare il DHCP ai dispositivi registrati, per impedire a un dispositivo sconosciuto di dialogare con sistemi attendibili². Raccomanda anche di bloccare i dispositivi e gli accessori sconosciuti con la configurazione delle postazioni e un agente di monitoraggio².

Per i supporti rimovibili, MITRE spiega che un telefono collegato via USB, anche tramite alcuni cavi di ricarica, può infettare un computer, soprattutto se la funzione Autorun è attiva³. Consiglia di limitare l'uso di periferiche USB e supporti rimovibili in una rete³.

Scattered Spider, avviso congiunto del 16 novembre 2023, aggiornato il 29 luglio 2025

Questo avviso è stato pubblicato dall'FBI, dalla CISA e da diverse agenzie partner, tra cui l'NCSC britannico⁴. Descrive un gruppo criminale che prende di mira grandi aziende e i loro help desk informatici in outsourcing⁴. Il caso non riguarda un'intrusione fisica: è un inganno per telefono e SMS. Mostra tuttavia la stessa leva del tailgating, l'usurpazione di un'identità fidata. Il gruppo si è finto personale informatico o di supporto per ottenere credenziali o far avviare strumenti di accesso remoto⁴. L'aggiornamento di luglio 2025 aggiunge che alcuni membri si sono finti anche dipendenti per ottenere il ripristino di una password⁴.

FIN7 e le chiavette USB inviate per posta

MITRE riferisce che attori di FIN7 hanno spedito per posta chiavette USB a potenziali vittime. Contenevano un malware che installa varie backdoor, a volte per operazioni di ransomware³. Alcune chiavette si comportavano come una tastiera virtuale³. La fonte non indica una data per questo caso. Mostra che un dispositivo fisico può arrivare senza che alcun intruso entri.