Ingegneria Sociale: Social Engineering (T1684)
L'ingegneria sociale rappresenta l'insieme di tecniche con cui un avversario manipola persone anziché sistemi, inducendo le vittime a compiere azioni che portano ad accessi non autorizzati, approvazioni di modifiche, divulgazione di informazioni sensibili o esecuzione di payload malevoli. La tecnica T1684 rientra nella tattica TA0005 (Stealth) perché sfrutta canali legittimi — email, piattaforme di collaborazione, chiamate vocali, ticket di help desk, meccanismi di consenso SaaS — per far apparire richieste malevole come parte del normale flusso di lavoro, minimizzando gli indicatori tecnici osservabili.
Gli attaccanti costruiscono fiducia attraverso scenari ricorrenti: impersonificazione di dirigenti, fornitori o personale IT, spesso arricchita da interazioni vocali generate con AI. Le richieste tipiche includono reset di password, modifica dei fattori MFA, approvazioni finanziarie o rilascio di dati riservati. La leva emotiva è centrale: urgenza, timore di conseguenze, riferimenti a eventi di attualità o alla missione dell'organizzazione servono a bypassare il pensiero critico.
L'impatto operativo è elevato perché la tecnica aggira controlli tecnici altrimenti robusti. Un help desk convinto a resettare un fattore MFA vanifica un'implementazione perfetta di autenticazione forte; un'approvazione OAuth concessa a un'app malevola concede accesso persistente ai dati SaaS senza toccare credenziali. Pattern come Phishing e Spearphishing Voice sono spesso i vettori supportati da narrazioni convincenti e mirate.
Simulare T1684 in un red team richiede pianificazione documentata, autorizzazione scritta (rules of engagement) e coordinamento con il committente per evitare impatti reali su personale non consapevole. L'obiettivo è misurare la resilienza del fattore umano lungo più canali: email, voce, chat aziendale, help desk e consensi SaaS.
Per la componente phishing, il framework di riferimento è GoPhish (open source), che consente di orchestrare campagne, template HTML, landing page di credential harvesting e reportistica. Un flusso tipico prevede la registrazione di un dominio look-alike, la configurazione di record SPF/DKIM/DMARC coerenti e l'invio segmentato a coorti definite. Per la generazione di pretesti realistici e OSINT sui bersagli si usa Maltego CE (freemium) e theHarvester (open source) per raccogliere email pubbliche:
theHarvester -d azienda.tld -b all
Per campagne di Spearphishing Voice (vishing), i team seri usano linee VoIP dedicate con Twilio (a pagamento) e script conversazionali. Il caller ID spoofing è vincolato dalle normative locali: in ambito autorizzato si simula tramite numeri controllati. Le interazioni AI-vocali possono essere replicate con ElevenLabs (freemium) per test di resilienza contro deepfake audio, sempre con consenso esplicito del soggetto la cui voce viene clonata.
Sul fronte help desk, il red team prepara scenari di reset password e MFA re-enrollment impersonando dipendenti reali. Il tester chiama fingendo urgenza ("sono in aeroporto, ho perso il telefono") e misura quante verifiche il tecnico richiede prima di procedere. È un test di processo, non di tecnologia.
Per i consensi OAuth malevoli si costruisce un'applicazione registrata su un tenant controllato che richiede scope elevati (Mail.Read, Files.ReadWrite.All). Il link di consenso viene consegnato via email di pretesto (finto tool di produttività interno). Chi clicca e approva concede token persistenti: il test misura sia il click-through sia l'assenza di admin consent workflow.
La catena completa combina spesso ricognizione OSINT, phishing per initial foothold, vishing verso help desk per bypass MFA e consenso OAuth per persistenza SaaS. La reportistica deve quantificare tassi di click, tassi di credential submission, tempi di segnalazione al SOC e comportamento dell'help desk, offrendo metriche azionabili per il programma di User Training (M1017).
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo