Aspetti problematici del data breach e rischi derivanti dallo human factor

Una delle forme più pericolose di data breach – forse la più pericolosa poiché difficilmente controllabile – è quella dovuta al c.d. Human Factor, ovverosia l'essere umano, poiché la sicurezza informatica non è legata solamente a contromisure tecnologiche – misure tecniche nel GDPR – ma anche alla persona, indipendentemente dal suo ruolo e dalla sua funzione, che manipola dati personali. Alla luce del GDPR, ciò risulta tanto più vero se si considerano il novero dei diritti spettanti agli interessati, tra cui quello all'accesso, alla rettifica, alla portabilità, nonché alla cancellazione dei propri dati personali in capo ad uno specifico titolare del trattamento. Difatti, l'esercizio di tali diritti, soprattutto in virtù delle potenziali sanzioni in cui si può incorrere e dei tempi ristretti degli adempimenti, potrebbe esporre i dati personali ad attacchi di social engineering. L'ingegneria sociale, considerabile come una delle tecniche di hacking più antiche, è stata definita da K. Mitnick – noto informatico e "storico" hacker statunitense – come "l'uso del proprio ascendente e delle capacità di persuasione per ingannare gli altri, convincendoli che l'ingegnere sociale sia quello che non è oppure manovrandoli. Di conseguenza, l'ingegnere sociale può usare la gente per strapparle informazioni con o senza l'ausilio di strumenti tecnologici". In primo luogo, l'ingegnere sociale utilizza tecniche riconducibili ad abilità di natura psicologica e sociale che gli permettono di compiere inganni comunicativi, frodi e attacchi cognitivi al fine di ottenere la fiducia di persone dalle quali si vogliono estorcere informazioni. A tal fine, può utilizzare un approccio diretto, oppure, per destare meno sospetti, ricorrere a interazioni brevi con diversi soggetti, cosicché le richieste ed il coinvolgimento con l'interlocutore suscitino un'attenzione inferiore rispetto a se si interfacciasse con un unico individuo.
Questo tipo di approccio è tanto più efficace quanto più sono ampie le organizzazioni o aziende nei cui confronti vengono utilizzate queste tecniche, poiché sarà maggiore la possibilità di stabilire rapporti di fiducia in quanto è possibile minimizzare le singole richieste e massimizzare il numero di contatti. In secondo luogo, l'ingegnere sociale può avvalersi dell'abilità di creare situazioni in cui fingere di aiutare la vittima, c.d. reverse social engineering, che consentono di modificare la percezione e le credenze della vittima stessa, derivandone un sentimento di riconoscenza nei suoi confronti. Un'altra tipologia di skill si rivede nella situazione in cui l'attaccante impersoni un individuo che riveste un ruolo di rilievo, oppure un'autorità, al fine di trarre in inganno, intimidire o creare un rapporto di dipendenza con la vittima.
In particolare, si possono delineare alcune tecniche di influenzamento del target:
• Incremento della suggestionabilità della vittima;
• Induzione di un senso di impotenza;
• Intimidazione;
• Controllo dell'ambiente di vita della vittima;
• Creazione di risposte emozionali forti.
Se ne desume che l'attaccante cercherà di sfruttare ogni elemento a disposizione e ogni caratteristica, anche comportamentale ed abitudinaria, del soggetto target.
Per quanto concerne le tecniche più frequentemente utilizzate in questi attacchi, spaziano dal phishing, pretexting, pharming, scamming e così via. Ad esempio, il phishing si sostanzia nell'utilizzo di mail o altri mezzi di comunicazione – vishing, in caso di mezzo telefonico, o smishing, in caso di sms – allo scopo di ingannare la vittima facendole fare cose o fornire informazioni che normalmente non farebbe o non fornirebbe. [...]