Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Impersonazione Digitale: Impersonation (T1656)
L'impersonazione è una tecnica in cui un avversario si finge una persona o un'organizzazione fidata — un dirigente, un collega dell'help desk, un recruiter — per manipolare la vittima e spingerla a compiere un'azione vantaggiosa per l'attaccante. Classificata nella tattica TA0005 – Defense Evasion, questa tecnica aggira le difese non sul piano tecnologico ma su quello umano: l'attaccante non supera un firewall, bensì la soglia di fiducia della vittima.
Il meccanismo è lineare ma devastante. L'avversario raccoglie informazioni sull'identità della vittima e sull'organizzazione bersaglio, acquisisce infrastruttura credibile — come domini email simili a quelli legittimi — e costruisce un pretesto convincente. Le comunicazioni sfruttano leve psicologiche di urgenza e autorità, con keyword ricorrenti come payment, request, urgent. L'obiettivo finale spazia dal furto di credenziali al Business Email Compromise (BEC), fino all'installazione di malware.
I numeri del framework di riferimento parlano chiaro: 8 gruppi APT, 1 software, 3 campagne documentate e 2 mitigazioni codificate. L'impersonazione è una tecnica trasversale che colpisce settori diversi — difesa, telecomunicazioni, gaming, istituzioni accademiche — e si presta tanto allo spionaggio quanto alla monetizzazione diretta. Il fatto che appartenga a Defense Evasion sottolinea un punto spesso sottovalutato: impersonare qualcuno non serve solo a ottenere accesso, ma anche a rendere l'attività malevola invisibile, perché le azioni sembrano provenire da un'entità legittima.
Simulare l'impersonazione in un esercizio red team significa replicare l'intera catena: ricognizione, preparazione dell'infrastruttura, contatto con il target. L'obiettivo non è truffare nessuno, ma misurare la resilienza dell'organizzazione contro attacchi di social engineering strutturati.
La fase di ricognizione è il fondamento. Si parte raccogliendo informazioni su organigramma, ruoli chiave e lessico aziendale. theHarvester (open source) consente di estrarre email e nomi da fonti OSINT in modo rapido:
theHarvester -d targetdomain.com -b all -l 200
Questo comando interroga più data source per raccogliere indirizzi email associati al dominio target. Il risultato fornisce la materia prima per costruire pretesti credibili: sapere chi è il CFO, chi gestisce i pagamenti, chi lavora all'help desk.
Per il setup dell'infrastruttura, GoPhish (open source) è lo standard de facto per campagne di phishing simulato. Permette di creare template email, landing page di credential harvesting e tracciare chi apre, clicca e inserisce credenziali. La configurazione di un profilo di invio con display name spoofato replica esattamente ciò che fanno gruppi come Scattered Spider, che durante la campagna C0027 si spacciava per personale IT legittimo via telefono e SMS per indirizzare le vittime verso siti di raccolta credenziali.
Per simulare l'impersonazione telefonica (vishing), come osservato nella campagna Salesforce Data Exfiltration (C0059) dove gli attaccanti chiamavano fingendosi supporto IT, si utilizza un copione pre-approvato dal cliente e si registra ogni interazione. Il framework SET — Social Engineering Toolkit (open source) include moduli per vettori di social engineering multipli, compresa la generazione di payload abbinati a pretesti credibili.
Un test particolarmente efficace replica lo scenario LAPSUS$: chiamare l'help desk spacciandosi per un dipendente legittimo, utilizzando informazioni precedentemente raccolte (nome, email, ultimo ticket aperto) per richiedere il reset di password o token MFA. Questo scenario valuta sia la resistenza procedurale dell'help desk sia la qualità delle policy di verifica dell'identità.
Per la componente email, è fondamentale verificare la configurazione DMARC, SPF e DKIM del dominio target prima del test. Nmap (open source) con script specifici può interrogare i record DNS:
nmap --script dns-txt-query -p 53
In alternativa, un semplice dig txt targetdomain.com restituisce i record SPF e DMARC, rivelando se il dominio è protetto contro lo spoofing diretto. Documentare il risultato di ogni interazione — chi ha risposto, che informazioni ha fornito, se ha seguito la procedura di verifica — è più importante del "successo" della simulazione stessa.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo