Un attacco di impersonificazione è una tattica di social engineering in cui un attaccante finge di essere una persona fidata, un'azienda, un'autorità di regolamentazione, un cliente o un team interno per far sembrare legittima una richiesta. L'obiettivo è di solito ottenere dati, denaro, accesso o un'azione che aggiri i controlli normali.
Questi attacchi sono importanti perché molti fallimenti di sicurezza avvengono nei processi aziendali, non solo nel software. Nel settore fintech, ad esempio, una falsa richiesta governativa o una convincente richiesta di supporto può fare pressione sul personale affinché rilasci documenti di identità, registri di conto o dati di verifica. L'attaccante fa affidamento su fiducia, urgenza e autorità anziché su malware. Le difese includono la verifica fuori banda, flussi di approvazione rigorosi, accesso con privilegi minimi e registri di audit che riportano chi ha approvato il rilascio e perché. Una formazione solida aiuta, ma è la progettazione dei processi a impedire che una convincente impersonificazione si trasformi in una violazione dei dati.