Социальная инженерия: что такое, виды и подходы, социальной инженерии
Мошенник якобы находит неисправность и вот тогда начинает просить пользователя выполнять разные указания. В процессе сам человек сообщает важную информацию или открывает хакеру доступ к своему устройству. Начнем с претекстинга, так как этот метод часто работает в паре с другими приемами. Претекстинг — атака, при которой злоумышленник представляется другим человеком и за счет информированности о пользователе убеждает его, что он действительно представитель конкретной компании.
- В этих атаках номер телефона часто подделывают, чтобы он выглядел подлинным — злоумышленники могут выдавать себя за ИТ-специалистов, коллег или банкиров.
- Они могут вызывать страх, волнение, любопытство или симпатию, чтобы убедить людей сделать то, что они хотят.
- Тут в качестве приемов используется повторное, многократное проговаривание информации о товаре, отсылки к “авторитетным” или “экспертным” мнениям, эксплуатация стереотипных образов.
Они могут использовать различные методы, такие как угрозы, обещания или создание ситуаций, требующих срочного действия, чтобы заставить людей раскрыть свои данные или выполнить определенные действия. Социальная манипуляция — это метод, при котором злоумышленники используют психологические техники, чтобы убедить людей совершить определенные действия или раскрыть конфиденциальную информацию. Они могут использовать такие методы, как создание чувства срочности, установление доверия или создание ситуаций, которые заставляют людей действовать в соответствии с их желаниями.
И вам придется обсудить конкретные детали со своим страховщиком, чтобы выяснить, что они покрывают, а что нет. Как только хакер убедил вас в своей легитимности, начинается последний этап атаки социальной инженерии — манипуляция. Пришло время для хакера получить то, что им нужно — ваши деньги, личные данные или доступ к вашему устройству. Первая задача хакера в атаке социальной инженерии — убедить вас в своей предполагаемой личности.
Взлом электронной почты и рассылка по контактам
Он отправлял фишинговые письма сотрудникам обеих компаний, запрашивая платежи за товары и услуги. Это «что-то» может на самом деле быть действительным событием в компании, если хакеру удалось получить доступ к внутренним коммуникациям или если у него было предварительное знание. Электронная почта, текстовые сообщения, Slack, Microsoft Teams — информация идет со всех сторон и переполняет нас, приводя к рутинному поведению. Вас могут меньше убедить, если хакер знает личные детали о вас, в то время как я могу полностью уверенно им довериться. Они достигают этого, манипулируя вас, чтобы вы кликнули по фишинговой ссылке, скачали вложение в электронном письме или ответили на их письмо с чувствительной информацией. Хакеры достигают этого, притворяясь тем, кем они не являются, и используя фальшивую личность, чтобы вас обмануть.
Социальная инженерия. Что? Как? Почему?
Основная причина подверженности сотрудников атакам социальной инженерии — невежество. Чтобы научить персонал реагировать на типичные попытки взлома, организации должны проводить обучение по вопросам безопасности. Крупные компании или отдельные люди становятся объектами целевого фишинга, своего рода атаки с использованием социальной инженерии. Целями целевых фишинговых атак являются влиятельные лица или небольшие группы, такие как бизнес-лидеры и общественные деятели. Изучение типичных методов, используемых в социальной инженерии, является одной из лучших стратегий защиты от атак социальной инженерии.
«Покупатель» спрашивает на какую карту, он мог бы перевести вам деньги. Только вместо приобретения его денег, вы теряете все свои сбережения. Также он может попросить, сообщить ему код, который придет вам на телефон. И ни в коем случае не распространяйте личную информацию во всяких социальных сетях, как бы вам ни хотелось о себе заявить.
В связи с этим социальных инженеров, еще называют социальными хакерами. Возможно, вы заметили, что во время экономического кризиса мошенники всегда особенно активируются. В наш век технологий, они становятся всё более подготовленными и обученными. На их службе психология, соц инженерия, ИТ технологии и многие другие специальные знания, которые помогают управлять действиями людей. Все их трюки изучать, конечно, не хватит времени, но основным принципам уловок и технологий, которые они используют, всё же уделить внимание полезно, чтобы не попасть в расставленные сети. Само это понятие гораздо шире, нежели можно рассказать в рамках заметки.
Как вы можете предотвратить атаки социальной инженерии?
Приманкой может быть и email-сообщение, которое сулит получение быстрой прибыли, выигрыша, наследства и других вещей, которые точно заинтересуют многих получателей письма и заставят выполнить содержащиеся в нем инструкции. При этом сам термин «социальная инженерия» появился достаточно давно, а также активно использовался. Этот термин получил широкую популярность в 90-е годы, когда американский консультант по компьютерной безопасности — Кевин Митник написал целую серию книг на данную тему, где подробно описывались способы воздействия на человека. В 2001 году была выпущена его книга «Искусство обмана», где он всему миру рассказал о вполне реальных историях — как со стороны жертвы, так и со стороны мошенника. Киберпреступник манипулирует чувствами и мыслями атакуемого человека и заставляет его выполнить действия, приводящие к утечке ценной информации, которой могут быть как персональные, так и корпоративные данные. О том, какие технологии и приемы используются в социальной инженерии и как защитить себя и свою компанию от подобных атак, рассказываем простыми словами в данной статье.
Социальная инженерия — что такое и как работает?
Социальная инженерия – это простыми словами один из способов “взлома человека”, манипуляции с целью получения выгоды, а именно – конфиденциальной информации, денежных средств или каких-либо услуг на халяву. Изменение настроек электронной почты — один из самых простых способов защитить себя от попыток социальной инженерии. Вы можете улучшить свои спам-фильтры, чтобы не допустить попадания мошеннических электронных писем с использованием социальной инженерии в свой почтовый ящик.
Претекстинг — это процесс создания ложного обстоятельства или «предлога», который мошенники используют для обмана своих жертв. Атаки социальной инженерии также могут начинаться в автономном режиме; они не обязательно запускаются онлайн. Чтобы убедить жертв действовать быстро и поддаться нападению, https://cryptocat.org/ смишинг-атаки часто изображают безотлагательность. Некоторые злоумышленники могут использовать устройства для изменения голоса, чтобы еще больше скрыть свою личность. Например, если пароль не очень слабый, гораздо проще заставить кого-то сообщить вам свой пароль, чем пытаться его взломать.
Ботнет (botnet) – это сеть компьютеров под контролем хакеров, используемая для выполнения кибератак и вредоносных операций. Крупная категория, которая включает в себя такие типы атак, как целевой, голосовой, SMS-фишинг, «Китобойный», клон-фишинг. Для рассылки таких фишинговых тестов существует множество фишинговых инструментов, включая бесплатные с открытым исходным кодом, такие как Gophish. Есть также много коммерческих продуктов, таких как KnowBe4 и Infosec IQ. Так как самым уязвимым элементов в системе безопасности остается человек, мероприятия по защите будут затрагивать именно его.
Например, они могут создать иллюзию ограниченности или редкости определенного продукта или услуги, чтобы заставить людей принять решение быстрее или сделать выбор в их пользу. Мы оставляем цифровой след каждый раз когда используем Интернет, будь то социальные сети или онлайн-магазин. Никто не защищен от атаки, однако при несоблюдении правил безопасности сотрудниками компаний атака может принести непоправимый ущерб намного большему количеству людей. Безусловно, социальная инженерия (СИ) играет ключевую роль в нашем деле. Отсутствие знаний в этой области или неправильное понимание СИ могут привести к недопониманию и неэффективности.
Например, мошенник может подбросить CD, снабжённый корпоративным логотипом и ссылкой на официальный сайт компании, снабдив его надписью “Заработная плата руководящего состава”. Менеджер паролей для бизнеса или корпоративных пользователей — это инструмент, который помогает организациям следить за тем, чтобы сотрудники всегда использовали надежные пароли для всех своих учетных записей. С помощью менеджера паролей для бизнеса ИТ-администраторы имеют полную видимость того, как сотрудники используют пароль, и могут обязать использовать MFA, чтобы повысить безопасность учетных записей. Чем больше сотрудники знают о кибербезопасности, тем лучше они будут ее соблюдать, чтобы снизить риски таких кибератак, как социальная инженерия.
Атаки с использованием социальной инженерии
Многопроходная аутентификация (MFA) — это основа надежной кибербезопасности. Она обеспечивает, что сотрудники с привилегированным доступом не становятся уязвимостью, даже если попадаются на удочку фишинга. Могу с уверенностью сказать, что ни одна законная компания никогда не попросит вас предоставить личную или чувствительную информацию по электронной почте, если это не очень общая информация для подтверждения. Им будет так же мотивировать, как и вас, предотвращать атаку методом социальной инженерии, если они не хотят быть пониженными в должности или еще чего-то хуже. Орфографические ошибки, грамматические ошибки, необычная просьба, что-то странное и не на своем месте — сотрудники не должны это игнорировать.
Один социальный инженер описывает как он пробрался в место с закрытым доступом используя стереотипы мышления людей. Этот человек (социальный инженер) понаблюдал, какие бейджи у сотрудников нужной ему компании, сделал себе такой же, распечатав на компьютере и пошёл через задний ход вместе с сотрудниками заведения. Психологи проводили подобные эксперименты как принимать оплату криптовалютой и до ситуации с бельгийским банком. Так исследователи из Англии отправили сотрудникам крупной корпорации сообщения от имени системного администратора их компании. Сообщение содержало просьбу отправить пароли, в связи с плановой проверкой оборудования. Результат был печальным — большая часть сотрудников (75 %) выполнила инструкции злоумышленников.
Помните, что двух абсолютно одинаковых почтовых адресов быть не может, так что почта мошенника будет отличаться. Пиггибэкинг — это когда злоумышленники пытаются получить доступ к сети, системе или физическому зданию для того, чтобы скомпрометировать конфиденциальную информацию. Используя пиггибэкинг, злоумышленники могут получить доступ к сети или системе, используя незащищенный Wi-Fi. Чтобы получить доступ к физическому зданию с помощью пиггибэкинга, злоумышленники полагаются на доброту сотрудников, которые откроют им дверь или оставят ее приоткрытой. Продолжайте читать, чтобы узнать, как происходят атаки социальной инженерии, различные типы атак социальной инженерии и как защититься от них.