Змест[Схаваць][Паказаць]
Хоць большасць кіберзлачынцаў з'яўляюцца ўмелымі маніпулятарамі, гэта не значыць, што яны заўсёды ўмелыя тэхналагічныя маніпулятары; іншыя кіберзлачынцы аддаюць перавагу практыцы маніпулявання людзьмі.
Іншымі словамі, яны прымаюць сацыяльную інжынерыю, якая ўяўляе сабой практыку запуску кібератакі, выкарыстоўваючы недахопы чалавечай прыроды.
У простым выпадку сацыяльнай інжынерыі гэта можа адбыцца, калі кіберзлачынец выдае сябе за ІТ-эксперта і запытвае вашы дадзеныя для ўваходу, каб выправіць дзірку ў бяспецы вашай сістэмы.
Калі вы даяце інфармацыю, вы толькі што далі злому чалавеку доступ да вашага ўліковага запісу, і яму нават не трэба турбавацца аб доступе да вашай электроннай пошты ці камп'ютара.
У кожнай ланцужку бяспекі мы амаль звычайна з'яўляемся самым слабым звяном, паколькі мы ўспрымальныя да розных хітрыкаў. Метады сацыяльнай інжынерыі выкарыстоўваюць гэтую ўразлівасць людзей, каб прымусіць ахвяр раскрыць прыватную інфармацыю.
Сацыяльная інжынерыя пастаянна развіваецца, як і большасць кіберпагроз.
У гэтым артыкуле мы абмяркуем сучасны стан сацыяльнай інжынерыі, розныя віды нападаў, на якія варта звярнуць увагу, і папераджальныя знакі, на якія варта звярнуць увагу.
Давайце пачнем увядзенне ў сацыяльную інжынерыю.
Што такое сацыяльная інжынерыя?
Сацыяльная інжынерыя ў вылічальнай тэхніцы адносіцца да метадаў, якія кіберзлачынцы выкарыстоўваюць, каб пераканаць ахвяр здзейсніць сумнеўнае дзеянне, якое часта цягне за сабой парушэнне бяспекі, перадачу грошай або раскрыццё асабістай інфармацыі.
Гэтыя дзеянні часта выклікаюць логіку і супярэчаць нашаму меркаванню.
Аднак ашуканцы могуць пераканаць нас перастаць думаць лагічна і пачаць дзейнічаць інстынктыўна, не задумваючыся пра тое, што мы на самой справе робім, маніпулюючы сваімі эмоцыямі — як станоўчымі, так і адмоўнымі — такімі як гнеў, страх і каханне.
Прасцей кажучы, сацыяльная інжынерыя - гэта тое, як хакеры скампраметуюць наш мозг, гэтак жа, як яны робяць са шкоднаснымі праграмамі і вірусамі, каб скампраметаваць нашы машыны.
Зламыснікі часта выкарыстоўваюць сацыяльную інжынерыю, таму што часта прасцей скарыстацца асобнымі людзьмі, чым вызначыць слабасць сеткі або праграмнага забеспячэння.
Паколькі злачынцы і іх ахвяры ніколі не павінны ўзаемадзейнічаць асабіста, сацыяльная інжынерыя заўсёды з'яўляецца кампанентам больш шырокага махлярства.
Як правіла, галоўная мэта - даставіць ахвяр:
- Шкоднае праграмнае забеспячэнне на іх смартфоне.
- Адмоўцеся ад імя карыстальніка і пароля.
- Дайце дазвол на выкарыстанне шкоднаснага плагіна, пашырэння або старонняга прыкладання.
- Адпраўляйце грошы праз грашовы перавод, электронны перавод сродкаў або падарункавыя карты.
- Гуляйце ў ролі грашовага мула для перадачы і адмывання незаконных грошай.
Метады сацыяльнай інжынерыі выкарыстоўваюцца злачынцамі, таму што часта прасцей скарыстацца вашай уласцівай схільнасцю давяраць іншым, чым высветліць, як узламаць вашу праграму.
Напрыклад, калі пароль сапраўды слабы, нашмат прасцей прымусіць кагосьці сказаць вам свой пароль, чым спрабаваць яго ўзламаць.
Як працуе сацыяльная інжынерыя?
Сацыяльныя інжынеры здзяйсняюць кібератакі, выкарыстоўваючы шэраг стратэгій. Большасць нападаў сацыяльнай інжынерыі пачынаюцца з таго, што зламыснік праводзіць разведку і даследаванне ахвяры.
Напрыклад, калі мэтай з'яўляецца прадпрыемства, хакер можа даведацца пра арганізацыйную структуру кампаніі, унутраныя працэсы, галіновы жаргон, патэнцыйных дзелавых партнёраў і іншыя дэталі.
Засяроджванне ўвагі на дзеяннях і звычках работнікаў з нізкім узроўнем, але першапачатковым доступам, такіх як ахоўнік або парцье, - адна з стратэгій, якую выкарыстоўваюць сацыяльныя інжынеры.
Зламыснікі могуць абшукаць сацыяльныя медыя уліковы запіс для асабістай інфармацыі і назіраць за іх паводзінамі як у Інтэрнэце, так і асабіста.
Затым сацыяльны інжынер можа выкарыстоўваць сабраныя доказы для планавання нападу і скарыстацца недахопамі, выяўленымі на этапе разведкі.
Калі атака сапраўды адбылася, зламыснік можа атрымаць абароненыя сістэмы або сеткі, грошы ад аб'ектаў або доступ да прыватных даных, такіх як нумары сацыяльнага страхавання, рэквізіты крэдытнай карты або банкаўскія рэквізіты.
Распаўсюджаныя тыпы атак сацыяльнай інжынерыі
Вывучэнне тыповых метадаў, якія выкарыстоўваюцца ў сацыяльнай інжынерыі, - адна з найлепшых стратэгій абароны ад нападу сацыяльнай інжынерыі.
У наш час сацыяльная інжынерыя звычайна адбываецца ў Інтэрнэце, у тым ліку праз махлярства ў сацыяльных сетках, калі зламыснікі выдаюць сябе за надзейную крыніцу або высокапастаўленага чыноўніка, каб прымусіць ахвяр раскрыць канфідэнцыяльную інфармацыю.
Вось некаторыя іншыя распаўсюджаныя атакі сацыяльнай інжынерыі:
фішынг
Фішынг - гэта своеасаблівы метад сацыяльнай інжынерыі, пры якім камунікацыі маскіруюцца так, што яны выглядаюць як з надзейнай крыніцы.
Гэтыя паведамленні, якія часта ўяўляюць сабой электронныя лісты, накіраваны на тое, каб прымусіць ахвяр раскрыць асабістую або фінансавую інфармацыю.
У рэшце рэшт, чаму мы павінны падазраваць законнасць электроннага ліста ад сябра, члена сям'і або кампаніі, якую мы ведаем? Гэтай упэўненасцю карыстаюцца ашуканцы.
Вішынг
Вішынг - гэта складаны тып фішынгавай атакі. Гэта таксама вядома як «галасавы фішынг». У гэтых нападах нумар тэлефона часта падрабляюць, каб здавацца сапраўдным - зламыснікі могуць выдавацца за ІТ-персанал, калег або банкіраў.
Некаторыя зламыснікі могуць выкарыстоўваць сродкі змены голасу, каб яшчэ больш схаваць сваю асобу.
Фіш-фішы
Буйныя кампаніі або асобныя людзі становяцца мішэнямі фішынгу, свайго роду сацыяльнай інжынерыі. Мэтамі фішынгавых нападаў з'яўляюцца моцныя асобы або невялікія групы, такія як кіраўнікі прадпрыемстваў і грамадскія дзеячы.
Гэтая форма атакі сацыяльнай інжынерыі часта добра вывучана і падманна маскіруецца, што робіць яе складанай для выяўлення.
Курэнне
Smishing - гэта свайго роду фішынг-атака, якая выкарыстоўвае тэкставыя (SMS) паведамленні ў якасці сродку сувязі. Прадстаўляючы шкодныя URL-адрасы для націскання або нумары тэлефонаў для сувязі, гэтыя напады звычайна патрабуюць ад сваіх ахвяр хуткіх дзеянняў.
Ахвярам часта прапануецца даць прыватную інфармацыю, якую зламыснікі могуць выкарыстоўваць супраць іх.
Для таго, каб пераканаць ахвяр дзейнічаць хутка і паддацца нападу, усмешлівыя напады часта адлюстроўваюць пачуццё тэрміновасці.
Scareware
Выкарыстанне сацыяльнай інжынерыі, каб прымусіць людзей усталяваць фальшывае праграмнае забеспячэнне бяспекі або атрымаць доступ да сайтаў, заражаных шкоднаснымі праграмамі, вядома як страшнае ПЗ.
Scareware звычайна выяўляецца ў выглядзе ўсплывальных вокнаў, якія прапануюць дапамагчы вам у ліквідацыі меркаванага заражэння кампутара з вашага ноўтбука. Націснуўшы ўсплывальнае акно, вы можаце ненаўмысна ўсталяваць далейшыя шкоднасныя праграмы або быць накіраваны на небяспечны вэб-сайт.
Выкарыстоўвайце надзейную праграму знішчэння вірусаў, каб часта сканаваць ваш кампутар, калі вы лічыце, што ў вас ёсць страшнае праграмнае забеспячэнне або іншае навязлівае ўсплывальнае акно. Для лічбавай гігіены важна перыядычна правяраць прыладу на прадмет рызыкі.
Гэта таксама можа дапамагчы абараніць вашу асабістую інфармацыю, прадухіляючы будучыя напады сацыяльнай інжынерыі.
Прынада
Атакі сацыяльнай інжынерыі могуць пачынацца і ў аўтаномным рэжыме; яны не абавязкова запускаюцца ў Інтэрнэце.
Траўленне - гэта практыка, калі зламыснік пакідае заражаны шкоднасным ПЗ аб'ект, напрыклад, USB-назапашвальнік, дзе-небудзь, дзе ён можа быць знойдзены. Гэтыя прылады часта спецыяльна маркіруюць, каб выклікаць цікавасць.
Карыстальнік, які бярэ гаджэт і ўстаўляе яго ў свой кампутар з цікаўнасці або прагнасці, рызыкуе ненаўмысна заразіць гэтую машыну вірусам.
Кітабойная справа
Адной з самых смелых спроб фішынгу з катастрафічнымі вынікамі з'яўляецца кітабойны промысел. Тыповай мішэнню такога роду нападаў сацыяльнай інжынерыі з'яўляецца асобны асоба з высокай каштоўнасцю.
Тэрмін «махлярства генеральнага дырэктара» часам выкарыстоўваецца для апісання кітабойнага промыслу, што дае вам указанне на мэту.
Паколькі яны фактычна прымаюць адпаведны дзелавы тон гаворкі і выкарыстоўваюць інсайдэрскія веды галіны ў сваіх інтарэсах, напады на кітабойных промыслаў цяжэй выявіць, чым іншыя фішынгавыя атакі.
Папярэдняе паведамленне
Падстава - гэта працэс выдумкі ілжывай акалічнасці або «падставы», якую ашуканцы выкарыстоўваюць, каб падмануць сваіх ахвяр.
Тэкставыя напады, якія могуць адбывацца ў аўтаномным рэжыме або ў інтэрнэце, з'яўляюцца аднымі з найбольш паспяховых метадаў сацыяльнай інжынерыі, таму што зламыснікі прыкладаюць шмат намаганняў, каб выглядаць варты даверу.
Будзьце асцярожныя, раскрываючы прыватную інфармацыю незнаёмым людзям, таму што можа быць цяжка выявіць падман падставы.
Каб выключыць спробу сацыяльнай інжынерыі, звязвайцеся непасрэдна з кампаніяй, калі хтосьці патэлефануе вам з нагоды тэрміновай неабходнасці.
Мядовая пастка
Мядовая пастка - гэта метад сацыяльнай інжынерыі, пры якім нападнік спакушае ахвяру ў небяспечнае сэксуальнае асяроддзе.
Затым зламыснік выкарыстоўвае гэтую акалічнасць для шантажу або ўдзелу ў вымагальніцтве. Рассылаючы спам-лісты з ілжывым выглядам таго, што яны «бачаць вас праз вашу камеру» або што-небудзь не менш гнюснае, сацыяльныя інжынеры часта раскладваюць пасткі.
Калі вы атрымліваеце такое паведамленне, пераканайцеся, што ваша вэб-камера абаронена.
Затым проста захоўвайце спакой і ўстрымайцеся ад адказу, бо гэтыя электронныя лісты з'яўляюцца не больш чым спамам.
Паслуга За Паслугу
Лацінскае азначае «нешта за нешта», у дадзеным выпадку гэта адносіцца да ахвяры, якая атрымлівае ўзнагароду ўзамен за супрацоўніцтва.
Выдатная ілюстрацыя - калі хакеры выдаюць сябе за ІТ-памочнікаў. Яны патэлефануюць як мага большай колькасці супрацоўнікаў фірмы і сцвярджаюць, што маюць простае рашэнне, дадаючы, што «вам трэба толькі адключыць AV».
Любы, хто паддаецца гэтаму, мае на сваім кампутары ўсталяванае праграмнае забеспячэнне-вымагальнік або іншыя вірусы.
Хвост
Хакер, таксама вядомы як падцягванне, адбываецца, калі хакер сочыць за чалавекам, які выкарыстоўвае сапраўдную карту доступу ў абаронены будынак.
Мяркуецца, што, каб здзейсніць гэты напад, чалавек, які мае дазвол увайсці ў будынак, будзе дастаткова ўважлівым, каб адчыніць дзверы для чалавека, які ідзе ззаду.
Як вы можаце прадухіліць атакі сацыяльнай інжынерыі?
Выкарыстоўваючы гэтыя прэвентыўныя меры, вы і ваш персанал атрымаеце найлепшыя шанцы пазбегнуць нападаў сацыяльнай інжынерыі.
Навучыце супрацоўнікаў
Асноўная прычына таго, што супрацоўнікі схільныя атакам сацыяльнай інжынерыі, - гэта няведанне. Каб навучыць персанал рэагаваць на тыповыя спробы ўзлому, арганізацыі павінны прапанаваць навучанне па пытаннях бяспекі.
Напрыклад, што рабіць, калі нехта паспрабуе пранікнуць супрацоўніка на працоўнае месца або просіць канфідэнцыяльную інфармацыю.
Некаторыя з найбольш частых кібератак апісаны ў спісе ніжэй:
- атакі DDoS
- фішынг атакі
- Клікджэкінг атакі
- атакі вымагальнікаў
- Атакі шкоднасных праграм
- Як рэагаваць на заднюю частку
Праверце ўстойлівасць да атакі
Выканайце кантраляваныя напады сацыяльнай інжынерыі на вашу кампанію, каб праверыць яе. Адпраўляйце ілжывыя фішынгавыя электронныя лісты і мякка папракайце супрацоўнікаў, якія адкрываюць укладанні, націскаюць на шкодныя спасылкі або рэагуюць.
Замест таго, каб успрымацца як збоі ў кібербяспецы, гэтыя выпадкі павінны разглядацца як вельмі адукацыйныя сітуацыі.
Аперацыя бяспекі
OPSEC - гэта метад выяўлення прыязных паводзін, якія могуць быць карыснымі для будучага зламысніка. OPSEC можа раскрыць канфідэнцыяльныя або важныя даныя, калі яны належным чынам апрацаваны і згрупаваны з іншымі данымі.
Вы можаце абмежаваць колькасць інфармацыі, якую сацыяльныя інжынеры могуць атрымаць, выкарыстоўваючы працэдуры OPSEC.
Знайдзіце ўцечкі даных
Даведацца, ці былі ўліковыя даныя раскрыты ў выніку спробы фішынгу, можа быць няпроста.
Ваша кампанія павінна пастаянна шукаць інфармацыю аб раскрыцці дадзеных і ўцечку ўліковых дадзеных, таму што некаторым фішэрам могуць спатрэбіцца месяцы ці нават гады, каб выкарыстоўваць сабраныя імі ўліковыя даныя.
Укараніць шматфактарную аўтэнтыфікацыю
Прымяненне метаду шматфактарнай аўтэнтыфікацыі, пры якім карыстальнікі павінны мець токен, ведаць пароль і мець свае біяметрычныя дадзеныя, каб атрымаць доступ да важных рэсурсаў.
Укараніць сістэму кіравання рызыкамі трэцяга боку
Перш чым прыцягваць новых пастаўшчыкоў або працягваць працаваць з цяперашнімі пастаўшчыкамі, стварыце сістэму кіравання рызыкамі трэціх асоб, палітыку кіравання пастаўшчыкамі і правядзіце рызыка кібербяспекі ацэнка.
Асабліва пасля таго, як скрадзеныя даныя былі прададзены ў цёмным сеціве, значна прасцей пазбегнуць узлому даных, чым ачышчаць іх.
Знайдзіце праграмнае забеспячэнне, якое можа аўтаматычна кіраваць рызыкамі пастаўшчыкоў і рэгулярна адсочваць, ранжыраваць і ацэньваць кібербяспеку вашых пастаўшчыкоў.
Змяніце налады электроннай пошты са спамам.
Змена налад электроннай пошты - адзін з самых простых метадаў абароны ад спроб сацыяльнай інжынерыі. Вы можаце палепшыць свае спам-фільтры, каб махлярскія электронныя лісты сацыяльнай інжынерыі не траплялі ў вашу паштовую скрыню.
Вы таксама можаце напрамую дадаць адрасы электроннай пошты людзей і арганізацый, якія, як вы ведаеце, сапраўдныя, у вашы лічбавыя спісы кантактаў - той, хто выдае сябе за іх, але выкарыстоўвае іншы адрас у будучыні, хутчэй за ўсё, сацыяльны інжынер.
заключэнне
Нарэшце, сацыяльная інжынерыя - гэта даволі просты метад, які можа быць выкарыстаны для здзяйснення махлярства, махлярства або іншых злачынстваў. Гэта можа адбыцца з кім заўгодна асабіста, па тэлефоне або ў Інтэрнэце.
Сацыяльныя інжынеры не павінны быць вельмі тэхнічнымі; ім трэба толькі ўмець прымусіць вас даць ім прыватную інфармацыю.
Гэта патэнцыйна катастрафічнае махлярства, бо мы ўсе ў небяспецы. Сацыяльныя сеткі таксама дазволілі сацыяльным інжынерам стаць больш хітрымі, дазволіўшы ім ствараць ілжывыя ўліковыя запісы, якія лёгка прыняць за сапраўдныя, або нават выдаваць сябе за рэальных людзей.
Заўсёды будзьце асцярожныя, калі бачыце дзіўныя або незнаёмыя профілі ў сацыяльных сетках.
Пакінуць каментар