Sisällysluettelo[Piilottaa][Näytä]
Vaikka useimmat kyberrikolliset ovat taitavia manipuloijia, tämä ei tarkoita, että he olisivat aina taitavia teknologisia manipuloijia; muut kyberrikolliset pitävät parempana ihmisten manipulointia.
Toisin sanoen he omaksuvat sosiaalisen suunnittelun, joka on käytäntö käynnistää kyberhyökkäys hyödyntämällä ihmisluonnon puutteita.
Suoraviivaisessa sosiaalisen manipuloinnin tapauksessa tämä voi tapahtua, jos kyberrikollinen esiintyy IT-asiantuntijana ja pyytää kirjautumistietojasi korjatakseen järjestelmäsi tietoturva-aukon.
Jos annat tiedot, olet juuri antanut pahalle henkilölle pääsyn tiliisi ilman, että hänen tarvitsee edes huolehtia sähköpostisi tai tietokoneesi käyttämisestä.
Olemme lähes yleensä heikoin lenkki kaikissa turvallisuusketjuissa, koska olemme alttiita erilaisille huijauksille. Sosiaalisen suunnittelun tekniikat hyödyntävät tätä haavoittuvuutta ihmisissä huijatakseen uhreja paljastamaan henkilökohtaisia tietoja.
Sosiaalinen suunnittelu kehittyy jatkuvasti, kuten myös suurin osa kyberuhista.
Tässä artikkelissa keskustelemme sosiaalisen suunnittelun nykytilasta, erilaisista hyökkäyksistä, joita kannattaa varoa, ja varoitusmerkeistä, joita on syytä varoa.
Aloitetaan johdatus sosiaaliseen suunnitteluun.
Mikä on sosiaalinen suunnittelu?
Sosiaalinen suunnittelu tietojenkäsittelyssä viittaa tekniikoihin, joita verkkorikolliset käyttävät suostutellakseen uhrit tekemään kyseenalaisia toimia, joihin usein liittyy tietoturvaloukkaus, rahan siirtäminen tai henkilötietojen paljastaminen.
Nämä toimet haastavat usein logiikan ja ovat vastoin parempaa harkintakykyämme.
Huijarit voivat kuitenkin saada meidät lopettamaan loogisen ajattelun ja ryhtymään toimimaan vaiston varassa ajattelematta, mitä todella teemme manipuloimalla tunteitamme – sekä positiivisia että negatiivisia – kuten raivoa, pelkoa ja rakkautta.
Yksinkertaisesti sanottuna sosiaalinen suunnittelu on tapa, jolla hakkerit vaarantavat aivomme, aivan kuten he tekevät haittaohjelmien ja virusten kanssa koneemme vaarantamiseksi.
Hyökkääjät käyttävät usein sosiaalista suunnittelua, koska yksittäisten henkilöiden hyödyntäminen on usein yksinkertaisempaa kuin verkon tai ohjelmiston heikkouden tunnistaminen.
Koska rikollisten ja heidän uhriensa ei koskaan tarvitse olla henkilökohtaisesti vuorovaikutuksessa, sosiaalinen suunnittelu on aina osa laajempaa huijausta.
Uhrien saaminen: on yleensä tärkein tavoite:
- Haittaohjelmat heidän älypuhelimessaan.
- Luovu käyttäjätunnuksestasi ja salasanastasi.
- Myönnä lupa haitalliselle laajennukselle, laajennukselle tai kolmannen osapuolen sovellukselle.
- Lähetä rahaa maksumääräyksellä, sähköisellä rahansiirrolla tai lahjakorteilla.
- Pelaa rahamuulin roolia laittoman rahan välittämisessä ja pesussa.
Rikolliset käyttävät sosiaalisen suunnittelun tekniikoita, koska on usein yksinkertaisempaa hyödyntää luontaista taipumusta luottaa muihin kuin keksiä, kuinka hakkeroida ohjelmasi.
Esimerkiksi, ellei salasana ole todella heikko, on huomattavasti yksinkertaisempaa huijata joku kertomaan salasanansa kuin yrittää hakkeroida se.
Miten sosiaalinen suunnittelu toimii?
Sosiaaliset insinöörit tekevät kyberhyökkäyksiä käyttämällä erilaisia strategioita. Useimmat sosiaalisen manipuloinnin hyökkäykset alkavat hyökkääjän suorittamalla tiedustelu- ja tutkimustyöt uhrille.
Jos kohteena on esimerkiksi yritys, hakkeri voisi oppia yrityksen organisaatiorakenteesta, sisäisistä prosesseista, toimialan ammattikielestä, mahdollisista liikekumppaneista ja muista yksityiskohdista.
Keskittyminen sellaisten työntekijöiden toimintaan ja tottumuksiin, joilla on alhainen, mutta alkuvaiheessa pääsy, kuten vartijan tai vastaanottovirkailija, on yksi yhteiskuntainsinöörien käyttämä strategia.
Hyökkääjät voivat etsiä sosiaalinen media ottaa huomioon henkilökohtaisia tietoja ja tarkkailla heidän käyttäytymistään sekä verkossa että henkilökohtaisesti.
Yhteiskuntainsinööri voi seuraavaksi käyttää kerättyjä todisteita hyökkäyksen suunnitteluun ja hyödyntää tiedusteluvaiheessa havaittuja puutteita.
Jos hyökkäys todella tapahtuu, hyökkääjä voi saada suojattuja järjestelmiä tai verkkoja, rahaa kohteista tai pääsyn yksityisiin tietoihin, kuten sosiaaliturvanumeroihin, luottokorttitietoihin tai pankkitietoihin.
Yleisiä sosiaalisen manipuloinnin hyökkäystyyppejä
Sosiaalisen suunnittelun tyypillisten tekniikoiden oppiminen on yksi parhaista strategioista puolustaa itseäsi sosiaalisen suunnittelun hyökkäykseltä.
Nykyään sosiaalista manipulointia tapahtuu yleisesti verkossa, myös sosiaalisen median huijausten kautta, kun hyökkääjät olettavat luotettavan lähteen tai korkea-arvoisen virkamiehen henkilöllisyyden huijatakseen uhreja paljastamaan arkaluonteisia tietoja.
Tässä on joitain muita yleisiä sosiaalisen manipuloinnin hyökkäyksiä:
Phishing
Tietojenkalastelu on eräänlainen sosiaalisen manipuloinnin lähestymistapa, jossa viestintä naamioidaan niin, että ne näyttävät olevan peräisin luotettavasta lähteestä.
Nämä viestit, jotka ovat usein sähköposteja, on tarkoitettu huijaamaan uhrit paljastamaan henkilökohtaisia tai taloudellisia tietoja.
Loppujen lopuksi miksi meidän pitäisi epäillä tuntemamme ystävän, perheenjäsenen tai yrityksen lähettämän sähköpostin laillisuutta? Huijarit käyttävät tätä luottamusta hyväkseen.
vishing
Vishing on monimutkainen tietojenkalasteluhyökkäys. Se tunnetaan myös nimellä "äänitietojenkalastelu". Näissä hyökkäyksissä puhelinnumero väärennetään usein aidolta – hyökkääjät voivat esiintyä IT-henkilöstönä, työtovereina tai pankkiireina.
Jotkut hyökkääjät voivat käyttää äänenvaihtimia hämärtääkseen henkilöllisyytensä entisestään.
Keihäshuijaus
Suuret yritykset tai tietyt ihmiset ovat keihäsphishingin, eräänlaisen sosiaalisen manipulointihyökkäyksen, kohteena. Keihäsphishing-hyökkäysten kohteena ovat vahvat yksilöt tai pienet ryhmät, kuten yritysjohtajat ja julkisuuden henkilöt.
Tämä sosiaalisen suunnittelun hyökkäysmuoto on usein hyvin tutkittu ja petollisesti naamioitu, joten sen havaitseminen on haastavaa.
Tupakointi
Smishing on eräänlainen phishing-hyökkäys, jossa käytetään tekstiviestejä (SMS) viestintävälineenä. Esittämällä haitallisia URL-osoitteita napsautettaviksi tai puhelinnumeroita, joihin ottaa yhteyttä, nämä hyökkäykset vaativat yleensä uhreilta nopeaa toimintaa.
Uhreja pyydetään usein antamaan henkilökohtaisia tietoja, joita hyökkääjät voivat käyttää heitä vastaan.
Uhrien taivuttamiseksi toimimaan nopeasti ja joutumaan pahoinpitelyyn, iskevät hyökkäykset kuvaavat usein kiireellisyyttä.
scareware
Sosiaalisen manipuloinnin käyttäminen ihmisten kauhistuttamiseksi asentamaan vääriä tietoturvaohjelmistoja tai pääsemään haittaohjelmien saastuttamille verkkosivustoille tunnetaan pelotusohjelmina.
Scareware ilmenee yleensä ponnahdusikkunoina, jotka tarjoavat apua oletetun tietokoneinfektion poistamisessa kannettavasta tietokoneesta. Napsauttamalla ponnahdusikkunaa saatat vahingossa asentaa lisää haittaohjelmia tai sinut ohjataan vaaralliselle verkkosivustolle.
Käytä luotettavaa virustentorjuntaohjelmaa tietokoneesi tarkistamiseen, jos epäilet, että sinulla on pelotusohjelmia tai jokin muu häiritsevä ponnahdusikkuna. Digitaalisen hygienian kannalta on tärkeää tarkistaa laitteesi ajoittain riskien varalta.
Se voi myös auttaa suojaamaan henkilökohtaisia tietojasi estämällä tulevat manipulointihyökkäykset.
baiting
Sosiaalisen manipuloinnin hyökkäykset voivat alkaa myös offline-tilassa; niitä ei välttämättä julkaista verkossa.
Syöttö on käytäntö, jossa hyökkääjä jättää haittaohjelmien saastuttaman kohteen, kuten USB-aseman, jonnekin, josta se todennäköisesti löydetään. Nämä laitteet on usein brändätty tarkoituksella kiinnostuksen herättämiseksi.
Käyttäjä, joka poimii gadgetin ja laittaa sen omalle tietokoneelleen uteliaisuudesta tai ahneudesta, saattaa vahingossa tartuttaa koneen viruksella.
valaanpyyntiä
Yksi rohkeimmista tietojenkalasteluyrityksistä, jolla on tuhoisia seurauksia, on valaanpyynti. Tyypillinen tämänkaltaisen manipulointihyökkäyksen kohde on yksittäinen arvokas henkilö.
Termiä "toimitusjohtajapetos" käytetään toisinaan kuvaamaan valaanpyyntiä, mikä antaa sinulle viitteen kohteen.
Valaanpyyntihyökkäykset ovat muita phishing-hyökkäyksiä vaikeampi havaita, koska he omaksuvat tehokkaasti sopivan liikesävyn ja hyödyntävät alan sisäpiiritietoa.
Esiviestit
Teostelu on prosessi, jossa keksitään väärä seikka tai "suu", jota huijarit käyttävät pettääkseen uhriaan.
Pahoinpitelyjen tekosyy, joita voi tapahtua offline-tilassa tai verkossa, ovat menestyneimpiä sosiaalisen suunnittelun tekniikoita, koska hyökkääjät tekevät paljon vaivaa saadakseen itsensä näyttämään luotettavilta.
Ole varovainen paljastaessasi yksityisiä tietoja tuntemattomille, sillä tekosyyn huijausta voi olla vaikea havaita.
Voit sulkea pois sosiaalisen manipuloinnin yrityksen ottamalla yhteyttä suoraan yritykseen, jos joku soittaa sinulle kiireellisestä tarpeesta.
Hunaja ansa
Hunajaloukku on eräänlainen sosiaalisen suunnittelun lähestymistapa, jossa hyökkääjä viettelee uhrin turvattomaan seksuaaliseen ympäristöön.
Tämän jälkeen hyökkääjä käyttää tilannetta hyväkseen kiristykseen tai seksikiristykseen. Lähettämällä roskapostisähköposteja väärällä teeskentelyllä, että he "näkivät sinut kamerasi läpi" tai jotain yhtä ilkeää, sosiaaliset insinöörit asettavat usein hunajaansa.
Jos saat tällaisen viestin, varmista, että verkkokamerasi on suojattu.
Pysy sitten rauhallisena ja pidättäydy vastaamasta, koska nämä sähköpostit ovat vain roskapostia.
Vastike
Latina tarkoittaa "jotain jostain", tässä tapauksessa se tarkoittaa uhria, joka saa palkkion vastineeksi yhteistyöstään.
Erinomainen esimerkki on se, kun hakkerit esiintyvät IT-avustajina. He soittavat mahdollisimman monelle yrityksen työntekijälle ja väittävät, että heillä on yksinkertainen ratkaisu ja lisätään, että "sinun tarvitsee vain poistaa AV käytöstä".
Jokainen, joka antaa sille periksi, on asentanut tietokoneeseensa lunnasohjelmia tai muita viruksia.
tailgating
Takalaajoa, joka tunnetaan myös nimellä säästöpossu, tapahtuu, kun hakkeri seuraa voimassa olevaa pääsykorttia käyttävää henkilöä suojattuun rakennukseen.
Tämän hyökkäyksen toteuttamiseksi oletetaan, että henkilö, jolla on lupa päästä rakennukseen, olisi tarpeeksi huomaavainen pitämään oven auki takanaan tulevalle.
Kuinka voit estää Social Engineering -hyökkäykset?
Käyttämällä näitä ennaltaehkäiseviä toimenpiteitä sinulla ja henkilökunnallasi on parhaat mahdollisuudet välttää manipulointihyökkäykset.
Kouluta työntekijöitä
Suurin syy työntekijöiden taipumiseen sosiaalisen manipuloinnin hyökkäyksiin on tietämättömyys. Opettaakseen henkilöstöä reagoimaan tyypillisiin tietomurtoyrityksiin organisaatioiden tulisi tarjota turvallisuustietoisuuskoulutusta.
Esimerkiksi mitä tehdä, jos joku yrittää viedä työntekijän työpaikalle tai pyytää arkaluonteisia tietoja.
Jotkut yleisimmistä kyberhyökkäyksistä on kuvattu alla olevassa luettelossa:
- DDoS-hyökkäykset
- Phishing-hyökkäykset
- Clickjacking-hyökkäykset
- Ransomware-hyökkäykset
- Haittaohjelmien hyökkäykset
- Kuinka reagoida takaluukusta
Tarkista hyökkäysvastus
Suorita kontrolloituja sosiaalisen manipuloinnin hyökkäyksiä yrityksellesi testataksesi sitä. Lähetä vääriä phishing-sähköposteja ja nuhtele varovasti henkilöstön jäseniä, jotka avaavat liitteitä, napsauttavat haitallisia linkkejä tai reagoivat.
Sen sijaan, että niitä pidettäisiin kyberturvallisuuden epäonnistumisina, nämä tapaukset tulisi nähdä erittäin opettavaisina tilanteina.
Käyttöturvallisuus
OPSEC on menetelmä havaita ystävällinen käyttäytyminen, joka saattaa olla hyödyllistä tulevalle hyökkääjälle. OPSEC voi paljastaa arkaluontoisia tai tärkeitä tietoja, jos niitä käsitellään asianmukaisesti ja ryhmitellään muiden tietojen kanssa.
Voit rajoittaa tietomäärää, jonka sosiaaliset insinöörit voivat saada käyttämällä OPSEC-menettelyjä.
Etsi tietovuotoja
Voi olla haastavaa tietää, ovatko tunnistetiedot paljastuneet tietojenkalasteluyrityksen seurauksena.
Yrityksesi tulisi jatkuvasti etsiä tietoja ja vuotaneita tunnistetietoja, koska joillakin tietojenkalasteluilla voi kestää kuukausia tai jopa vuosia hyödyntääkseen keräämiään valtuustietoja.
Ota käyttöön monivaiheinen todennus
Käytä monivaiheista todennusmenetelmää, joka edellyttää, että käyttäjät pitävät hallussaan tunnuksen, salasanan ja biometriset tiedot, jotta he pääsevät käsiksi kriittisiin resursseihin.
Ota käyttöön kolmannen osapuolen riskienhallintajärjestelmä
Ennen kuin hankit uusia toimittajia tai jatkat työskentelyä nykyisten toimittajien kanssa, luo järjestelmä kolmansien osapuolten riskien hallintaa varten, toimittajien hallintapolitiikka ja suorita kyberturvallisuusriski arviointi.
Varsinkin sen jälkeen, kun varastettua dataa on myyty pimeässä verkossa, on huomattavasti helpompaa välttää tietomurrot kuin puhdistaa ne.
Löydä ohjelmistot, jotka voivat hallita automaattisesti toimittajariskejä ja säännöllisesti seurata, luokitella ja arvioida toimittajien kyberturvallisuutta.
Muokkaa roskapostiasetuksiasi.
Sähköpostiasetusten muuttaminen on yksi yksinkertaisimmista tavoista puolustaa itseäsi manipulointiyrityksiltä. Voit parantaa roskapostisuodattimiasi pitääksesi manipulointihuijaussähköpostit poissa postilaatikostasi.
Voit myös lisätä suoraan digitaalisiin yhteystietoluetteloihisi sellaisten henkilöiden ja organisaatioiden sähköpostiosoitteet, joiden tiedät olevan todellisia – kuka tahansa, joka esiintyy heinä, mutta käyttää toista osoitetta tulevaisuudessa, on todennäköisesti sosiaalinen insinööri.
Yhteenveto
Lopuksi sosiaalinen suunnittelu on melko yksinkertainen tekniikka, jota voidaan käyttää petoksien, petosten tai muiden rikosten tekemiseen. Se voi tulla kenelle tahansa henkilökohtaisesti, puhelimitse tai verkossa.
Yhteiskunnallisten insinöörien ei tarvitse olla kovin teknisiä; heidän tarvitsee vain saada sinut antamaan heille henkilökohtaisia tietoja.
Se on mahdollisesti tuhoisa huijaus, koska olemme kaikki vaarassa. Sosiaalinen media on myös mahdollistanut sosiaalisten insinöörien tekemisen ovelammaksi, koska he ovat luoneet vääriä tilejä, jotka on helppo erehtyä erehtymään oikeiksi tai jopa esiintyä todellisina henkilöinä.
Ole aina varovainen, kun näet outoja tai tuntemattomia profiileja sosiaalisessa mediassa.
Jätä vastaus