Turinys[Slėpti][Rodyti]
Nors dauguma kibernetinių nusikaltėlių yra įgudę manipuliatoriai, tai nereiškia, kad jie visada yra įgudę technologiniai manipuliatoriai; kiti kibernetiniai nusikaltėliai labiau mėgsta manipuliuoti žmonėmis.
Kitaip tariant, jie naudojasi socialine inžinerija, ty praktika pradėti kibernetinę ataką pasinaudojant žmogaus prigimties trūkumais.
Paprastu socialinės inžinerijos atveju taip gali nutikti, jei kibernetinis nusikaltėlis apsimetinėja IT ekspertu ir paprašys jūsų prisijungimo duomenų, kad ištaisytų saugos spragą jūsų sistemoje.
Jei pateikiate informaciją, ką tik suteikėte blogam asmeniui prieigą prie savo paskyros, jam net nereikės jaudintis dėl prieigos prie jūsų el. pašto ar kompiuterio.
Kiekvienoje saugumo grandinėje mes beveik paprastai esame silpniausia grandis, nes esame jautrūs įvairioms gudrybėms. Socialinės inžinerijos metodai išnaudoja šį žmonių pažeidžiamumą, kad apgautų aukas, kad jos atskleistų privačią informaciją.
Socialinė inžinerija nuolat vystosi, kaip ir dauguma kibernetinių grėsmių.
Šiame straipsnyje aptarsime dabartinę socialinės inžinerijos būklę, įvairių rūšių atakas, kurių reikia saugotis, ir įspėjamuosius ženklus, į kuriuos reikia atkreipti dėmesį.
Pradėkime įvadą į socialinę inžineriją.
Kas yra socialinė inžinerija?
Socialinė inžinerija kompiuterijos srityje reiškia metodus, kuriuos naudoja kibernetiniai nusikaltėliai, norėdami įtikinti aukas atlikti abejotiną veiksmą, dėl kurio dažnai pažeidžiamas saugumas, perduodami pinigai arba atskleidžiama asmeninė informacija.
Ši veikla dažnai meta iššūkį logikai ir prieštarauja mūsų geresniam sprendimui.
Tačiau sukčiai gali įtikinti mus nustoti mąstyti logiškai ir pradėti veikti pagal instinktą, negalvodami apie tai, ką iš tikrųjų darome, manipuliuodami savo emocijomis – tiek teigiamomis, tiek neigiamomis – tokiomis kaip pyktis, baimė ir meilė.
Paprasčiau tariant, socialinė inžinerija yra tai, kaip įsilaužėliai pažeidžia mūsų smegenis, kaip tai daro su kenkėjiškomis programomis ir virusais, siekdami pažeisti mūsų mašinas.
Užpuolikai dažnai naudoja socialinę inžineriją, nes dažnai lengviau pasinaudoti asmenimis, nei nustatyti tinklo ar programinės įrangos trūkumus.
Kadangi nusikaltėliams ir jų aukoms niekada nereikia bendrauti asmeniškai, socialinė inžinerija visada yra platesnės sukčiavimo dalis.
Pritraukti aukas į: paprastai yra pagrindinis tikslas:
- Kenkėjiška programinė įranga jų išmaniajame telefone.
- Atsisakykite savo vartotojo vardo ir slaptažodžio.
- Suteikite leidimą naudoti kenkėjišką papildinį, plėtinį ar trečiosios šalies programą.
- Siųskite pinigus per pinigų pavedimą, elektroninį lėšų pervedimą arba dovanų korteles.
- Atlikite pinigų mulo vaidmenį, norėdami perduoti ir plauti nelegalius pinigus.
Socialinės inžinerijos metodus naudoja nusikaltėliai, nes dažnai lengviau pasinaudoti savo polinkiu pasitikėti kitais, nei išsiaiškinti, kaip nulaužti jūsų programą.
Pavyzdžiui, jei slaptažodis nėra tikrai silpnas, daug paprasčiau apgauti ką nors pasakyti jums savo slaptažodį, nei bandyti jį nulaužti.
Kaip veikia socialinė inžinerija?
Socialiniai inžinieriai vykdo kibernetines atakas naudodami įvairias strategijas. Dauguma socialinės inžinerijos užpuolimų prasideda tuo, kad užpuolikas atlieka žvalgybą ir tiria auką.
Pavyzdžiui, jei taikinys yra įmonė, įsilaužėlis gali sužinoti apie įmonės organizacinę struktūrą, vidinius procesus, pramonės žargoną, galimus verslo partnerius ir kitą informaciją.
Socialinių inžinierių naudojama strategija yra sutelkti dėmesį į žemo lygio, bet pradinę prieigą turinčių darbuotojų, pavyzdžiui, apsaugos darbuotojo ar registratūros darbuotojo, veiksmus ir įpročius.
Užpuolikai gali ieškoti socialinės žiniasklaidos atsižvelgia į asmeninę informaciją ir stebi savo elgesį tiek internete, tiek asmeniškai.
Socialinis inžinierius gali panaudoti surinktus įrodymus planuodamas užpuolimą ir pasinaudoti trūkumais, aptiktais žvalgybos etape.
Jei iš tikrųjų ataka įvyksta, užpuolikas gali gauti apsaugotas sistemas ar tinklus, pinigų iš taikinių arba prieigą prie privačių duomenų, pvz., socialinio draudimo numerių, kredito kortelių duomenų ar banko duomenų.
Įprastos socialinės inžinerijos atakų rūšys
Mokymasis apie tipiškus socialinės inžinerijos būdus yra viena iš geriausių strategijų apsisaugoti nuo socialinės inžinerijos atakos.
Šiais laikais socialinė inžinerija dažniausiai įvyksta internete, įskaitant socialinių tinklų sukčiavimą, kai užpuolikai prisiima patikimo šaltinio ar aukšto rango pareigūno tapatybę, kad apgautų aukas, kad jos atskleistų neskelbtiną informaciją.
Štai keletas kitų paplitusių socialinės inžinerijos atakų:
Phishing
Sukčiavimas yra tam tikras socialinės inžinerijos metodas, kai komunikacija užmaskuojama taip, kad atrodytų iš patikimo šaltinio.
Šiais pranešimais, kurie dažnai būna el. laiškai, siekiama suklaidinti aukas, kad jos atskleistų asmeninę ar finansinę informaciją.
Galų gale, kodėl turėtume įtarti el. laiško, gauto iš mums pažįstamo draugo, šeimos nario ar įmonės, teisėtumą? Sukčiai pasinaudoja šiuo pasitikėjimu.
Vishing
Vishing yra sudėtingas sukčiavimo išpuolių tipas. Jis taip pat žinomas kaip „balso sukčiavimas“. Šių išpuolių metu telefono numeris dažnai padirbamas, kad atrodytų autentiškas – užpuolikai gali apsimesti IT darbuotojais, bendradarbiais ar bankininkais.
Kai kurie užpuolikai gali naudoti balso keitiklius, kad dar labiau nuslėptų savo tapatybę.
„Spear“ sukčiavimas
Didelės įmonės ar tam tikri žmonės yra sukčiavimo, tam tikros socialinės inžinerijos, taikiniai. Sukčiavimo su ietimis atakų taikiniai yra stiprūs asmenys arba nedidelės grupės, pavyzdžiui, įmonių vadovai ir visuomenės veikėjai.
Ši socialinės inžinerijos atakos forma dažnai yra gerai ištirta ir apgaulingai užmaskuota, todėl ją pastebėti sunku.
Smilingas
Smishing yra tam tikras sukčiavimo išpuolis, kurio metu kaip komunikacijos priemonė naudojami tekstiniai (SMS) pranešimai. Pateikus žalingus URL adresus, kuriuos reikia spustelėti, arba telefono numerius, kuriais galima susisiekti, šie užpuolimai paprastai reikalauja greitų aukų veiksmų.
Aukos dažnai raginamos pateikti privačią informaciją, kurią užpuolikai gali panaudoti prieš jas.
Siekiant įtikinti aukas veikti greitai ir pakliūti į užpuolimą, trenksmingi išpuoliai dažnai rodo skubos jausmą.
Gąsdinimai
Socialinės inžinerijos naudojimas siekiant gąsdinti asmenis, kad jie neįdiegtų netikros saugos programinės įrangos arba pasiektų kenkėjiškomis programomis užkrėstas svetaines, vadinamas baidymo programomis.
Baisių programinės įrangos paprastai rodomos kaip iššokantys langai, kurie siūlo padėti pašalinti tariamą kompiuterio infekciją iš nešiojamojo kompiuterio. Spustelėję iššokantįjį langą galite netyčia įdiegti daugiau kenkėjiškų programų arba būti išsiųsti į pavojingą svetainę.
Naudokite patikimą virusų naikinimo programą, kad dažnai nuskaitytumėte savo kompiuterį, jei manote, kad turite pavojaus programinę įrangą ar kitą įkyrų iššokantįjį langą. Skaitmeninei higienai svarbu periodiškai tikrinti, ar jūsų įrenginyje nėra pavojų.
Tai taip pat gali padėti apsaugoti jūsų asmeninę informaciją, užkertant kelią būsimiems socialinės inžinerijos išpuoliams.
Masalas
Socialinės inžinerijos atakos gali prasidėti ir neprisijungus; jie nebūtinai paleidžiami internete.
Kibimas yra praktika, kai užpuolikas palieka kenkėjiška programa užkrėstą objektą, pvz., USB diską, ten, kur jis gali būti aptiktas. Šie įrenginiai dažnai ženklinami specialiais ženklais, kad sukeltų susidomėjimą.
Vartotojas, kuris paima programėlę ir įdeda ją į savo kompiuterį iš smalsumo ar godumo, rizikuoja netyčia užkrėsti tą mašiną virusu.
Banginių medžioklė
Vienas drąsiausių sukčiavimo bandymų, kurio rezultatai pražūtingi, yra banginių medžioklė. Tipiškas tokio pobūdžio socialinės inžinerijos atakos taikinys yra vienas didelės vertės asmuo.
Terminas „generalinio direktoriaus sukčiavimas“ kartais vartojamas banginių medžioklei apibūdinti, o tai nurodo tikslą.
Banginių medžioklės išpuolius sunkiau pastebėti nei kitas sukčiavimo atakas, nes jie iš tikrųjų naudoja tinkamą dalykišką kalbos toną ir pasinaudoja viešai neatskleista pramonės žiniomis.
Išankstinis pranešimas
Pretekstas – tai melagingos aplinkybės arba „preteksto“ išgalvojimo procesas, kurį sukčiai pasitelkia norėdami apgauti savo aukas.
Užpuolimų pretekstas, kuris gali įvykti neprisijungus arba prisijungus, yra vienas iš sėkmingiausių socialinės inžinerijos metodų, nes užpuolikai deda daug pastangų, kad atrodytų patikimi.
Būkite atsargūs atskleisdami privačią informaciją nepažįstamiems žmonėms, nes gali būti sunku pastebėti preteksto apgaulę.
Norėdami atmesti socialinės inžinerijos bandymą, susisiekite su įmone tiesiogiai, jei kas nors jums paskambins dėl skubaus poreikio.
Medaus spąstai
Medaus spąstai yra tam tikras socialinės inžinerijos metodas, kai užpuolikas suvilioja auką į nesaugią seksualinę aplinką.
Tada užpuolikas pasinaudoja tokia aplinkybe, kad įvykdytų šantažus arba įsitrauktų į sekso prievartavimą. Siųsdami šlamšto el. laiškus klaidingai apsimetinėdami, kad jie „mato jus per kamerą“ ar ką nors tokio pat niekšiško, socialiniai inžinieriai dažnai paslepia spąstus.
Jei gaunate tokį pranešimą, įsitikinkite, kad jūsų internetinė kamera yra apsaugota.
Tada tiesiog būkite ramūs ir neatsakykite, nes šie el. laiškai yra ne kas kita, kaip šlamštas.
"Quid pro quo
Lotynų kalba reiškia „kažkas už kažką“, šiuo atveju tai reiškia, kad auka gauna atlygį už bendradarbiavimą.
Puiki iliustracija, kai įsilaužėliai prisistato IT padėjėjais. Jie paskambins kuo daugiau įmonės darbuotojų ir tvirtins, kad turi paprastą sprendimą, pridurdami, kad „jums reikia tik išjungti AV“.
Kiekvienas, kuris jai pasiduoda, turi savo kompiuteryje įdiegtas išpirkos reikalaujančias programas ar kitus virusus.
Tailgering
Įsilaužimas, taip pat žinomas kaip atsitraukimas, įvyksta, kai įsilaužėlis seka asmenį naudodamas galiojančią įėjimo kortelę į apsaugotą pastatą.
Spėjama, kad norint įvykdyti šį išpuolį asmuo, turintis leidimą patekti į pastatą, būtų pakankamai dėmesingas ir laikytų atviras duris žmogui, kuris ateina už jų.
Kaip galite užkirsti kelią socialinės inžinerijos atakoms?
Naudodami šias prevencines priemones jūs ir jūsų darbuotojai turėsite geriausias galimybes išvengti socialinės inžinerijos užpuolimų.
Mokyti darbuotojus
Pagrindinė priežastis, dėl kurios darbuotojas nepatenka į socialinės inžinerijos atakas, yra nežinojimas. Norėdamos išmokyti darbuotojus reaguoti į tipiškus bandymus įsilaužti, organizacijos turėtų organizuoti saugumo supratimo mokymus.
Pavyzdžiui, ką daryti, jei kas nors bando įstumti darbuotoją į darbo vietą arba paprašo neskelbtinos informacijos.
Kai kurios dažniausiai pasitaikančios kibernetinės atakos aprašytos toliau pateiktame sąraše:
- DDoS atakos
- Sukčiavimo atakos
- Clickjacking atakos
- Ransomware išpuoliai
- Kenkėjiškų programų atakos
- Kaip reaguoti į užlenkimą
Patikrinkite atsparumą atakai
Atlikite kontroliuojamus socialinės inžinerijos puolimus savo įmonėje, kad ją išbandytumėte. Siųskite klaidingus sukčiavimo el. laiškus ir švelniai priekaiškite darbuotojams, kurie atidaro priedus, spustelėja kenksmingas nuorodas arba reaguoja.
Vietoj to, kad jie būtų suvokiami kaip kibernetinio saugumo nesėkmės, šie atvejai turėtų būti vertinami kaip labai šviečiančios situacijos.
Operacijos saugumas
OPSEC yra būdas pastebėti draugišką elgesį, kuris gali būti naudingas būsimam užpuolikui. OPSEC gali atskleisti jautrius ar svarbius duomenis, jei jie tinkamai apdorojami ir sugrupuojami su kitais duomenimis.
Galite apriboti informacijos, kurią socialiniai inžinieriai gali gauti, kiekį naudodami OPSEC procedūras.
Raskite duomenų nutekėjimą
Sužinoti, ar kredencialai buvo atskleisti dėl bandymo sukčiauti, gali būti sudėtinga.
Jūsų įmonė turėtų nuolat ieškoti atskleistų duomenų ir nutekėjusių kredencialų, nes kai kuriems sukčiuotojams gali prireikti mėnesių ar net metų, kol pasinaudoja surinktais kredencialais.
Įdiekite kelių veiksnių autentifikavimą
Įgyvendinkite kelių veiksnių autentifikavimo metodą, pagal kurį vartotojai turi turėti prieigos raktą, žinoti slaptažodį ir turėti savo biometrinius duomenis, kad galėtų pasiekti svarbiausius išteklius.
Įdiegti trečiosios šalies rizikos valdymo sistemą
Prieš priimdami naujus tiekėjus arba tęsdami darbą su esamais tiekėjais, sukurkite trečiųjų šalių rizikos valdymo sistemą, pardavėjo valdymo politiką ir atlikite kibernetinio saugumo rizika vertinimas.
Ypač po to, kai pavogti duomenys buvo parduoti tamsiajame žiniatinklyje, žymiai lengviau išvengti duomenų pažeidimų nei juos išvalyti.
Raskite programinę įrangą, kuri gali automatiškai valdyti pardavėjo riziką ir reguliariai stebėti, reitinguoti ir įvertinti jūsų pardavėjų kibernetinį saugumą.
Pakeiskite el. pašto šiukšlių nuostatas.
El. pašto nustatymų keitimas yra vienas iš paprasčiausių būdų apsiginti nuo socialinės inžinerijos bandymų. Galite patobulinti savo šlamšto filtrus, kad gautuosiuose nepatektų socialinės inžinerijos sukčių el. laiškų.
Taip pat galite tiesiogiai įtraukti asmenų ir organizacijų el. pašto adresus, apie kuriuos žinote, kad jie yra tikri, į savo skaitmeninius kontaktų sąrašus – visi, kurie jais apsimeta, bet ateityje naudos kitą adresą, greičiausiai yra socialinis inžinierius.
Išvada
Galiausiai, socialinė inžinerija yra gana paprasta technika, kuri gali būti naudojama sukčiavimui, sukčiavimui ar kitiems nusikaltimams. Tai gali pasireikšti bet kuriam asmeniui asmeniškai, telefonu ar internetu.
Socialiniai inžinieriai neturi būti labai techniški; jiems tereikia sugebėti jus priversti suteikti jiems privačią informaciją.
Tai potencialiai pražūtinga sukčiavimas, nes mums visiems gresia pavojus. Socialinė žiniasklaida taip pat leido socialiniams inžinieriams tapti gudresniais, nes jie gali sukurti netikras paskyras, kurias lengva supainioti su tikromis ar net apsimesti tikrais asmenimis.
Visada būkite atsargūs, kai socialinėje žiniasklaidoje matote keistus ar nepažįstamus profilius.
Palikti atsakymą