Obsah[Skryť][Šou]
Hoci väčšina kyberzločincov sú zruční manipulátori, neznamená to, že sú vždy zručnými technologickými manipulátormi; iní kyberzločinci preferujú praktiky manipulácie ľudí.
Inými slovami, využívajú sociálne inžinierstvo, čo je prax spustenia kybernetického útoku využívaním nedostatkov v ľudskej povahe.
V jednoduchom prípade sociálneho inžinierstva by sa to mohlo stať, ak sa kyberzločinec vydáva za IT experta a požiada o vaše prihlasovacie údaje, aby odstránil bezpečnostnú dieru vo vašom systéme.
Ak poskytnete informácie, práve ste poskytli prístup k vášmu účtu zlej osobe bez toho, aby sa musela obávať o prístup k vášmu e-mailu alebo počítaču.
V každom bezpečnostnom reťazci sme takmer zvyčajne najslabším článkom, pretože sme náchylní na rôzne triky. Techniky sociálneho inžinierstva využívajú túto zraniteľnosť u ľudí na oklamanie obetí, aby prezradili súkromné informácie.
Sociálne inžinierstvo sa neustále vyvíja, rovnako ako väčšina kybernetických hrozieb.
V tomto článku rozoberieme súčasný stav sociálneho inžinierstva, rôzne druhy útokov, na ktoré si treba dávať pozor, a varovné signály, na ktoré si treba dávať pozor.
Začnime úvodom do sociálneho inžinierstva.
Čo je sociálne inžinierstvo?
Sociálne inžinierstvo vo výpočtovej technike sa týka techník, ktoré počítačoví zločinci používajú na presvedčenie obetí, aby urobili pochybnú akciu, ktorá často zahŕňa narušenie bezpečnosti, prevod peňazí alebo zverejnenie osobných informácií.
Tieto aktivity často spochybňujú logiku a odporujú nášmu lepšiemu úsudku.
Podvodníci nás však môžu presvedčiť, aby sme prestali myslieť logicky a začali konať podľa inštinktov bez toho, aby sme premýšľali o tom, čo vlastne robíme, a to manipuláciou našich emócií – pozitívnych aj negatívnych – ako je hnev, strach a láska.
Jednoducho povedané, sociálne inžinierstvo je spôsob, akým hackeri ohrozujú naše mozgy, rovnako ako to robia s malvérom a vírusmi, ktoré ohrozujú naše stroje.
Útočníci často využívajú sociálne inžinierstvo, pretože je často jednoduchšie využiť výhody jednotlivcov ako identifikovať slabinu siete alebo softvéru.
Pretože zločinci a ich obete nikdy nemusia byť v kontakte osobne, sociálne inžinierstvo je vždy súčasťou širšieho podvodu.
Dostať obete: je vo všeobecnosti hlavným cieľom:
- Škodlivý softvér v ich smartfóne.
- Vzdajte sa svojho používateľského mena a hesla.
- Udeľte povolenie pre škodlivý doplnok, rozšírenie alebo aplikáciu tretej strany.
- Posielajte peniaze prostredníctvom peňažného poukazu, elektronického prevodu prostriedkov alebo darčekových kariet.
- Zahrajte si úlohu mulica na prenášanie a pranie nelegálnych peňazí.
Techniky sociálneho inžinierstva používajú zločinci, pretože je často jednoduchšie využiť vašu prirodzenú tendenciu dôverovať druhým, než prísť na to, ako hacknúť váš program.
Napríklad, pokiaľ heslo nie je naozaj slabé, je oveľa jednoduchšie oklamať niekoho, aby vám povedal svoje heslo, než sa ho pokúsiť hacknúť.
Ako funguje sociálne inžinierstvo?
Sociálni inžinieri vykonávajú kybernetické útoky pomocou rôznych stratégií. Väčšina útokov sociálneho inžinierstva začína tým, že útočník vykonáva prieskum a prieskum obete.
Napríklad, ak je cieľom podnik, hacker sa môže dozvedieť o organizačnej štruktúre spoločnosti, interných procesoch, odvetvovom žargóne, potenciálnych obchodných partneroch a ďalších podrobnostiach.
Zameranie sa na činy a návyky pracovníkov s nízkou úrovňou, ale počiatočným prístupom, ako je bezpečnostný strážca alebo recepčný, je jednou zo stratégií, ktorú používajú sociálni inžinieri.
Útočníci môžu hľadať sociálne médiá účtuje o osobných údajoch a sleduje ich správanie online aj osobne.
Sociálny inžinier môže následne použiť zhromaždené dôkazy na plánovanie útoku a využiť nedostatky objavené počas prieskumnej fázy.
Ak k útoku skutočne dôjde, útočník by mohol získať chránené systémy alebo siete, peniaze od cieľov alebo prístup k súkromným údajom, ako sú čísla sociálneho poistenia, údaje o kreditnej karte alebo bankové údaje.
Bežné typy útokov sociálneho inžinierstva
Učenie sa o typických technikách používaných v sociálnom inžinierstve je jednou z najlepších stratégií, ako sa brániť pred útokom sociálneho inžinierstva.
V súčasnosti sa sociálne inžinierstvo bežne vyskytuje online, a to aj prostredníctvom podvodov na sociálnych sieťach, keď útočníci prevezmú identitu spoľahlivého zdroja alebo vysokopostaveného úradníka, aby oklamali obete, aby prezradili citlivé informácie.
Tu sú niektoré ďalšie prevládajúce útoky sociálneho inžinierstva:
phishing
Phishing je akýmsi prístupom sociálneho inžinierstva, v ktorom je komunikácia maskovaná tak, aby vyzerala, že pochádza z dôveryhodného zdroja.
Účelom týchto správ, ktorými sú často e-maily, je naviesť obete, aby prezradili osobné alebo finančné informácie.
Koniec koncov, prečo by sme mali podozrievať z oprávnenosti e-mailu od priateľa, člena rodiny alebo spoločnosti, ktorú poznáme? Podvodníci využívajú túto dôveru.
vishing
Vishing je komplexný typ phishingového útoku. Je tiež známy ako „hlasový phishing“. Pri týchto útokoch je telefónne číslo často sfalšované, aby vyzeralo autenticky – útočníci sa môžu vydávať za IT pracovníkov, spolupracovníkov alebo bankárov.
Niektorí útočníci môžu použiť meniče hlasu, aby ešte viac zakryli svoju identitu.
spear phishing
Veľké spoločnosti alebo konkrétni ľudia sú cieľom spear phishingu, akéhosi útoku sociálneho inžinierstva. Cieľmi phishingových útokov sú silní jednotlivci alebo malé skupiny, ako sú obchodní lídri a verejné osobnosti.
Táto forma útoku sociálneho inžinierstva je často dobre preskúmaná a klamlivo maskovaná, takže je ťažké ju odhaliť.
SMiShingových
Smishing je druh phishingového útoku, ktorý využíva textové (SMS) správy ako prostriedok komunikácie. Prezentáciou škodlivých adries URL na kliknutie alebo kontaktných telefónnych čísel si tieto útoky zvyčajne vyžadujú od obetí rýchlu akciu.
Obete sú často vyzývané, aby poskytli súkromné informácie, ktoré môžu útočníci použiť proti nim.
S cieľom presvedčiť obete, aby konali rýchlo a podľahli útoku, útoky smilingom často zobrazujú pocit naliehavosti.
scareware
Používanie sociálneho inžinierstva na vystrašenie jednotlivcov, aby si nainštalovali falošný bezpečnostný softvér alebo pristupovali k webovým stránkam infikovaným škodlivým softvérom, sa nazýva scareware.
Scareware sa zvyčajne prejavuje ako vyskakovacie okná, ktoré vám ponúkajú pomoc pri odstraňovaní údajnej počítačovej infekcie z vášho notebooku. Kliknutím na kontextové okno môžete neúmyselne nainštalovať ďalší malvér alebo byť presmerovaní na nebezpečnú webovú stránku.
Ak si myslíte, že máte strašiaci softvér alebo iné rušivé vyskakovacie okno, často používajte spoľahlivý program na eradikáciu vírusov. Pre digitálnu hygienu je dôležité pravidelne kontrolovať vaše zariadenie z hľadiska rizík.
Môže tiež pomôcť pri ochrane vašich osobných údajov tým, že zabráni budúcim útokom sociálneho inžinierstva.
návnady
Útoky sociálneho inžinierstva môžu začať aj offline; nie sú nevyhnutne spustené online.
Návnada je praktika, pri ktorej útočník zanechá objekt infikovaný škodlivým softvérom, ako napríklad USB kľúč, niekde, kde ho pravdepodobne objaví. Tieto zariadenia sú často označené zámerne, aby vzbudili záujem.
Používateľ, ktorý zoberie gadget a vloží ho do svojho počítača zo zvedavosti alebo chamtivosti, riskuje, že neúmyselne infikuje tento stroj vírusom.
lovu veľrýb
Jedným z najodvážnejších pokusov o phishing s katastrofálnymi výsledkami je lov veľrýb. Typickým cieľom tohto druhu útoku sociálneho inžinierstva je jedna osoba s vysokou hodnotou.
Termín „podvod s generálnym riaditeľom“ sa príležitostne používa na opis lovu veľrýb, ktorý vám naznačuje cieľ.
Keďže efektívne predpokladajú vhodný obchodný tón reči a využívajú zasvätené znalosti odvetvia vo svoj prospech, je ťažšie rozpoznať útoky na lov veľrýb ako iné phishingové útoky.
Predbežné textové správy
Pretextovanie je proces vytvárania falošných okolností alebo „zámien“, ktoré podvodníci využívajú na oklamanie svojich obetí.
Útoky s pretextovaním, ktoré sa môžu vyskytnúť offline alebo online, patria medzi najúspešnejšie techniky sociálneho inžinierstva, pretože útočníci vynakladajú veľa úsilia na to, aby vyzerali dôveryhodne.
Pri prezrádzaní súkromných informácií cudzím ľuďom buďte opatrní, pretože môže byť ťažké odhaliť hoax zámienky.
Ak chcete vylúčiť pokus o sociálne inžinierstvo, kontaktujte priamo spoločnosť, ak vám niekto zatelefonuje o naliehavej potrebe.
Medová pasca
Medová pasca je druh prístupu sociálneho inžinierstva, v ktorom útočník zvádza obeť do nebezpečného sexuálneho prostredia.
Útočník potom využije túto okolnosť na vydieranie alebo sexuálne vydieranie. Posielaním spamových e-mailov s falošnou zámienkou, že vás „vidia cez vašu kameru“ alebo s niečím rovnako ohavným, sociálni inžinieri často kladú medové pasce.
Ak dostanete takúto správu, uistite sa, že je vaša webová kamera chránená.
Potom zostaňte pokojní a neodpovedajte, pretože tieto e-maily nie sú nič iné ako spam.
Niečo za niečo
Latinčina znamená „niečo za niečo“, v tomto prípade to znamená, že obeť dostane odmenu za spoluprácu.
Vynikajúcou ilustráciou je, keď sa hackeri vydávajú za IT asistentov. Vo firme zatelefonujú čo najväčšiemu počtu zamestnancov a budú tvrdiť, že majú jednoduché riešenie a dodajú, že „stačí deaktivovať AV“.
Každý, kto jej podľahne, má v počítači nainštalovaný ransomvér alebo iné vírusy.
tailgating
Tailgating, tiež známy ako piggybacking, nastáva, keď hacker sleduje osobu pomocou platnej prístupovej karty do zabezpečenej budovy.
Na uskutočnenie tohto útoku sa predpokladá, že osoba, ktorá má povolenie na vstup do budovy, bude dostatočne ohľaduplná a podrží dvere otvorené osobe, ktorá prichádza za nimi.
Ako môžete zabrániť útokom sociálneho inžinierstva?
Použitím týchto preventívnych opatrení budete mať vy a vaši zamestnanci najlepšiu šancu vyhnúť sa útokom sociálneho inžinierstva.
Vzdelávať zamestnancov
Hlavnou príčinou omylov zamestnancov voči útokom sociálneho inžinierstva je nevedomosť. Aby sa pracovníci naučili reagovať na typické pokusy o narušenie, organizácie by mali ponúkať školenia o bezpečnosti.
Napríklad, čo robiť, ak sa niekto pokúsi priviesť zamestnanca na pracovisko alebo ho žiada o citlivé informácie.
Niektoré z najčastejších kybernetických útokov sú popísané v zozname nižšie:
- Útoky DDoS
- Phishingové útoky
- Clickjacking útoky
- Ransomware útoky
- Malvérové útoky
- Ako reagovať na tailgating
Skontrolujte odolnosť proti útokom
Vykonajte kontrolované útoky sociálneho inžinierstva na vašu spoločnosť, aby ste ju otestovali. Posielajte falošné phishingové e-maily a jemne napomínajte zamestnancov, ktorí otvárajú prílohy, klikajú na škodlivé odkazy alebo reagujú.
Namiesto toho, aby sa tieto prípady vnímali ako zlyhania kybernetickej bezpečnosti, mali by sa považovať za vysoko vzdelávacie situácie.
Bezpečnosť operácie
OPSEC je metóda na zistenie priateľského správania, ktoré môže byť výhodné pre budúceho útočníka. OPSEC môže odhaliť citlivé alebo dôležité údaje, ak sú vhodne spracované a zoskupené s inými údajmi.
Pomocou postupov OPSEC môžete obmedziť množstvo informácií, ktoré môžu sociálni inžinieri získať.
Nájdite úniky údajov
Zistiť, či boli poverenia odhalené v dôsledku pokusu o phishing, môže byť náročné.
Vaša spoločnosť by mala neustále hľadať odhalené údaje a uniknuté poverenia, pretože niektorým phishom môže trvať mesiace alebo dokonca roky, kým získajú poverenia.
Implementujte viacfaktorovú autentifikáciu
Presadzujte metódu viacfaktorovej autentifikácie, ktorá vyžaduje, aby používatelia vlastnili token, poznali heslo a vlastnili svoje biometrické údaje, aby získali prístup ku kritickým zdrojom.
Implementujte systém riadenia rizík tretej strany
Pred privedením nových dodávateľov alebo pokračovaním v spolupráci so súčasnými dodávateľmi vytvorte systém riadenia rizík tretích strán, politiku riadenia dodávateľov a vykonajte riziko kybernetickej bezpečnosti Posúdenie.
Najmä po predaji ukradnutých údajov na temnom webe je oveľa jednoduchšie vyhnúť sa úniku údajov, ako ich vyčistiť.
Nájdite softvér, ktorý dokáže automaticky riadiť riziko dodávateľa a pravidelne sledovať, hodnotiť a vyhodnocovať kybernetickú bezpečnosť vašich predajcov.
Upravte predvoľby nevyžiadanej pošty.
Zmena nastavení e-mailu je jednou z najjednoduchších metód, ako sa brániť pred pokusmi o sociálne inžinierstvo. Môžete vylepšiť svoje spamové filtre, aby sa vám podvodné e-maily sociálneho inžinierstva nedostali do vašej doručenej pošty.
Môžete tiež priamo pridať e-mailové adresy jednotlivcov a organizácií, o ktorých viete, že sú skutočné, do svojich zoznamov digitálnych kontaktov – každý, kto sa za nich vydáva, ale v budúcnosti použije inú adresu, je s najväčšou pravdepodobnosťou sociálny inžinier.
záver
Napokon, sociálne inžinierstvo je pomerne jednoduchá technika, ktorú možno použiť na páchanie podvodov, podvodov alebo iných trestných činov. Môže sa to stať komukoľvek osobne, telefonicky alebo online.
Sociálni inžinieri nemusia byť veľmi technickí; musia vás len oklamať, aby ste im poskytli súkromné informácie.
Je to potenciálne katastrofálny podvod, pretože sme všetci v nebezpečenstve. Sociálne médiá tiež umožnili sociálnym inžinierom stať sa prefíkanejšími tým, že im umožnili vytvárať falošné účty, ktoré sa dajú ľahko pomýliť so skutočnými, alebo sa dokonca vydávať za skutočných jednotlivcov.
Pri zobrazovaní zvláštnych alebo neznámych profilov na sociálnych sieťach buďte vždy opatrní.
Nechaj odpoveď