Megjithëse shumica e kriminelëve kibernetikë janë manipulues të aftë, kjo nuk do të thotë se ata janë gjithmonë manipulues të aftë teknologjik; kriminelët e tjerë kibernetikë preferojnë praktikën e manipulimit të njerëzve.
Me fjalë të tjera, ata përqafojnë inxhinierinë sociale, që është praktikë e nisjes së një sulmi kibernetik duke përfituar nga të metat në natyrën njerëzore.
Në një rast të drejtpërdrejtë të inxhinierisë sociale, kjo mund të ndodhë nëse një kriminel kibernetik imiton një ekspert IT dhe kërkon të dhënat tuaja të hyrjes për të rregulluar një vrimë sigurie në sistemin tuaj.
Nëse jepni informacionin, sapo i keni dhënë një personi të keq akses në llogarinë tuaj pa pasur nevojë të shqetësohen për qasjen në emailin ose kompjuterin tuaj.
Në çdo zinxhir sigurie, ne jemi pothuajse zakonisht lidhja më e dobët pasi jemi të ndjeshëm ndaj një sërë mashtrimesh. Teknikat e inxhinierisë sociale e shfrytëzojnë këtë dobësi te njerëzit për të mashtruar viktimat në zbulimin e informacionit privat.
Inxhinieria sociale është gjithmonë në zhvillim, siç janë shumica e kërcënimeve kibernetike.
Në këtë artikull, ne do të diskutojmë gjendjen aktuale të inxhinierisë sociale, llojet e ndryshme të sulmeve për t'u kujdesur dhe shenjat paralajmëruese për t'u kujdesur.
Le të fillojmë hyrjen në inxhinierinë sociale.
Çfarë është Inxhinieria Sociale?
Inxhinieria sociale në informatikë i referohet teknikave që përdorin kriminelët kibernetikë për të bindur viktimat të bëjnë një veprim të dyshimtë, i cili shpesh përfshin një shkelje të sigurisë, transmetimin e parave ose zbulimin e informacionit personal.
Këto aktivitete shpesh sfidojnë logjikën dhe shkojnë kundër gjykimit tonë më të mirë.
Megjithatë, mashtruesit mund të na bindin që të ndalojmë së menduari logjikisht dhe të fillojmë të veprojmë sipas instinktit pa menduar se çfarë po bëjmë në të vërtetë duke manipuluar emocionet tona - pozitive dhe negative - si zemërimi, frika dhe dashuria.
E përkufizuar thjesht, inxhinieria sociale është se si hakerët komprometojnë trurin tonë, ashtu siç bëjnë me malware dhe viruse për të komprometuar makinat tona.
Sulmuesit shpesh përdorin inxhinierinë sociale sepse është shpesh më e thjeshtë të përfitosh nga individët sesa të identifikosh një dobësi të rrjetit ose softuerit.
Për shkak se kriminelët dhe viktimat e tyre nuk duhet kurrë të ndërveprojnë personalisht, inxhinieria sociale është gjithmonë një komponent i një mashtrimi më të gjerë.
Arritja e viktimave në: në përgjithësi është qëllimi kryesor:
- Softuer me qëllim të keq në smartfonin e tyre.
- Hiqni dorë nga emri juaj i përdoruesit dhe fjalëkalimi.
- Jepni leje për një shtojcë, shtesë ose aplikacion të palëve të treta me qëllim të keq.
- Dërgoni para përmes porosisë së parave, një transferimi elektronik të fondeve ose kartave të dhuratave.
- Luaj rolin e një mushke parash për të transmetuar dhe pastruar para të paligjshme.
Teknikat e inxhinierisë sociale përdoren nga kriminelët sepse është shpesh më e thjeshtë të përfitosh nga tendenca jote e natyrshme për t'u besuar të tjerëve sesa të kuptosh se si të hakosh programin tënd.
Për shembull, nëse fjalëkalimi nuk është vërtet i dobët, është shumë më e thjeshtë të mashtrosh dikë që t'ju tregojë fjalëkalimin e tij sesa të përpiqeni ta hakoni atë.
Si funksionon inxhinieria sociale?
Inxhinierët social kryejnë sulme kibernetike duke përdorur një sërë strategjish. Shumica e sulmeve të inxhinierisë sociale fillojnë me kryerjen e zbulimit dhe kërkimit nga sulmuesi mbi viktimën.
Për shembull, nëse objektivi është një ndërmarrje, hakeri mund të mësojë për strukturën organizative të kompanisë, proceset e brendshme, zhargonin e industrisë, partnerët e mundshëm të biznesit dhe detaje të tjera.
Përqendrimi në veprimet dhe zakonet e punëtorëve me akses të ulët por fillestar, si një roje sigurie apo recepsionist, është një strategji e përdorur nga inxhinierët socialë.
Sulmuesit mund të kërkojnë Mediat sociale llogari për informacionin personal dhe vëzhgoni sjelljen e tyre si në internet ashtu edhe personalisht.
Më pas, inxhinieri social mund të përdorë provat e mbledhura për të planifikuar një sulm dhe për të përfituar nga të metat e zbuluara gjatë fazës së zbulimit.
Nëse me të vërtetë sulmi ndodh, sulmuesi mund të marrë sisteme ose rrjete të mbrojtura, para nga objektivat ose qasje në të dhëna private si numrat e Sigurimeve Shoqërore, detajet e kartës së kreditit ose detajet bankare.
Llojet e zakonshme të sulmeve të inxhinierisë sociale
Të mësosh rreth teknikave tipike të përdorura në inxhinierinë sociale është një nga strategjitë më të mëdha për të mbrojtur veten nga një sulm i inxhinierisë sociale.
Në ditët e sotme, inxhinieria sociale zakonisht ndodh në internet, duke përfshirë edhe mashtrimet e mediave sociale, kur sulmuesit supozojnë identitetin e një burimi të besueshëm ose të një zyrtari të lartë për të mashtruar viktimat për të zbuluar informacione të ndjeshme.
Këtu janë disa sulme të tjera të përhapura të inxhinierisë sociale:
phishing
Phishing është një lloj qasjeje inxhinierike sociale në të cilën komunikimet maskohen në mënyrë që të duken të jenë nga një burim i besueshëm.
Këto komunikime, të cilat shpesh janë email, synojnë të mashtrojnë viktimat në zbulimin e informacionit personal ose financiar.
Në fund të fundit, pse duhet të dyshojmë për legjitimitetin e një emaili nga një mik, anëtar i familjes ose kompani që njohim? Mashtruesit përfitojnë nga ky besim.
vishing
Vishing është një lloj kompleks sulmi phishing. Njihet gjithashtu si "phishing me zë". Në këto sulme, një numër telefoni shpesh falsifikohet për t'u dukur autentik - sulmuesit mund të paraqiten si staf i IT-së, bashkëpunëtorë ose bankierë.
Disa sulmues mund të përdorin ndërruesit e zërit për të errësuar edhe më shumë identitetin e tyre.
Peshkim me shtiza
Kompanitë e mëdha ose njerëz të veçantë janë objektivat e spear phishing, një lloj sulmi inxhinierik social. Objektivat e sulmeve të phishing me shtizë janë individë të fortë ose grupe të vogla, të tilla si drejtues biznesi dhe figura publike.
Kjo formë e sulmit të inxhinierisë sociale është shpesh e mirë-hulumtuar dhe e kamufluar në mënyrë mashtruese, duke e bërë të vështirë për t'u dalluar.
Smoking
Smishing është një lloj sulmi phishing që përdor mesazhet me tekst (SMS) si mjet komunikimi. Duke paraqitur URL të dëmshme për të klikuar ose numra telefoni për t'u kontaktuar, këto sulme zakonisht kërkojnë veprim të shpejtë nga viktimat e tyre.
Viktimat shpesh nxiten të japin informacion privat që sulmuesit mund t'i përdorin kundër tyre.
Për të bindur viktimat që të veprojnë me shpejtësi dhe të bien në sulm, sulmet goditëse shpesh portretizojnë një ndjenjë urgjence.
Skicë
Përdorimi i inxhinierisë sociale për të tmerruar individët për të instaluar softuer të rremë të sigurisë ose për të hyrë në faqet e internetit të infektuara me malware njihet si scareware.
Scareware zakonisht manifestohet si dritare pop-up që ofrojnë t'ju ndihmojnë në zhdukjen e një infeksioni të supozuar kompjuterik nga laptopi juaj. Duke klikuar në dritaren kërcyese, mund të instaloni pa dashje malware të mëtejshëm ose të dërgoheni në një faqe interneti të rrezikshme.
Përdorni një program të besueshëm për çrrënjosjen e viruseve për të skanuar shpesh kompjuterin tuaj nëse mendoni se keni programe mbrojtëse ose një dritare tjetër ndërhyrëse. Është e rëndësishme që higjiena dixhitale të ekzaminojë periodikisht pajisjen tuaj për rreziqe.
Mund të ndihmojë gjithashtu në mbrojtjen e informacionit tuaj personal duke parandaluar sulmet e ardhshme të inxhinierisë sociale.
Duke pritur
Sulmet e inxhinierisë sociale mund të fillojnë edhe jashtë linje; ato nuk janë domosdoshmërisht të lançuara në internet.
Baiting është praktika e një sulmuesi që lë një objekt të infektuar me malware, të tillë si një USB drive, diku ku ka gjasa të zbulohet. Këto pajisje shpesh markohen me qëllim për të nxitur interes.
Një përdorues që merr pajisjen dhe e vendos atë në kompjuterin e tij për kuriozitet ose lakmi, rrezikon ta infektojë pa dashje atë makinë me një virus.
gjueti balenash
Një nga përpjekjet më të guximshme për phishing, me rezultate katastrofike, është gjuetia e balenave. Objektivi tipik i këtij lloji të sulmit të inxhinierisë sociale është një person i vetëm dhe me vlerë të lartë.
Termi "mashtrim i CEO" përdoret herë pas here për të përshkruar gjuetinë e balenave, gjë që ju jep një tregues të objektivit.
Për shkak se ata në mënyrë efektive marrin një ton të përshtatshëm të të folurit si biznes dhe përdorin njohuritë e brendshme të industrisë në avantazhin e tyre, sulmet e gjuetisë së balenave janë më të vështira për t'u dalluar sesa sulmet e tjera të phishing.
Para-dërgimi i mesazheve
Preteksti është procesi i fabrikimit të një rrethane të rreme, ose "preteksti", që mashtruesit përdorin për të mashtruar viktimat e tyre.
Sulmet e pretekstimit, të cilat mund të ndodhin jashtë linje ose në internet, janë ndër teknikat më të suksesshme të inxhinierisë sociale, sepse sulmuesit bëjnë shumë përpjekje për ta bërë veten të duken të besueshëm.
Jini të kujdesshëm kur zbuloni informacione private për të huajt pasi mund të jetë e vështirë të dallosh mashtrimin e një preteksti.
Për të përjashtuar një përpjekje për inxhinieri sociale, kontaktoni drejtpërdrejt me kompaninë nëse dikush ju telefonon për një nevojë urgjente.
Kurth mjalti
Një kurth mjalti është një lloj qasjeje inxhinierike sociale në të cilën sulmuesi josh viktimën në një mjedis të pasigurt seksual.
Sulmuesi më pas përfiton nga rrethanat për të kryer shantazh ose për t'u përfshirë në dhunë. Duke dërguar emaile të padëshiruara me pretendimin e rremë se ata "po ju shihnin përmes kamerës suaj" ose diçka po aq të keqe, inxhinierët socialë shpesh vendosin kurthe mjalti.
Nëse merrni një mesazh si ky, sigurohuni që kamera juaj e internetit të jetë e mbrojtur.
Pastaj, thjesht qëndroni të qetë dhe përmbahuni nga përgjigjja, pasi këto emaile nuk janë asgjë më shumë se spam.
Kompensim
Latinishtja do të thotë "diçka për diçka", në këtë rast i referohet viktimës që merr një shpërblim në këmbim të bashkëpunimit të tyre.
Një ilustrim i shkëlqyeshëm është kur hakerët pozojnë si asistentë IT. Ata do të telefonojnë sa më shumë punonjës të jetë e mundur në një firmë dhe do të pretendojnë se kanë një zgjidhje të thjeshtë, duke shtuar se "ju duhet vetëm të çaktivizoni AV tuaj".
Kushdo që i nënshtrohet atij ka ransomware ose viruse të tjera të instaluar në kompjuterin e tyre.
Rrobaqepësi
Tailgating, i njohur gjithashtu si piggybacking, ndodh kur një haker ndjek një person duke përdorur një kartë të vlefshme aksesi në një ndërtesë të sigurt.
Për të kryer këtë sulm, supozohet se personi që ka leje për të hyrë në ndërtesë do të jetë mjaft i vëmendshëm për të mbajtur derën hapur për personin që vjen pas tyre.
Si mund të parandaloni sulmet e Inxhinierisë Sociale?
Duke përdorur këto masa parandaluese, ju dhe stafi juaj do të keni shansin më të mirë për të shmangur sulmet e inxhinierisë sociale.
Edukoni punonjësit
Shkaku kryesor i gabimit të punonjësve ndaj sulmeve të inxhinierisë sociale është injoranca. Për të mësuar personelin se si të reagojë ndaj përpjekjeve tipike për shkelje, organizatat duhet të ofrojnë trajnime për ndërgjegjësimin e sigurisë.
Për shembull, çfarë të bëni nëse dikush përpiqet të fusë një punonjës në vendin e punës ose kërkon informacion të ndjeshëm.
Disa nga sulmet kibernetike më të shpeshta janë përshkruar në listën e mëposhtme:
- Sulmet DDoS
- Sulmet Phishing
- Sulmet clickjacking
- Sulmet Ransomware
- Sulmet malware
- Si t'i përgjigjeni kthimit të bishtit
Kontrolloni për rezistencë ndaj sulmit
Kryeni sulme të kontrolluara inxhinierike sociale në kompaninë tuaj për ta testuar atë. Dërgoni email të rremë phishing dhe qortoni butësisht anëtarët e stafit që hapin bashkëngjitjet, klikojnë në lidhje të dëmshme ose reagojnë.
Në vend që të perceptohen si dështime të sigurisë kibernetike, këto raste duhet të shihen si situata shumë edukative.
Siguria e Operacionit
OPSEC është një metodë për të dalluar sjelljen miqësore që mund të jenë të dobishme për një sulmues të ardhshëm. OPSEC mund të ekspozojë të dhëna të ndjeshme ose të rëndësishme nëse përpunohen dhe grupohen siç duhet me të dhëna të tjera.
Ju mund të kufizoni sasinë e informacionit që mund të marrin inxhinierët socialë duke përdorur procedurat OPSEC.
Gjeni rrjedhjet e të dhënave
Njohja nëse kredencialet janë ekspozuar si rezultat i një përpjekjeje phishing mund të jetë sfiduese.
Kompania juaj duhet të kërkojë vazhdimisht për ekspozimet e të dhënave dhe kredencialet e zbuluara, sepse disa phishers mund të duhen muaj apo edhe vite për të shfrytëzuar kredencialet që mbledhin.
Zbatoni vërtetimin me shumë faktorë
Zbatoni një metodë vërtetimi me shumë faktorë që kërkon që përdoruesit të posedojnë një shenjë, të dinë një fjalëkalim dhe të posedojnë biometrikën e tyre në mënyrë që të kenë akses në burimet kritike.
Zbatoni një sistem të menaxhimit të rrezikut nga palët e treta
Përpara se të sillni shitës të rinj ose të vazhdoni të punoni me furnitorët aktualë, krijoni një sistem për menaxhimin e rreziqeve të palëve të treta, një politikë të menaxhimit të shitësve dhe kryeni një rreziku i sigurisë kibernetike vlerësimi.
Veçanërisht pasi të dhënat e vjedhura janë shitur në rrjetin e errët, është shumë më e thjeshtë të shmangni shkeljet e të dhënave sesa t'i pastroni ato.
Gjeni softuer që mund të menaxhojë automatikisht rrezikun e shitësit dhe të gjurmojë, renditë dhe vlerësojë rregullisht sigurinë kibernetike të shitësve tuaj.
Ndryshoni preferencat tuaja të postës elektronike të padëshiruar.
Ndryshimi i cilësimeve të emailit tuaj është një nga metodat më të thjeshta për t'u mbrojtur nga përpjekjet e inxhinierisë sociale. Ju mund të përmirësoni filtrat tuaj të postës së padëshiruar për të mbajtur emailet e mashtrimit të inxhinierisë sociale jashtë kutisë suaj hyrëse.
Ju gjithashtu mund të shtoni drejtpërdrejt adresat e emailit të individëve dhe organizatave që njihni se janë reale në listat tuaja të kontakteve dixhitale – kushdo që pretendon të jetë ata, por që përdor një adresë tjetër në të ardhmen, ka shumë të ngjarë të jetë një inxhinier social.
Përfundim
Së fundi, inxhinieria sociale është një teknikë mjaft e thjeshtë që mund të përdoret për të kryer mashtrime, mashtrime ose krime të tjera. Mund t'i ndodhë kujtdo personalisht, përmes telefonit ose në internet.
Inxhinierët social nuk kanë nevojë të jenë shumë teknikë; ata vetëm duhet të jenë në gjendje t'ju mashtrojnë që t'u jepni atyre informacione private.
Është një mashtrim potencialisht katastrofik pasi të gjithë jemi në rrezik. Mediat sociale u kanë mundësuar gjithashtu inxhinierëve socialë të bëhen më dinak duke u mundësuar atyre të krijojnë llogari të rreme që janë të thjeshta për t'u gabuar me ato reale apo edhe për të imituar individë të vërtetë.
Tregoni gjithmonë kujdes kur shihni profile të çuditshme ose të panjohura në mediat sociale.
Lini një Përgjigju