Innehållsförteckning[Dölj][Visa]
Även om de flesta cyberbrottslingar är skickliga manipulatorer, betyder det inte att de alltid är skickliga tekniska manipulatorer; andra cyberbrottslingar föredrar bruket att manipulera människor.
Med andra ord, de omfamnar social ingenjörskonst, vilket är praxis att starta en cyberattack genom att dra fördel av brister i den mänskliga naturen.
I ett enkelt fall av social ingenjörskonst kan detta hända om en cyberbrottsling utger sig för att vara en IT-expert och ber om dina inloggningsuppgifter för att åtgärda ett säkerhetshål i ditt system.
Om du ger informationen har du precis gett en dålig person tillgång till ditt konto utan att de ens behöver oroa sig för att komma åt din e-post eller dator.
I varje säkerhetskedja är vi nästan vanligtvis den svagaste länken eftersom vi är mottagliga för en mängd olika knep. Social ingenjörsteknik utnyttjar denna sårbarhet hos människor för att lura offer att avslöja privat information.
Social ingenjörskonst utvecklas alltid, liksom majoriteten av cyberhoten.
I den här artikeln kommer vi att diskutera det nuvarande tillståndet för social ingenjörskonst, olika typer av attacker att se upp för och varningssignaler att se upp för.
Låt oss börja introduktionen till social ingenjörskonst.
Vad är socialteknik?
Social ingenjörskonst i datoranvändning hänvisar till de tekniker som cyberbrottslingar använder för att övertala offer att göra en tvivelaktig handling, som ofta innebär ett säkerhetsintrång, överföring av pengar eller avslöjande av personlig information.
Dessa aktiviteter utmanar ofta logiken och går emot vårt bättre omdöme.
Men bedragare kan övertyga oss om att sluta tänka logiskt och börja agera på instinkt utan att tänka på vad vi faktiskt gör genom att manipulera våra känslor – både positiva och negativa – som ilska, rädsla och kärlek.
Enkelt definierat är social ingenjörskonst hur hackare äventyrar våra hjärnor, precis som de gör med skadlig programvara och virus för att äventyra våra maskiner.
Angripare använder ofta social ingenjörskonst eftersom det ofta är enklare att dra fördel av individer än att identifiera ett nätverk eller mjukvara.
Eftersom brottslingarna och deras offer aldrig behöver interagera personligen, är social ingenjörskonst alltid en del av en bredare bluff.
Att få offren att: är i allmänhet huvudmålet:
- Skadlig programvara på sin smartphone.
- Avstå från ditt användarnamn och lösenord.
- Ge tillstånd för ett skadligt plugin, tillägg eller tredjepartsprogram.
- Skicka pengar via postanvisning, en elektronisk överföring av pengar eller presentkort.
- Spela rollen som en pengamula för att överföra och tvätta illegala pengar.
Social ingenjörsteknik används av kriminella eftersom det ofta är enklare att dra fördel av din inneboende tendens att lita på andra än att ta reda på hur man hackar ditt program.
Till exempel, om inte lösenordet är riktigt svagt, är det betydligt enklare att lura någon att berätta sitt lösenord för dig än att försöka hacka det.
Hur fungerar social ingenjörskonst?
Socialingenjörer utför cyberattacker med en rad olika strategier. De flesta socialtekniska övergrepp börjar med att angriparen utför spaning och forskning på offret.
Om målet till exempel är ett företag kan hackaren lära sig om företagets organisationsstruktur, interna processer, branschjargong, potentiella affärspartners och andra detaljer.
Att fokusera på handlingar och vanor hos arbetare med låg nivå men initial tillgång, som en säkerhetsvakt eller receptionist, är en strategi som används av sociala ingenjörer.
Angripare kan söka sociala medier redogör för personlig information och observerar deras beteende både online och personligen.
Den sociala ingenjören kan sedan använda bevisen som samlats in för att planera ett överfall och dra fördel av de brister som upptäcktes under spaningsstadiet.
Om attacken verkligen äger rum kan angriparen få skyddade system eller nätverk, pengar från målen eller tillgång till privata data som personnummer, kreditkortsuppgifter eller bankuppgifter.
Vanliga typer av social ingenjörsattacker
Att lära sig om de typiska teknikerna som används inom social ingenjörskonst är en av de bästa strategierna för att försvara sig mot en social ingenjörsattack.
Nuförtiden sker social ingenjörskonst vanligtvis online, inklusive genom bedrägerier i sociala medier, när angripare antar identiteten som en pålitlig källa eller en högt uppsatt tjänsteman för att lura offren att avslöja känslig information.
Här är några andra vanliga attacker inom social ingenjörskonst:
Nätfiske
Nätfiske är en sorts social ingenjörskonst där kommunikation är maskerad så att den ser ut att komma från en pålitlig källa.
Dessa meddelanden, som ofta är e-postmeddelanden, är avsedda att lura offer att avslöja personlig eller ekonomisk information.
När allt kommer omkring, varför skulle vi misstänka legitimiteten hos ett e-postmeddelande från en vän, familjemedlem eller företag vi känner? Bedragare drar fördel av detta förtroende.
vishing
Vishing är en komplex typ av nätfiskemisshandel. Det är också känt som "röstnätfiske". I dessa övergrepp förfalskas ofta ett telefonnummer för att verka äkta – angripare kan utge sig för IT-personal, medarbetare eller bankirer.
Vissa angripare kan använda röstväxlare för att dölja sina identiteter ännu mer.
Riktade spam-attacker
Stora företag eller särskilda personer är måltavlor för spjutfiske, en sorts social ingenjörskonst. Målen för övergrepp med spjutfiske är starka individer eller små grupper, som företagsledare och offentliga personer.
Denna form av social ingenjörsattack är ofta väl undersökt och bedrägligt kamouflerad, vilket gör den utmanande att upptäcka.
smishing
Smishing är ett slags nätfiskeangrepp som använder textmeddelanden (SMS) som kommunikationsmedium. Genom att presentera skadliga webbadresser för klick eller telefonnummer att kontakta kräver dessa övergrepp vanligtvis snabba åtgärder från sina offer.
Offren uppmanas ofta att tillhandahålla privat information som angriparna kan använda mot dem.
För att övertala offren att agera snabbt och falla för misshandeln, visar attacker ofta en känsla av brådska.
scareware
Användningen av social ingenjörskonst för att skrämma individer att installera falsk säkerhetsprogramvara eller komma åt webbplatser som är infekterade med skadlig programvara kallas skrämselprogram.
Scareware manifesterar sig vanligtvis som popup-fönster som erbjuder dig att utrota en påstådd datorinfektion från din bärbara dator. Genom att klicka på popup-fönstret kan du oavsiktligt installera ytterligare skadlig programvara eller skickas till en farlig webbplats.
Använd ett tillförlitligt virusutrotningsprogram för att ofta skanna din dator om du tror att du har skrämselprogram eller annan påträngande popup. Det är viktigt för digital hygien att regelbundet undersöka din enhet för risker.
Det kan också hjälpa till att skydda din personliga information genom att förhindra framtida sociala ingenjörsövergrepp.
Hets
Sociala ingenjörsattacker kan också börja offline; de lanseras inte nödvändigtvis online.
Bete är bruket av en angripare som lämnar ett objekt som är infekterat med skadlig programvara, till exempel en USB-enhet, någonstans där det sannolikt kommer att upptäckas. Dessa enheter märkes ofta med avsikt för att väcka intresse.
En användare som plockar upp gadgeten och lägger den i sin egen dator av nyfikenhet eller girighet riskerar att oavsiktligt infektera den maskinen med ett virus.
Valfångst
Ett av de mest vågade nätfiskeförsöken, med katastrofala resultat, är valfångst. Det typiska målet för den här typen av social ingenjörsattack är en ensam person med högt värde.
Termen "VD-bedrägeri" används ibland för att beskriva valfångst, vilket ger dig en indikation på målet.
Eftersom de effektivt antar en lämplig affärsmässig ton och använder sig av insiderkunskaper om branschen till sin fördel, är valfångstmisshandel svårare att upptäcka än andra nätfiskeattacker.
Pre-sms
Pretexting är processen att tillverka en falsk omständighet, eller "förevändning", som bedragare använder för att lura sina offer.
Att förevända övergrepp, som kan förekomma offline eller online, är bland de mest framgångsrika sociala ingenjörsteknikerna eftersom angripare anstränger sig mycket för att få sig själva att framstå som pålitliga.
Var försiktig när du avslöjar privat information till främlingar eftersom det kan vara svårt att upptäcka en förevändning.
För att utesluta ett socialt ingenjörsförsök, kontakta företaget direkt om någon ringer dig om ett akut behov.
Honungsfälla
En honungsfälla är ett slags social ingenjörskonst där angriparen förför offret till en osäker sexuell miljö.
Angriparen utnyttjar då omständigheten för att begå utpressning eller ägna sig åt sextorkning. Genom att skicka spam-e-postmeddelanden med den falska föreställningen att de "ser dig genom din kamera" eller något lika fult, lägger sociala ingenjörer ofta honungsfällor.
Om du får ett meddelande som detta, se till att din webbkamera är skyddad.
Sedan är det bara att vara lugn och avstå från att svara, eftersom dessa e-postmeddelanden inte är något annat än spam.
MOTPRESTATION
Latin betyder "något för något", i det här fallet syftar det på att offret får en belöning i utbyte för sitt samarbete.
En utmärkt illustration är när hackare poserar som IT-assistenter. De kommer att ringa så många anställda som möjligt på ett företag och hävda att de har en enkel lösning, och tillägger att "du behöver bara inaktivera din AV."
Alla som ger efter för det har ransomware eller andra virus installerade på sin dator.
tailgating
Tailgating, även känd som piggybacking, inträffar när en hacker följer en person med ett giltigt passerkort in i en säker byggnad.
För att genomföra denna attack antas det att den som har tillstånd att gå in i byggnaden skulle vara hänsynsfull nog att hålla dörren öppen för den som kommer bakom.
Hur kan du förhindra Social Engineering-attacker?
Genom att använda dessa förebyggande åtgärder kommer du och din personal att ha den bästa chansen att undvika socialtekniska övergrepp.
Utbilda anställda
Den främsta orsaken till att anställda blir felfria till sociala ingenjörsattacker är okunskap. För att lära personal hur man reagerar på typiska intrångsförsök bör organisationer erbjuda utbildning i säkerhetsmedvetenhet.
Till exempel, vad man ska göra om någon försöker skjuta in en anställd på arbetsplatsen eller ber om känslig information.
Några av de vanligaste cyberattackerna beskrivs i listan nedan:
- DDoS attacker
- Phishing-attacker
- Clickjacking-attacker
- Ransomware attacker
- Malware-attacker
- Hur man reagerar på baklucka
Kontrollera attackmotstånd
Utför kontrollerade sociala ingenjörsövergrepp på ditt företag för att testa det. Skicka falska nätfiske-e-postmeddelanden och tillrättavisa försiktigt personal som öppnar bilagor, klickar på skadliga länkar eller reagerar.
Istället för att uppfattas som cybersäkerhetsmisslyckanden bör dessa fall ses som mycket pedagogiska situationer.
Operation Säkerhet
OPSEC är en metod för att upptäcka vänligt beteende som kan vara fördelaktigt för en framtida angripare. OPSEC kan avslöja känsliga eller viktiga uppgifter om de behandlas på lämpligt sätt och grupperas med andra uppgifter.
Du kan begränsa mängden information som socialingenjörer kan få genom att använda OPSEC-procedurer.
Hitta dataläckor
Att veta om referenser har avslöjats som ett resultat av ett nätfiskeförsök kan vara utmanande.
Ditt företag bör ständigt söka efter dataexponeringar och läckta referenser eftersom vissa nätfiskare kan ta månader eller till och med år att utnyttja de referenser de samlar in.
Implementera multifaktorautentisering
Genomför en multifaktorautentiseringsmetod som kräver att användare har en token, känner till ett lösenord och har sin biometri för att få tillgång till viktiga resurser.
Implementera ett tredje parts riskhanteringssystem
Innan du anställer nya leverantörer eller fortsätter att arbeta med nuvarande leverantörer, skapa ett system för att hantera tredje parts risker, en leverantörshanteringspolicy och genomföra en cybersäkerhetsrisk bedömning.
Särskilt efter att stulen data har sålts på den mörka webben är det betydligt enklare att undvika dataintrång än att rensa upp dem.
Hitta programvara som automatiskt kan hantera leverantörsrisker och regelbundet spåra, rangordna och utvärdera cybersäkerheten hos dina leverantörer.
Ändra dina inställningar för skräppost.
Att ändra dina e-postinställningar är en av de enklaste metoderna för att försvara dig från sociala ingenjörsförsök. Du kan förbättra dina skräppostfilter för att hålla e-postmeddelanden om social engineering borta från din inkorg.
Du kan också direkt lägga till e-postadresserna till individer och organisationer som du vet är verkliga i dina digitala kontaktlistor – alla som utger sig för att vara dem men använder en annan adress i framtiden är troligen en social ingenjör.
Slutsats
Slutligen är social ingenjörskonst en ganska enkel teknik som kan användas för att begå bedrägerier, bedrägerier eller andra brott. Det kan inträffa för vem som helst personligen, via telefon eller online.
Socialingenjörer behöver inte vara särskilt tekniska; de behöver bara kunna lura dig att ge dem privat information.
Det är ett potentiellt katastrofalt bedrägeri eftersom vi alla är i fara. Sociala medier har också gjort det möjligt för sociala ingenjörer att bli mer listiga genom att göra det möjligt för dem att skapa falska konton som är enkla att missta för riktiga eller till och med att imitera faktiska individer.
Var alltid försiktig när du ser udda eller obekanta profiler på sociala medier.
Kommentera uppropet