Что такое социальная инженерия?

В сфере кибербезопасности социальная инженерия относится к психологическому манипулированию людьми, заставляющему их выполнять действия или разглашать конфиденциальную информацию. В отличие от традиционного взлома, который использует уязвимости в программном или аппаратном обеспечении, социальная инженерия использует человеческую психологию. Киберпреступники используют обман, срочность и страх, чтобы заставить жертв совершить ошибки безопасности или выдать конфиденциальные данные.

По мере развития технологий и повышения эффективности технических мер безопасности злоумышленники все чаще нацеливаются на самое слабое звено в цепочке безопасности: пользователя-человека. Понимание этой тактики имеет решающее значение для защиты себя и своей организации от потенциально разрушительных взломов.

Общая тактика социальной инженерии

Киберпреступники используют различные тактики социальной инженерии для достижения своих злонамеренных целей. Вот некоторые из наиболее распространенных методов:

1. Фишинг

Фишинг — пожалуй, самая известная и широко используемая тактика социальной инженерии. Оно предполагает отправку мошеннических сообщений (обычно электронных писем), которые якобы исходят из авторитетного источника, например банка, популярного онлайн-сервиса или даже коллеги.

Как это работает. Электронное письмо обычно создает ощущение срочности (например, «Ваша учетная запись заблокирована») и содержит ссылку на поддельный веб-сайт, который выглядит идентично реальному. Когда жертва вводит свои учетные данные на поддельном сайте, злоумышленник их крадет.
Целевой фишинг: более целенаправленная форма фишинга, при которой злоумышленник исследует жертву, чтобы персонализировать электронное письмо, что делает его очень убедительным.
Уэйлинг. Целенаправленная фишинговая атака, направленная на руководителей высшего звена или высокопоставленных лиц («китов»), имеющих доступ к конфиденциальной информации или финансовым полномочиям.

2. Вишинг (Голосовой Фишинг)

Вишинг использует голосовую связь, обычно телефонные звонки, чтобы обмануть жертв. Злоумышленники могут подделать идентификатор вызывающего абонента, чтобы создать впечатление, что он звонит из законной организации.

Как это работает. Звонивший может представиться сотрудником ИТ-поддержки, Налогового управления США или банка, предупреждая жертву о неотложной проблеме. Затем они попытаются получить конфиденциальную информацию, такую как пароли, PIN-коды или номера социального страхования, по телефону.

3. Смишинг (СМС-фишинг)

Смишинг похож на фишинг, но вместо электронной почты используются SMS (текстовые сообщения).

Как это работает: Жертвы получают текстовое сообщение, содержащее вредоносную ссылку или просьбу позвонить по номеру телефона. Сообщения часто обещают вознаграждение или предупреждают пользователя о поддельной доставке посылки или проблеме с учетной записью. Поскольку люди склонны доверять текстовым сообщениям больше, чем электронным письмам, смишинг может быть очень эффективным.

4. Приманка

Травля основана на человеческом любопытстве или жадности. Злоумышленники предлагают что-нибудь заманчивое, чтобы заманить жертву в ловушку.

Физическая травля. Злоумышленник может оставить зараженный вредоносным ПО USB-накопитель в общественном месте, например на парковке или в кафе, с надписью «Расчет заработной платы на 2024 год» или «Конфиденциально». Когда любопытная жертва подключает диск к своему компьютеру, на него устанавливается вредоносное ПО.
Цифровая травля. Сюда входит предложение бесплатных загрузок, например фильмов, музыки или программного обеспечения, на вредоносных веб-сайтах. При нажатии на ссылку для скачивания происходит заражение устройства пользователя.

5. Предлог

Претекстинг предполагает создание сфабрикованного сценария (предлога) для кражи информации. Злоумышленник тратит время на установление ложной личности и установление доверия к жертве.

Как это работает. Злоумышленник может выдать себя за продавца, коллегу или сотрудника правоохранительных органов. Например, они могут позвонить в отдел кадров компании, представившись следователем по проверке анкетных данных, и получить информацию о сотруднике. Претекстинг зависит от готовности жертвы помочь тому, кто, по ее мнению, обладает властью или нуждается в помощи.

6. Услуга за услугу

Quid pro quo (что-то за что-то) предполагает предложение выгоды или услуги в обмен на информацию или доступ.

Как это работает. Злоумышленник может позвонить на случайный номер в офисе и представиться сотрудником службы технической поддержки. Когда они наконец достигают кого-то, у кого возникла проблема с компьютером, злоумышленник предлагает «исправить» ее, но запрашивает пароль пользователя или предлагает загрузить вредоносное программное обеспечение для решения проблемы.

7. Задняя дверь и контрейлерная перевозка

Это физическая тактика социальной инженерии, используемая для получения несанкционированного доступа в закрытые зоны.

Следование. Злоумышленник следует за уполномоченным лицом в безопасную зону без его ведома.
Совмещение. Злоумышленник обманным путем заставляет уполномоченное лицо держать дверь открытой. Они могут нести тяжелую коробку, делать вид, что забыли свой пропуск, или просто завязать дружескую беседу, чтобы проникнуть.

Как защититься от социальной инженерии

Лучшая защита от социальной инженерии — это образование и осведомленность. Вот ключевые стратегии, которые помогут защитить себя и свою организацию:

Проверьте источник. Никогда не доверяйте автоматически неожиданным электронным письмам, телефонным звонкам или сообщениям. Подтвердите личность отправителя через независимый канал. Например, если вы получили подозрительный звонок от вашего банка, повесьте трубку и позвоните по официальному номеру, указанному на обратной стороне вашей дебетовой карты.
Ищите тревожные сигналы. Скептически относитесь к сообщениям, которые создают ощущение крайней срочности, требуют немедленных действий или предлагают что-то, что кажется слишком хорошим, чтобы быть правдой. Проверьте наличие грамматических и орфографических ошибок, которые часто встречаются в фишинговых письмах.
Наведите указатель мыши перед нажатием. Всегда наводите курсор мыши на ссылки в электронных письмах, чтобы увидеть фактический целевой URL, прежде чем нажать. Если URL-адрес выглядит подозрительно или не соответствует предполагаемому отправителю, не нажимайте на него.
Используйте многофакторную аутентификацию (MFA). Включите MFA во всех своих учетных записях. Даже если злоумышленник украдет ваш пароль, он не сможет войти в систему без второго фактора аутентификации.
Проведите обучение по вопросам безопасности. Организации должны проводить регулярное комплексное обучение по вопросам безопасности для всех сотрудников, обучая их тому, как распознавать попытки социальной инженерии и сообщать о них.
Разработайте надежную политику. Компании должны иметь четкую политику в отношении проверки запросов на конфиденциальную информацию или финансовых транзакций, особенно тех, которые связаны с срочными или необычными обстоятельствами.

Заключение

Социальная инженерия представляет собой широко распространенную и постоянно развивающуюся угрозу. Манипулируя человеческим доверием и эмоциями, злоумышленники могут обойти самую надежную техническую защиту. Признание распространенных тактик — от фишинга и вишинга до травли и предлогов — является первым шагом на пути к предотвращению. Развивая здоровое чувство скептицизма, проверяя запросы на информацию и уделяя первоочередное внимание вопросам безопасности, отдельные лица и организации могут значительно снизить риск стать жертвой этих обманных атак.