Czym jest inżynieria społeczna?

Czym są ataki inżynierii społecznej?

Ataki inżynierii społecznej w informatyce to zaawansowane metody stosowane przez cyberprzestępców do manipulowania ludźmi, prowadzące do naruszenia ich własnego bezpieczeństwa. Ofiary często nieświadomie wysyłają pieniądze, ujawniają wrażliwe informacje osobiste lub organizacyjne lub łamią protokoły bezpieczeństwa.

Skuteczność inżynierii społecznej leży w zdolności do wykorzystywania ludzkich emocji, takich jak strach, ciekawość czy empatia, co skłania ludzi do impulsywnego działania wbrew ich lepszemu rozsądkowi. Rozumiejąc i manipulując tymi emocjonalnymi wyzwalaczami, atakujący przekonują ofiary do podejmowania decyzji, które mogą wydawać się irracjonalne z perspektywy czasu, takich jak pobieranie szkodliwego oprogramowania, odwiedzanie niebezpiecznych stron internetowych lub ujawnianie poufnych danych.

Jak działa inżynieria społeczna?

Inżynieria społeczna polega na stosowaniu taktyk psychologicznych w celu manipulowania ludźmi do ujawniania wrażliwych informacji niezbędnych do uzyskania dostępu do systemów lub kradzieży tożsamości. Wykorzystuje błędy ludzkie, często za pomocą podstępu lub podszywania się, prowadząc do naruszeń bezpieczeństwa i utraty danych, bez konieczności stosowania technicznych metod włamywania się.

Ataki inżynierii społecznej zazwyczaj są procesami wieloetapowymi. Początkowo atakujący bada cel, aby zebrać wystarczającą ilość informacji i podstawowe szczegóły tła, identyfikując luki i słabe zabezpieczenia, które są kluczowe dla powodzenia ataku. Następnie atakujący stosuje takie taktyki jak pretekstowanie lub podszywanie się pod autorytety, aby zdobyć zaufanie ofiary. Manipulacja ta ma na celu wywołanie działań, które naruszają bezpieczeństwo, takich jak ujawnienie poufnych informacji lub udzielenie dostępu do kluczowych systemów.

Ataki inżynierii społecznej wykorzystują psychologię człowieka do obejścia technicznych zabezpieczeń. Starannie wybierają swoją ofiarę na podstawie różnych czynników. Kluczowe taktyki obejmują:

1. Podszywanie się: Atakujący często udają renomowane podmioty — duże marki, agencje rządowe lub postacie autorytetów — aby zyskać zaufanie. Na przykład mogą tworzyć fałszywe strony internetowe imitujące duże marki, aby oszukać użytkowników do ujawnienia poufnych informacji.
2. Wykorzystywanie emocji: Te ataki często bazują na emocjach takich jak strach, pilność czy chciwość. Oszuści mogą wysyłać alarmujące wiadomości o rzekomo skompromitowanym koncie bankowym lub kusić ofiary obietnicami finansowych korzyści, jak w przypadku słynnego nigeryjskiego księcia z e-maili spamowych.
3. Osaczanie dobrych intencji lub ciekawości: Inżynieria społeczna także wykorzystuje naturalną skłonność osoby do niesienia pomocy lub zaspokojenia ciekawości. Mogą wysyłać e-maile, które wydają się być od znajomych lub z sieci społecznościowych, prosząc o informacje kontaktowe, pomoc lub zachęcając do kliknięcia w złośliwy link pod pretekstem interesującej historii lub pomocnego zasobu.

Zrozumienie tych taktyk jest kluczowe dla rozpoznawania i udaremniania ataków inżynierii społecznej. Atakują one ludzką naturę, a nie technologiczne wady, co sprawia, że świadomość i czujność stają się kluczowymi obronami przed takimi zagrożeniami.

Jak chronić się przed atakami inżynierii społecznej

Ataki inżynierii społecznej mogą przybierać wiele form, od phishingowych e-maili po manipulacje za pomocą telefonów czy wiadomości tekstowych. Ponieważ głównie celują w ludzkie słabości, a nie wady technologiczne, obrona przed nimi wymaga połączenia świadomości, czujności i technologicznych zabezpieczeń.

Poniższe kroki oferują kompleksowe podejście do zwiększenia ochrony przed tymi coraz bardziej powszechnymi i wyrafinowanymi atakami:

1. Używaj uwierzytelniania wieloskładnikowego: Wdrażanie dwuskładnikowego lub wieloskładnikowego uwierzytelniania jest kluczowe. Dodaje dodatkową warstwę bezpieczeństwa, zapewniając, że nawet jeśli dane logowania zostaną narażone, nieautoryzowany dostęp będzie nadal uniemożliwiony.
2. Szkolenie z zakresu bezpieczeństwa: Regularne szkolenia dla wszystkich pracowników są kluczowe, by nauczyć rozpoznawania i reagowania na ataki socjotechniczne. Szkolenie powinno obejmować identyfikację podejrzanych działań oraz znaczenie ochrony poufnych informacji.
3. Zainstaluj silny program cyberbezpieczeństwa: Używaj kompleksowego oprogramowania jak Malwarebytes, które potrafi rozpoznawać i neutralizować zagrożenia, w tym złośliwe strony, malvertising, malware, wirusy oraz ransomware.
4. Wdrażanie polityki kontroli dostępu i technologii cyberbezpieczeństwa: Egzekwuj ścisłe zasady kontroli dostępu, w tym adaptacyjne uwierzytelnianie i podejście zero zaufania. Wykorzystaj technologie takie jak filtry antyspamowe, bezpieczne bramki e-mail, firewalle, oprogramowanie antywirusowe i aktualizuj systemy o najnowsze łaty.
5. Włącz filtry antyspamowe: Aktywuj filtry antyspamowe, aby blokować phishingowe e-maile i inne formy spamu. Choć niektóre prawdziwe e-maile mogą zostać odfiltrowane, można to zniwelować oznaczając je jako "nie spam" i dodając prawdziwych nadawców do listy kontaktów.
6. Naucz się, jak rozpoznawać e-maile phishingowe: Edukuj siebie i innych, jak identyfikować próby phishingowe. Szukaj czerwonych flag, takich jak niedopasowane adresy nadawcy, ogólne powitania, nietypowe adresy URL, słaba gramatyka i oferty, które wydają się zbyt dobre, aby były prawdziwe.
7. Wyłącz makra w dokumentach: Wyłącz makra w swoim oprogramowaniu. Ostrożnie podchodź do załączników e-maili, które proszą o włączenie makr, zwłaszcza od nieznanych źródeł. W razie wątpliwości zweryfikuj autentyczność załącznika z nadawcą.
8. Nie odpowiadaj na podejrzane oszustwa: Unikaj odpowiadania na potencjalne oszustwa, czy to za pośrednictwem e-maili, SMS-ów, czy rozmów telefonicznych. Odpowiedzenie potwierdza oszustom, że Twoje dane kontaktowe są prawidłowe, co zachęca do dalszych prób. Przesyłaj podejrzane SMS-y na numer 7726 (SPAM), aby pomóc swojemu operatorowi filtrować spam.

Wdrażając te strategie, możesz stworzyć solidny system obrony przed atakami inżynierii społecznej, chroniąc zarówno swoje dane osobowe, jak i wrażliwe informacje swojej organizacji. Pamiętaj: informacja i ostrożność to twoja pierwsza linia obrony w stale ewoluującym krajobrazie zagrożeń cybernetycznych.

Rodzaje ataków inżynierii społecznej

Ataki socjotechniczne występują głównie poprzez różne [formy phishingu] (https://www.malwarebytes.com/phishing). Ataki te wykorzystują ludzką psychologię i zaufanie, zamiast polegać na technicznych metodach hakowania. Skuteczność i powszechność phishingu sprawiają, że jest to krytyczny problem zarówno dla osób fizycznych, jak i organizacji. Oto bardziej szczegółowy podział każdego typu:

1. Phishing e-mail: Atakujący podszywają się pod legalne podmioty za pomocą e-maili, wprowadzając odbiorców w błąd, aby ujawnili dane osobowe lub dane logowania. Te e-maile często zawierają linki do oszukańczych stron internetowych lub złośliwe załączniki.
2. Phishing masowy: Ta metoda polega na wysyłaniu tego samego e-maila phishingowego do milionów osób. E-maile wyglądają, jakby pochodziły od rozpoznawalnych organizacji, i często proszą o dane osobowe pod fałszywym pretekstem.
3. Spear phishing: Bardziej ukierunkowana forma phishingu, w której atakujący dostosowują swoje wiadomości do konkretnych osób, korzystając z informacji zebranych z mediów społecznościowych lub sieci zawodowych.
4. Whale phishing: Wysoko poziomowa taktyka spear phishingu wymierzona w członków kadry kierowniczej lub osoby o wysokim profilu. Te ataki są bardzo spersonalizowane i często obejmują skomplikowane oszustwa.
5. Phishing głosowy (Vishing): Ta technika wykorzystuje rozmowy telefoniczne do oszukiwania osób, aby ujawniały wrażliwe informacje. Oszuści mogą podszywać się pod legalne organizacje lub postacie autorytetów.
6. SMS Phishing (Smishing): Odmiana phishingu prowadzona przez wiadomości tekstowe. Te wiadomości wabią odbiorców do klikania w złośliwe linki lub ujawniania poufnych informacji.
7. Phishing w wyszukiwarkach: W tym podejściu atakujący tworzą fałszywe strony internetowe, które pojawiają się wysoko w wynikach wyszukiwania. Gdy użytkownicy odwiedzają te strony, są narażeni na kradzież informacji.
8. Phishing podstępny: Ta forma wykorzystuje platformy mediów społecznościowych, gdzie atakujący tworzą fałszywe konta obsługi klienta, aby rozmawiać z ofiarami, często prowadząc je do stron phishingowych.

Po Phishingu, inne metody inżynierii społecznej to:

1. Baiting: Kusi ofiary fałszywą obietnicą towarów lub usług w celu kradzieży informacji lub instalacji złośliwego oprogramowania.
2. Tailgating/Piggybacking: Polega na nieautoryzowanym dostępie do obszarów chronionych, fizycznie podążając za osobą autoryzowaną lub cyfrowo wykorzystując aktywną sesję innej osoby.
3. Pretexting: Oszuści tworzą fikcyjne scenariusze, aby wydobyć wrażliwe informacje lub uzyskać dostęp, często podszywając się pod osoby z autorytetem lub potrzebujące zweryfikować tożsamość.
4. Quid Pro Quo: Oferuje usługę lub korzyść w zamian za wrażliwe informacje, wykorzystując chęć ofiary do skorzystania z okazji lub nagrody.
5. Scareware: Wykorzystuje taktyki strachu, aby zmanipulować ofiary do zainstalowania złośliwego oprogramowania lub ujawnienia poufnych informacji.
6. Atak wodopojowy: Celuje w konkretne grupy, infekując strony internetowe, które często odwiedzają, co prowadzi do kradzieży danych lub instalacji złośliwego oprogramowania.
7. Ataki typu trojan: Złośliwe oprogramowanie podszywające się pod legalne oprogramowanie, często rozprzestrzeniane za pomocą załączników e-mailowych od fałszywie zaufanych źródeł.
8. Oszustwa związane z pomocą techniczną: Oszukują ofiar, wmawiając im, że ich urządzenie jest skompromitowane, i pobierają opłaty za niepotrzebne "naprawy".
9. Oszustwa telefoniczne: Polega na używaniu rozmów telefonicznych (w tym robocallów) w celu oszukiwania ofiar, często udając legalne organizacje lub władze.

Zrozumienie tych metod phishingowych i innych taktyk inżynierii społecznej jest kluczowe dla ochrony przed tymi powszechnymi i zmieniającymi się zagrożeniami.

Przykłady ataków inżynierii społecznej

Oto kilka rzeczywistych przykładów ataków socjotechnicznych, które opisywaliśmy na Malwarebytes Labs. W każdym przykładzie oszuści szukają odpowiedniego celu i emocjonalnego impulsu. Czasami kombinacja celu i impulsu może być bardzo szczegółowa (jak w przypadku ataku typu spear phishing). Innym razem oszuści mogą atakować znacznie szerszą grupę.

Sextortion scam: W tym pierwszym przykładzie oszuści zarzucają szeroką sieć. Celują w każdego, kto ogląda porno. Ofiara zostaje powiadomiona e-mailem, że ich kamera internetowa rzekomo została zhakowana i użyta do nagrywania oglądania przez nich filmów dla dorosłych. Oszust twierdzi również, że zhakował konto e-mail odbiorcy, używając starego hasła jako dowodu. Jeśli ofiara nie zapłaci, oszust grozi ujawnieniem nagrania wszystkim kontaktom ofiary. Ogólnie rzecz biorąc, oszust nie ma Twojego nagrania, a stare hasło pochodzi z wcześniej ujawnionego wycieku danych.

Oszustwo "na wnuczka": To oszustwo krąży od lat i celuje w każdego, kto ma żyjącą rodzinę, zwykle seniorów. Rodzice lub dziadkowie otrzymują telefon lub wiadomość SMS od oszusta, podszywającego się pod prawnika lub funkcjonariusza policji. Oszust twierdzi, że krewniak ofiary został aresztowany lub ranny i potrzebuje pieniędzy na pokrycie kaucji, opłat prawnych lub rachunków szpitalnych. W przypadku SMS-ów odpowiedź kończy się kosztowaniem ofiary pieniędzy.

Oszustwo z numerem Social Security: W tym przekręcie sytuacja zaczyna się zawężać, gdyż dotyczy tylko obywateli USA. Ofiara otrzymuje nagraną wiadomość, rzekomo od Administracji Social Security. Wiadomość twierdzi, że numer SSN ofiary został „zawieszony” z powodu „podejrzanych informacji”. Pomijając fakt, że numer SSN nie może być zawieszony, jeśli ofiara da się nabrać i oddzwoni, zostanie poproszona o zapłacenie grzywny za „wyprostowanie sprawy”.

Oszustwo związane z Johnem Wickiem 3: Oto dobry przykład spear phishingu. W tym przypadku oszuści udają się za bardzo określonym celem: fanem Johna Wicka, który lubi komiksy, ale woli czytać je na Amazon Kindle. Szukając komiksów o Johnie Wicku, cel otrzymuje ofertę bezpłatnego pobrania trzeciego filmu Johna Wicka — w momencie oszustwa film nie był jeszcze w kinach. Podążanie za linkiem wbudowanym w opis filmu prowadzi ofiarę do nielegalnych stron streamingowych dla pirackich filmów.

Oszuści związani z koronawirusem: Oszuści zauważyli niedobór informacji o wirusie, zwłaszcza w początkowych dniach i miesiącach epidemii. Gdy urzędnicy służby zdrowia zmagali się z pojęciem wirusa i jego rozprzestrzenianiem się między ludźmi, oszuści wypełniali luki fałszywymi stronami internetowymi i spamowymi e-mailami.

Zgłaszaliśmy przypadki spamu e-mailowego podszywającego się pod informacje o wirusie od Światowej Organizacji Zdrowia. E-maile te zawierały załączniki pełne złośliwego oprogramowania. W innym przykładzie Labs raportowało o stronie śledzącej COVID-19, która wyświetlała zakażenia na całym świecie w czasie rzeczywistym. W tle, strona ładowała trojana kradnącego informacje na komputery ofiar.

Powiązane Artykuły

Czym jest phishing?

Czym jest spear phishing?

Co to jest atak typu vishing?

Co to jest catfishing?

Co to jest kradzież tożsamości?