Czym jest inżynieria społeczna?

Czym są ataki socjotechniczne?

Ataki socjotechniczne w informatyce to wyrafinowane metody wykorzystywane przez cyberprzestępców do manipulowania osobami w celu narażenia ich własnego bezpieczeństwa. Ataki te często powodują, że ofiary nieświadomie wysyłają pieniądze, ujawniają poufne informacje osobiste lub organizacyjne lub naruszają protokoły bezpieczeństwa.

Skuteczność inżynierii społecznej polega na jej zdolności do wykorzystywania ludzkich emocji, takich jak strach, ciekawość lub empatia, co prowadzi osoby do impulsywnego działania wbrew ich lepszemu osądowi. Rozumiejąc i wykorzystując te emocje, atakujący przekonują ofiary do podejmowania decyzji, które z perspektywy czasu mogą wydawać się irracjonalne, takich jak pobieranie szkodliwego oprogramowania, odwiedzanie niebezpiecznych stron internetowych lub udostępnianie poufnych danych.

Jak działa inżynieria społeczna?

Inżynieria społeczna obejmuje taktyki psychologiczne mające na celu zmanipulowanie ludzi do ujawnienia poufnych informacji, kluczowych dla dostępu do systemu lub kradzieży tożsamości. Wykorzystuje błędy ludzkie, często poprzez oszustwo lub podszywanie się, prowadząc do naruszenia bezpieczeństwa i kompromitacji danych, bez polegania na technicznych metodach hakerskich.

Ataki socjotechniczne są zazwyczaj wieloetapowe. Początkowo atakujący bada cel, aby zebrać wystarczającą ilość informacji i istotnych szczegółów, identyfikując słabe punkty i słabe środki bezpieczeństwa kluczowe dla powodzenia ataku. Następnie atakujący stosuje taktyki, takie jak podszywanie się lub podszywanie się pod autorytety, aby zdobyć zaufanie ofiary. Manipulacja ta ma na celu wymuszenie działań zagrażających bezpieczeństwu, takich jak ujawnienie poufnych informacji lub zapewnienie dostępu do ważnych systemów.

Ataki socjotechniczne manipulują ludzką psychologią w celu ominięcia technicznych środków bezpieczeństwa. Starannie wybierają ofiarę na podstawie różnych czynników. Kluczowe taktyki obejmują:

1. Podszywanie się: Atakujący często podszywają się pod renomowane podmioty - duże marki, agencje rządowe lub autorytety - aby zdobyć zaufanie. Mogą na przykład tworzyć fałszywe strony internetowe odzwierciedlające główne marki, aby nakłonić użytkowników do ujawnienia poufnych informacji.
2. Wykorzystywanie emocji: Ataki te często wykorzystują emocje, takie jak strach, pośpiech lub chciwość. Oszuści mogą wysyłać alarmujące wiadomości o zagrożonym koncie bankowym lub kusić ofiary fałszywymi obietnicami korzyści finansowych, takimi jak osławione oszustwo e-mailowe "Nigeryjski Książę".
3. Żerowanie na dobrej woli lub ciekawości: Inżynierowie społeczni wykorzystują również naturalną skłonność człowieka do pomocy lub jego ciekawość. Mogą wysyłać wiadomości e-mail wyglądające na pochodzące od znajomych lub sieci społecznościowych, prosząc o informacje kontaktowe, pomoc lub zachęcając użytkowników do kliknięcia złośliwego łącza pod pozorem intrygującej historii lub pomocnego zasobu.

Zrozumienie tych taktyk ma kluczowe znaczenie dla rozpoznawania i udaremniania ataków socjotechnicznych. Żerują one raczej na ludzkiej naturze niż na wadach technologicznych, dzięki czemu świadomość i czujność są kluczowymi środkami obrony przed takimi zagrożeniami.

Jak chronić się przed atakami socjotechnicznymi

Ataki socjotechniczne mogą przybierać różne formy, od e-maili phishingowych po manipulacje za pośrednictwem połączeń telefonicznych lub wiadomości tekstowych. Ponieważ ich głównym celem są ludzkie słabości, a nie wady technologiczne, obrona przed nimi wymaga połączenia świadomości, czujności i zabezpieczeń technologicznych.

Poniższe kroki oferują kompleksowe podejście do wzmocnienia obrony przed tymi coraz bardziej powszechnymi i wyrafinowanymi atakami:

1. Uwierzytelnianie wieloskładnikowe: Wdrożenie uwierzytelniania dwuskładnikowego lub wieloskładnikowego ma kluczowe znaczenie. Dodaje ono dodatkową warstwę bezpieczeństwa, zapewniając, że nawet jeśli dane logowania zostaną naruszone, nieautoryzowany dostęp jest nadal uniemożliwiony.
2. Security Szkolenie uświadamiające: Regularne szkolenia dla wszystkich pracowników są niezbędne do rozpoznawania ataków socjotechnicznych i reagowania na nie. Szkolenie to powinno obejmować identyfikację podejrzanych działań i znaczenie nieudostępniania poufnych informacji.
3. Zainstaluj silny program cyberbezpieczeństwa: Korzystaj z kompleksowego oprogramowania cyberbezpieczeństwa, takiego jak Malwarebytes, które może rozpoznawać i neutralizować zagrożenia, w tym złośliwe strony internetowe, złośliwe reklamy, złośliwe oprogramowanie, wirusy i oprogramowanie ransomware.
4. Wdrożenie zasad kontroli dostępu i technologii cyberbezpieczeństwa: Egzekwuj ścisłe zasady kontroli dostępu, w tym uwierzytelnianie adaptacyjne i podejście do bezpieczeństwa oparte na zerowym zaufaniu. Korzystaj z technologii takich jak filtry antyspamowe, bezpieczne bramki e-mail, zapory ogniowe, oprogramowanie antywirusowe i aktualizuj systemy najnowszymi łatkami.
5. Włącz filtry antyspamowe: Aktywuj filtry antyspamowe, aby blokować wiadomości phishingowe i inne formy spamu. Chociaż niektóre legalne wiadomości e-mail mogą zostać odfiltrowane, można to złagodzić, oznaczając je jako "nie spam" i dodając legalnych nadawców do listy kontaktów.
6. Dowiedz się, jak rozpoznać wiadomości phishingowe: Naucz siebie i innych, jak rozpoznawać próby phishingu. Szukaj czerwonych flag, takich jak niedopasowane adresy nadawców, ogólne pozdrowienia, nietypowe adresy URL, słaba gramatyka i oferty, które wydają się zbyt piękne, aby mogły być prawdziwe.
7. Wyłączanie makr w dokumentach: Wyłącz makra w swoim oprogramowaniu. Zachowaj ostrożność w przypadku załączników do wiadomości e-mail z prośbą o włączenie makr, zwłaszcza z nieznanych źródeł. W razie wątpliwości należy zweryfikować legalność załącznika u nadawcy.
8. Nie odpowiadaj na podejrzane oszustwa: Unikaj odpowiadania na potencjalne oszustwa, czy to za pośrednictwem wiadomości e-mail, SMS-ów czy połączeń telefonicznych. Odpowiedź potwierdza oszustom, że Twoje dane kontaktowe są prawidłowe, zachęcając do kolejnych prób. Przekazuj podejrzane wiadomości SMS na numer 7726 (SPAM), aby ułatwić operatorowi filtrowanie spamu.

Wdrażając te strategie, możesz stworzyć solidny system obrony przed atakami socjotechnicznymi, chroniąc zarówno swoje dane osobowe, jak i poufne informacje organizacji. Pamiętaj, że bycie poinformowanym i ostrożnym jest pierwszą linią obrony w stale zmieniającym się krajobrazie zagrożeń cyberbezpieczeństwa.

Rodzaje ataków socjotechnicznych

Ataki socjotechniczne występują głównie poprzez różne [formy phishingu] (https://www.malwarebytes.com/phishing). Ataki te wykorzystują ludzką psychologię i zaufanie, zamiast polegać na technicznych metodach hakowania. Skuteczność i powszechność phishingu sprawiają, że jest to krytyczny problem zarówno dla osób fizycznych, jak i organizacji. Oto bardziej szczegółowy podział każdego typu:

1. Email phishing: Atakujący podszywają się pod legalne podmioty za pośrednictwem wiadomości e-mail, nakłaniając odbiorców do ujawnienia danych osobowych lub poświadczeń. Wiadomości te często zawierają linki do zwodniczych stron internetowych lub złośliwe załączniki.
2. Bulk Phishing: Metoda ta polega na wysyłaniu tej samej wiadomości phishingowej do milionów osób. E-maile wydają się pochodzić od rozpoznawalnych organizacji i często wymagają podania danych osobowych pod fałszywym pretekstem.
3. Spear Phishing: Bardziej ukierunkowana forma phishingu, w której atakujący dostosowują swoje wiadomości do konkretnych osób, korzystając z informacji pochodzących z mediów społecznościowych lub sieci zawodowych.
4. Whale Phishing: Wysokopoziomowa taktyka spear phishingu skierowana do kadry kierowniczej wyższego szczebla lub osób o wysokim profilu. Ataki te są wysoce spersonalizowane i często obejmują złożone oszustwa.
5. Phishing głosowy (Vishing): Technika ta wykorzystuje połączenia telefoniczne w celu nakłonienia osób do ujawnienia poufnych informacji. Atakujący mogą podawać się za legalne organizacje lub autorytety.
6. SMS Phishing (Smishing): Odmiana phishingu przeprowadzana za pośrednictwem wiadomości tekstowych. Wiadomości te nakłaniają odbiorców do kliknięcia złośliwych linków lub ujawnienia poufnych informacji.
7. Phishing w wyszukiwarkach: W tym podejściu atakujący tworzą fałszywe strony internetowe, które pojawiają się wysoko w wynikach wyszukiwania. Gdy użytkownicy odwiedzają te witryny, są narażeni na kradzież informacji.
8. Phishing wędkarski: Ta forma wykorzystuje platformy mediów społecznościowych, na których atakujący tworzą fałszywe konta obsługi klienta w celu interakcji z ofiarami, często prowadząc je do stron phishingowych.

Po phishingu, innymi metodami inżynierii społecznej są:

1. Wabienie: Kuszenie ofiar fałszywą obietnicą towarów lub usług w celu kradzieży informacji lub zainstalowania złośliwego oprogramowania.
2. Tailgating/Piggybacking: Obejmuje nieautoryzowany dostęp do obszarów o ograniczonym dostępie poprzez fizyczne podążanie za upoważnioną osobą lub cyfrowe wykorzystywanie aktywnej sesji innej osoby.
3. Pretekst: Atakujący fabrykują scenariusze w celu wydobycia poufnych informacji lub uzyskania dostępu, często podając się za kogoś z autorytetem lub potrzebą weryfikacji tożsamości.
4. Quid Pro Quo: Oferuje usługę lub korzyść w zamian za poufne informacje, wykorzystując chęć ofiary do uzyskania dobrej oferty lub nagrody.
5. Scareware: Wykorzystuje taktykę strachu, aby zmusić ofiary do zainstalowania złośliwego oprogramowania lub ujawnienia poufnych informacji.
6. Atak typu Watering Hole: Celuje w określone grupy, infekując często odwiedzane przez nie strony internetowe, co prowadzi do kradzieży danych lub instalacji złośliwego oprogramowania.
7. Ataki trojanów: Złośliwe oprogramowanie podszywające się pod legalne oprogramowanie, często rozprzestrzeniające się za pośrednictwem załączników do wiadomości e-mail z pozornie wiarygodnych źródeł.
8. Oszustwa związane z pomocą techniczną: Oszukują ofiary, aby uwierzyły, że ich urządzenie jest zagrożone i pobierają pieniądze za niepotrzebne "naprawy".
9. Oszustwa telefoniczne: Wykorzystywanie połączeń telefonicznych (w tym połączeń automatycznych) do oszukiwania ofiar, często podszywając się pod legalne organizacje lub władze.

Zrozumienie tych metod phishingu i innych taktyk socjotechnicznych ma kluczowe znaczenie dla ochrony przed tymi powszechnymi i ewoluującymi zagrożeniami.

Przykłady ataków socjotechnicznych

Oto kilka rzeczywistych przykładów inżynierii społecznej, o których informowaliśmy na stronie Malwarebytes Labs . W każdym przykładzie oszuści socjotechniczni szukają właściwego celu i odpowiedniego bodźca emocjonalnego. Czasami połączenie celu i wyzwalacza może być bardzo specyficzne (jak w przypadku ataku typu spear phishing). Innym razem oszuści mogą atakować znacznie szerszą grupę.

Oszustwo związane z sekstorcją: W tym pierwszym przykładzie oszuści zarzucają szeroką sieć. Cel? Każdy, kto ogląda porno. Ofiara jest powiadamiana e-mailem, że jej kamera internetowa została rzekomo zhakowana i wykorzystana do nagrywania filmów dla dorosłych. Oszust twierdzi również, że włamał się na konto e-mail odbiorcy, używając starego hasła jako dowodu. Jeśli ofiara nie zapłaci za pomocą Bitcoin, oszust grozi, że udostępni wideo wszystkim kontaktom ofiary. Ogólnie rzecz biorąc, oszust nie ma nagrania wideo, a stare hasło pochodzi z wcześniej ujawnionego naruszenia danych.

Oszustwo na dziadka: Oszustwo to jest znane od lat i jest wymierzone w każdą osobę posiadającą żyjącą rodzinę, zazwyczaj w osoby starsze. Rodzice lub dziadkowie otrzymują telefon lub wiadomość tekstową od oszusta, podającego się za prawnika lub przedstawiciela organów ścigania. Oszust twierdzi, że krewny ofiary został aresztowany lub ranny i potrzebuje pieniędzy na pokrycie kaucji, opłat prawnych lub rachunków szpitalnych. W przypadku wersji oszustwa polegającej na wysyłaniu wiadomości tekstowych SMS, samo odpisanie na wiadomość może kosztować ofiarę pieniądze.

Oszustwo związane z numerem Social Security : W tym oszustwie sytuacja zaczyna się zawężać, ponieważ dotyczy ono tylko obywateli USA. Ofiara otrzymuje nagrany wcześniej telefon rzekomo od Social Security Administration. Wiadomość twierdzi, że numer SSN ofiary został "zawieszony" z powodu "podejrzanych śladów informacji". Pomijając fakt, że SSN nie może zostać zawieszony, jeśli ofiara nabierze się na tę sztuczkę i oddzwoni, zostanie poproszona o zapłacenie grzywny w celu naprawienia sytuacji.

Oszustwo związane z filmem John Wick 3: Oto dobry przykład spear phishingu. W tym przypadku oszuści szukają bardzo konkretnego celu: fana Johna Wicka, który lubi komiksy, ale woli je czytać na Amazon Kindle. Wyszukując komiksy John Wick, cel otrzymuje ofertę bezpłatnego pobrania trzeciego filmu John Wick - w czasie oszustwa film nie został jeszcze wydany w kinach. Podążając za linkiem osadzonym w opisie filmu, ofiara trafia do króliczej nory nielegalnych serwisów streamingowych z pirackimi filmami.

Oszustwa związane z koronawirusem: Oszuści zwrócili uwagę na brak informacji o wirusie, zwłaszcza w pierwszych dniach i miesiącach epidemii. Podczas gdy urzędnicy służby zdrowia starali się zrozumieć wirusa i sposób, w jaki rozprzestrzeniał się z człowieka na człowieka, oszuści wypełniali puste miejsca fałszywymi stronami internetowymi i spamem.

Informowaliśmy o wiadomościach spamowych podszywających się pod informacje o wirusach od Światowej Organizacji Zdrowia. W rzeczywistości zawierały one złośliwe załączniki. W innym przykładzie Labs informował o witrynie śledzącej COVID-19, która wyświetlała infekcje na całym świecie w czasie rzeczywistym. Za kulisami strona ładowała trojana wykradającego informacje na komputery ofiar.

Powiązane artykuły

Czym jest phishing?

Czym jest spear phishing?

Czym jest atak vishingowy?

Czym jest catfishing?

Czym jest kradzież tożsamości?