Социальная инженерия - лучшее оружие мошенника. А точнее, метод
несанкционированного доступа к информации или системам хранения
информации без использования технических средств. Основная целью
социальных инженеров, как и других хакеров и взломщиков, получение
доступа к защищенным системам, чтобы похитить информацию, пароли,
данные о кредитных картах и т.п. Основным отличием от простого взлома
является то, что в данном случае в роли объекта атаки выбирается не машина, а
ее оператор. Поэтому все методы и техники социальных инженеров
основываются на использовании слабостей человеческого фактора, а это
считается крайне разрушительным, потому, что злоумышленник получает
информацию, например, с помощью обычного телефонного разговора или
путем проникновения в организацию под видом ее служащего. Для защиты от
атак данного вида следует знать о наиболее распространенных видах
мошенничества, понимать, чего хотят взломщики и своевременно
организовывать подходящую политику безопасности.
Социальная инженерия приобрела прочную связь с киберпреступностью, но на
самом деле это понятие появилось давно и изначально не имело выраженного
негативного оттенка. Если ты думаешь, что социальная инженерия — такая
выдумка из книг-антиутопий или сомнительная психологическая практика, то
эта статья изменит твоё мнение.
Рассмотрим примеры социальной инженерии:
Чтобы достичь своих целей злоумышленники эксплуатируют человеческое
любопытство, доброжелательность, вежливость, лень, наивность и другие
самые разные качества. Атака на человека (так хакеры называют социальную
инженерию) может производиться по многим сценариям, в зависимости от
ситуации, но существует несколько наиболее распространенных техник работы
злоумышленников.
- Фишинг - данный метод оказывается в значительной степени
эффективным из-за невнимательности пользователя.
Пример: На твою электронную почту приходит письмо от какого-то
неизвестного ресурса. К письму приложена ссылка по которой предлагается
перейти. Перейдя по ссылке тебя попросят авторизоваться. Ты вводишь пароль
и логин даже не посмотрев на адрес сайта, а мошенники таким образом
получают необходимые для взлома данные, после чего совершают любые
действия на твоей странице.
- Троян - вирус, получивший свое название по принципу работы, сходному с
троянским конем из древнегреческого мифа. Ты скачиваешь программу или
даже картинку и все, вирус уже на твоём компьютере. При помощи его
происходит кража данных. Зачастую вирус скачивается автоматически при
банальном переходе по ссылке.
Но почему данный вид кражи называют социальной инженерией? Потому что
разработчики вируса хорошо понимают, как сделать файл максимально
привлекательным, чтобы ты 100% на него кликнул или скачал.
- Кви про кво (от латинского quid pro quo) - переводится как "то за что".
Более доступно - это работает по принципу "услуга за услугу". Мошенник
представляется сотрудником службы технической поддержки. Некоторые даже
не обратят внимания, и с радостью расскажут необходимую информацию. Еще
и выполнят все необходимые мошеннику действия.
Также существует обратная инженерия. Это вид атаки, при котором ты сам
обращаешься к злоумышленнику и предоставляешь ему нужные сведения.
Обратная инженерия достигается несколькими путями:
Ситуация подстроена таким образом, что твоя система начинает неправильно
работать, и ты пытаешься найти специалиста для помощи. Все сделано так, что
специалист к которому ты обратился, и есть мошенник. Исправляя "якобы"
твою проблему, хакер осуществляет необходимые для взлома действия. Иногда,
чтобы получить необходимую информацию ему мало одного доступа к
компьютеру, необходимо общение непосредственно с жертвой. Этот метод
хорош еще тем, что при обнаружении взлома, специалист остается вне
подозрений.
Методы защиты:
Самое главное - это бдительность и скептицизм. Внимательно смотри на адрес
ресурса, на котором собираешься вводить свои личные данные.
Если тебе позвонили и представились сотрудником какой-либо организации
или сайта, то важно понимать, что он уже должен обладать всей необходимой
информацией и ему не нужно знать твои конфиденциальные данные. Для
идентификации личности зачастую необходимо назвать последние цифры
каких-либо данных, а если тебя просят назвать их целиком, то тут уже стоит
насторожиться.
Работая с важной информацией, важно чувствовать, что происходит вокруг
тебя. Довольно большое количество данных было подсмотрено через плечо
жертвы.
Не переходи по ссылке на ресурс, если четко не понимаешь куда ты пытаешься
попасть и зачем. Помни, самое большое преимущество злодея - твоё
любопытство. Лучше проигнорируй ситуацию, тогда в твоей жизни мало что
изменится. Никогда не разглашай свои личные данные без веской причины.
