Mi a social engineering?
A social engineering az, amikor egy kiberbűnöző olyan hozzáférést, információt vagy erőforrást szerez meg, amelyhez nem lenne szabad hozzájutnia, méghozzá nem a technológia, hanem az emberek manipulálásával. Bár azt gondolhatja, hogy a hackerek leggyakrabban tűzfal áttörésével vagy valamilyen kifinomult jelszótörő algoritmussal jutnak be egy rendszerbe, a támadások többsége valójában social engineering eredménye. A technológiai védelmi akadályok megtámadása helyett a hackerek „megtervezik”, hogyan manipulálhatják a szervezet munkatársait, abból kiindulva, hogy a vállalat legnagyobb biztonsági gyenge pontját ők jelentik. A rosszindulatú szereplők egy „társas” helyzetet találnak ki (gyakran egy olyan problémát, amelyet maga a hacker idéz elő!) – innen a social engineering elnevezés. Egyszerűen fogalmazva: a social engineer egy nagyon meggyőző történetet talál ki, hogy rávegye Önt valamire, vagy hozzáférést szerezzen a bizalmas információkhoz.
Hogyan működik?
A kiberbűnözők számos pszichológiai technikát alkalmaznak arra, hogy elnyerjék – majd elárulják – a bizalmát. Íme néhány közülük.Priming (előkészítés)
Priming során a social engineer érzelmileg feltölti a beszélgetést, hogy oldja a feszültséget, és hitelesebbnek tűnjön. Ettől az áldozatok nagyobb valószínűséggel válaszolnak a kérdéseire. Lehet, hogy a beszélgetést azzal kezdi, hogy mennyire rossz reggelük volt, vagy háttérzajként lejátszik egy hangfájlt, amelyen gyerekek szaladgálnak, majd úgy tesz, mintha csendre inteni őket, mert apa vagy anya telefonál. Hát a gyerekek, nem igaz?Framing (keretezés)
Emlékszik a teleshopreklámokra (amikor még azért néztünk végig egy 20 perces OxiClean-reklámot, mert szerettük Billy Mays-t)? Soha nem mondták ki egyszerűen a termék árát. Helyette azt mondták: „Mindössze 49,99 dollár!” vagy „Hat egyszerű részlet, egyenként 12,99 dollár!” Ez a framing: az információt úgy mutatják be, hogy az befolyásolja, hogyan fogadja Ön. A 78 dollár ijesztően soknak tűnhet, de a hat egyszerű, 13 dolláros részlet már kész ajándéknak hangzik. A kiberbűnözők ugyanezt teszik: az információkat vagy kéréseket úgy tálalják, hogy az Ön reakcióját előre megtervezzék. Amikor legközelebb egy idegentől érkezik e-mail, aki csak akkor tudja eltartani a családját, ha Ön iTunes-ajándékkártyát küld neki, kérdezze meg magától: „Ha egyszerűen csak megkért volna erre, igent mondtam volna?”Veszteségkerülés
Ha a Tidying Up with Marie Kondo körüli felhajtás csúcspontján Ön is nekilátott a rendrakásnak, de azt vette észre, hogy gyakorlatilag semmitől sem tud megválni, nincs egyedül. Az emberek rendkívül idegenkednek attól, hogy megváljanak a birtokukban lévő dolgoktól. A social engineerek ezt kihasználják: valaminek – gyakran pénznek – az elvesztésével kecsegtetik a lehetséges áldozatot, ami elhomályosítja az ítélőképességét, és hajlandóbbá teszi az együttműködésre vagy a személyes adatok megosztására.Tekintélytisztelet (authority bias)
Mennyi időbe telt, mire rájött, hogy a szülei nem mindig mondanak igazat? Az emberek hajlamosak reflexszerűen megbízni azok véleményében, akik felettük állnak; sokkal nagyobb valószínűséggel cselekszenek a saját érdekük ellen is, ha ezt egy tekintélyszemély kéri. A social engineerek gyakran adják ki magukat tekintélyszemélynek, például vezetőnek, hogy elvegyék az áldozatok kedvét a kérések alapos megvizsgálásától.Ismerősségi torzítás (familiarity bias)
Egy étteremben üdítőt rendel, és a pincérnő megkérdezi, hogy Coke-ot vagy Dacey Fizzt kér. Melyiket választja? A Coke-ot, igaz? Választás elé állítva az emberek jóval nagyobb valószínűséggel választják (és bíznak meg) a legismerősebb lehetőségben. A social engineerek ezt kihasználhatják: több lehetséges lépést is felkínálnak, és számítanak rá, hogy Ön a legismerősebbet választja – azt, amelyet ők szeretnének.
Milyen példák vannak?
Bár azt gondolhatja, hogy a hackerek leggyakrabban tűzfal áttörésével vagy valamilyen kifinomult jelszótörő algoritmussal jutnak be egy rendszerbe, a támadások többsége valójában social engineering eredménye.Adathalászat (phishing)
Az adathalászat messze a social engineering leggyakoribb formája – a legnépszerűbb típus az e-mailes csalás. Ezek az e-mailek arra csalnak, hogy bizalmas információkat osszon meg, egy hivatkozásra kattintson, vagy olyan mellékletet nyisson meg, amely kártevővel fertőzi meg az eszközét. A phishingről a következő hónapban még többet fogunk beszélni. A smishing és a vishing az adathalászat szöveges üzenetben, illetve hanghíváson keresztül megvalósuló változata. A hívóazonosító tetszőleges névvel megjeleníthető, így olyasvalakinek adhatják ki magukat, akiben megbízik, és azt mondhatják, hogy új számot kaptak, vagy hogy szívességet kérnek Öntől. PÉLDA: „Sürgős” hangüzenetet kap egy másik fiókból Janet nevű kollégától, aki azt mondja, hogy leállt az adatbázisa, és azonnal szüksége van egy bizonyos ügyfél számlaadataira. Amikor visszahívja „Janet”-et, személyes adatokat oszt meg az adathalásszal, aki ezeket az adatokat felhasználva feltöri az említett ügyfél bankszámláját.Fizikai behatolás
A social engineerek időnként alkalmazottnak vagy barátságos arcnak, például futárnak adják ki magukat, hogy bejussanak egy épületbe, majd ha felügyelet nélkül maradnak, feltörik a számítógépeket, vagy átkutatják a bizalmas iratokat. PÉLDA: Valaki postási egyenruhában érkezik Ön mögé, csomagokkal egyensúlyozva. Udvariasan tartja neki az ajtót, miközben belép az irodájába, de kiderül, hogy a postás valójában álcázott kiberbűnöző volt. Mi van a csomagokban? Hackereszközök, amelyeket a vállalati számítógépekbe és szerverekbe dugnak, hogy feltörjék a hálózatot.A tudás hatalom!
A social engineerek mesteri manipulátorok, de nem gyakorolnak gondolatirányítást. Természetesen a hackerek megpróbálják becsapni Önt, de Önnél van a hatalom, hogy jobban megvédje a szervezetét. Ha többet megtud a social engineering technikákról, olyan tudással vértezi fel magát, amely segít felismerni a rosszindulatú szereplőket. Legyen büszke a hatásra, amelyet elér, és ossza meg újonnan szerzett tudását munkatársaival (és szeretteivel), hogy mindenki biztonságban maradhasson.