Kas ir sociālā inženierija?
Sociālā inženierija ir situācija, kad kibernoziedznieks iegūst piekļuvi, informāciju vai resursus, kuriem viņam nevajadzētu būt pieejamiem, manipulējot nevis ar tehnoloģijām, bet ar cilvēkiem. Lai gan jūs varat domāt, ka visbiežākais veids, kā hakeri ielaužas sistēmā, ir ugunsmūra pārlaušana vai izmanšu paroļu uzminēšanas algoritma izmantošana, biežāk ielaušanās notiek sociālās inženierijas rezultātā. Tā vietā, lai mērķētu uz tehnoloģiskajiem šķēršļiem, hakeri “izstrādā” veidu, kā manipulēt ar jūsu organizācijas darbiniekiem, pieņemot, ka tieši viņi ir uzņēmuma lielākais drošības vājais punkts. Ļaunprātīgie dalībnieki izdomā “sociālu” situāciju (parasti problēmu, ko hakeris pats rada!) — tādēļ arī nosaukums sociālā inženierija. Vienkārši sakot, sociālais inženieris izdomā ļoti pārliecinošu stāstu, lai pierunātu jūs kaut ko viņa labā izdarīt vai piešķirt viņam piekļuvi privātai informācijai.
Kā tas darbojas?
Kibernoziedznieki izmanto dažādas psiholoģiskas metodes, lai iegūtu jūsu uzticību un pēc tam to nodotu. Lūk, dažas no tām.Priming (sagatavošana)
Priming ir tad, kad sociālais inženieris emocionāli uzlādē sarunu, lai “izkustinātu ledu” un izskatītos ticamāks. Tādējādi viņa upuri ar lielāku varbūtību atbildēs uz jautājumiem. Iespējams, viņš sāk sarunu, pastāstot, cik grūts bijis viņa rīts, vai atskaņo fonā audio failu, kurā skraida bērni, un tad izlikti lūdz viņus apklust, jo mamma/tētis runā pa telefonu. Bērni, kā jau bērni!Framing (ietvarošana)
Vai atceraties informatīvās reklāmas (kad mēs skatījāmies 20 minūšu garu OxiClean reklāmu tikai tāpēc, ka mums patika Billy Mays)? Tās nekad vienkārši nepateica produkta cenu. Tā vietā tika teikts: “Tikai 49,99 USD” vai “Seši viegli maksājumi pa 12,99 USD!” Tā ir ietvarošana: informācija tiek pasniegta tā, lai manipulētu ar to, kā jūs to uztversiet. 78 USD var šķist pārmērīgi daudz, bet seši viegli maksājumi pa 13 USD šķiet īsts izdevīgums. Kibernoziedznieki dara to pašu: viņi pasniedz jums informāciju vai pieprasījumus viltīgā veidā, lai ietekmētu jūsu reakciju. Nākamreiz, kad saņemsiet e-pastu no svešinieka, kurš nespēj pabarot savu ģimeni, ja vien nenosūtīsiet viņam iTunes dāvanu karti, pajautājiet sev: “Ja viņš man to būtu lūdzis atklāti, vai es būtu piekritis?”Loss Aversion (zaudējuma izvairīšanās)
Ja Marijas Kondo “Tidying Up” popularitātes kulminācijā jūs sākāt kārtīgi tīrīt mājokli, bet secinājāt, ka principā neesat gatavi neko izmest, jūs neesat vienīgais. Cilvēki ārkārtīgi nevēlas šķirties no lietām, kas viņiem pieder. Sociālie inženieri to izmanto savā labā, vicinot potenciālā upura priekšā kaut kā zaudējumu — bieži vien naudas —, tādējādi aizmiglojot viņa spriestspēju un padarot viņu gatavāku sadarboties vai izpaust personisko informāciju.Authority Bias (autoritātes neobjektivitāte)
Cik ilgi jums bija vajadzīgs, lai saprastu, ka vecāki ne vienmēr ir taisnīgi? Cilvēki mēdz refleksīvi uzticēties to viedoklim, kuriem ir vara pār viņiem; viņi arī daudz biežāk rīkojas pretēji savām interesēm, ja to pieprasa autoritatīva persona. Sociālie inženieri bieži uzdodas par autoritatīvu personu, piemēram, vadītāju, lai atrunātu potenciālos upurus no viņu pieprasījumu rūpīgas pārbaudes.Familiarity Bias (pazīstamības neobjektivitāte)
Jūs sēžat ēstuvē, pasūtāt bezalkoholisko dzērienu, un viesmīle jautā, vai vēlaties Coke vai Dacey Fizz. Kuru izvēlaties? Coke, vai ne? Izvēles priekšā cilvēki ievērojami biežāk izvēlas (un uzticas) pazīstamākajai iespējai. Sociālie inženieri to var izmantot savā labā, piedāvājot vairākus rīcības variantus un paļaujoties, ka jūs izvēlēsieties pazīstamāko — to, kuru viņi vēlas, lai jūs izvēlaties.
Kādi ir daži piemēri?
Lai gan jūs varat domāt, ka visbiežākais veids, kā hakeri ielaužas sistēmā, ir ugunsmūra pārlaušana vai izmanšu paroļu uzminēšanas algoritma izmantošana, biežāk ielaušanās notiek sociālās inženierijas rezultātā.Pikšķerēšana
Pikšķerēšana ir visizplatītākā sociālās inženierijas forma, un populārākais tās veids ir e-pasta krāpšana. Šie e-pasti pamudina jūs kopīgot privātu informāciju, noklikšķināt uz saites vai atvērt pielikumu, kas inficē jūsu ierīci ar ļaunprogrammatūru. Par pikšķerēšanu sīkāk runāsim nākamajā mēnesī. Smishing un vishing ir pikšķerēšanas veidi, kas notiek attiecīgi ar īsziņu un balss zvana starpniecību. Zvanītāja ID var tikt attēlots ar jebkuru viņu izvēlētu vārdu, tāpēc viņi var uzdoties par jums uzticamu personu un paziņot, ka viņiem ir jauns numurs vai ka viņiem kaut kas jāizdara viņu labā. PIEMĒRS: Jūs saņemat “steidzamu” balss ziņu no Džanetas no citas filiāles, kura saka, ka viņas datubāze nedarbojas un viņai nekavējoties nepieciešama informācija par kādu konkrētu klientu. Kad jūs atzvanāt “Džanetai”, jūs izpaužat personisko informāciju pikšķerētājam, kurš izmanto šos datus, lai apdraudētu minētā klienta bankas kontu.Fiziskas ielaušanās
Sociālie inženieri dažkārt uzdodas par darbiniekiem vai draudzīgiem cilvēkiem, piemēram, piegādātājiem, lai iekļūtu ēkā, un, kad viņi iekšā tiek atstāti bez uzraudzības, apdraud datorus vai pārmeklē privātus dokumentus. PIEMĒRS: Aiz jums piekāpjas kāds pasta darbinieka formastērpā, žonglējot ar paku kaudzi. Jūs laipni paturat durvis vaļā, ieejot savā birojā, bet izrādās, ka šis pasta darbinieks bija pārģērbies kibernoziedznieks. Kas ir iepakojumos? Uzlaušanas ierīces, ko viņš pievieno uzņēmuma datoriem un serveriem, lai apdraudētu jūsu tīklu.Zināšanas ir spēks!
Sociālie inženieri ir meistarīgi manipulatori, taču viņi neapgūst prāta kontroli. Protams, hakeri mēģinās jūs apmānīt, taču jums ir spēks labāk aizsargāt savu organizāciju. Uzzinot vairāk par sociālās inženierijas metodēm, jūs apgūstat zināšanas, kas nepieciešamas, lai pamanītu ļaunprātīgus dalībniekus. Lepojieties ar savu ieguldījumu un dalieties jaunapgūtajās zināšanās ar kolēģiem (un saviem tuviniekiem), lai visi varētu palikt drošībā.