Что такое социальная инженерия?
Социальная инженерия — это способ, с помощью которого киберпреступник получает доступ, информацию или ресурсы, на которые не имеет права, манипулируя людьми, а не технологиями. Вы можете полагать, что чаще всего злоумышленники взламывают системы, преодолевая межсетевой экран или применяя сложный алгоритм подбора паролей, но в большинстве случаев причиной инцидентов становится именно социальная инженерия. Вместо того чтобы атаковать технические барьеры, злоумышленники «конструируют» способ манипулировать сотрудниками вашей организации, исходя из предположения, что именно люди — самое слабое звено в системе безопасности компании. Злоумышленники создают «социальную» ситуацию (как правило, проблему, которую хакер сам же и придумывает!) — отсюда и название «социальная инженерия». Проще говоря, социальный инженер придумывает по-настоящему убедительную историю, чтобы обманом заставить вас выполнить его просьбу или предоставить ему доступ к конфиденциальной информации.
Как это работает?
Киберпреступники используют множество психологических приёмов, чтобы завоевать ваше доверие, а затем предать его. Вот некоторые из них.Прайминг
Прайминг — это приём, при котором социальный инженер придаёт беседе эмоциональную окраску, чтобы разрядить обстановку и выглядеть более убедительно. Благодаря этому жертва охотнее отвечает на вопросы. Например, злоумышленник начинает разговор с рассказа о том, как тяжело у него началось утро, или включает фоновую аудиозапись с бегающими детьми, после чего делает вид, что просит их потише, потому что мама или папа разговаривает по телефону. Дети есть дети, не так ли?Фрейминг
Помните рекламные телемагазины (то время, когда мы смотрели двадцатиминутную рекламу средства OxiClean только потому, что нам нравился Билли Мэйс)? Они никогда не называли цену товара прямо. Вместо этого звучало: «Всего 12,99!» Это и есть фрейминг: информация подаётся так, чтобы повлиять на её восприятие. 13 выглядят как выгодная сделка. Киберпреступники делают то же самое: они преподносят информацию или просьбы хитрым образом, рассчитывая на определённую реакцию. В следующий раз, получив письмо от незнакомца, который не сможет прокормить семью, если вы не отправите ему подарочную карту iTunes, спросите себя: «Если бы он просто попросил меня об этом прямо, согласился бы я?»Неприятие потерь
Если на пике популярности книги и шоу «Магическая уборка с Мари Кондо» вы решили избавиться от лишних вещей, но обнаружили, что практически ни с чем не готовы расстаться, вы не одиноки. Людям крайне трудно расставаться с тем, что им принадлежит. Социальные инженеры используют это в своих интересах: они маячат перед потенциальной жертвой угрозой потери чего-либо — чаще всего денег, — затуманивая её рассудок и повышая готовность сотрудничать или раскрыть личные данные.Склонность подчиняться авторитету
Сколько времени вам понадобилось, чтобы понять, что родители не всегда правы? Люди, как правило, рефлекторно доверяют мнению тех, кто обладает над ними властью; кроме того, они гораздо чаще действуют вопреки собственным интересам, если об этом просит авторитетная фигура. Социальные инженеры нередко выдают себя за авторитетных лиц, например за руководителей, чтобы отбить у потенциальных жертв желание тщательно проверять их просьбы.Склонность к привычному
Вы в кафе заказываете газировку, и официантка спрашивает, что вы хотите: Coke или Dacey Fizz. Что вы выберете? Coke, верно? Сталкиваясь с выбором, люди значительно чаще выбирают (и больше доверяют) самый знакомый вариант. Социальные инженеры могут использовать это в своих интересах: они предлагают несколько вариантов действий, рассчитывая, что вы выберете наиболее привычный — тот, который нужен им.
Какие бывают примеры?
Вы можете полагать, что чаще всего злоумышленники взламывают системы, преодолевая межсетевой экран или применяя сложный алгоритм подбора паролей, но в большинстве случаев причиной инцидентов становится именно социальная инженерия.Фишинг
Фишинг — безусловно, самая распространённая форма социальной инженерии, а наиболее популярный его вид — мошеннические электронные письма. Такие письма побуждают вас сообщить конфиденциальную информацию, перейти по ссылке или открыть вложение, которое заражает ваше устройство вредоносным ПО. Подробнее о фишинге мы расскажем в следующем месяце. Смишинг и вишинг — разновидности фишинга, которые осуществляются посредством текстовых сообщений и голосовых звонков соответственно. Злоумышленники могут подставить в определитель номера любое имя, поэтому они способны выдавать себя за человека, которому вы доверяете, и сообщать, что у них новый номер или что им нужна ваша помощь. ПРИМЕР. Вы получаете «срочное» голосовое сообщение от Джанет из другого филиала: у неё не работает база данных, и ей как можно скорее нужны сведения об учётной записи определённого клиента. Вы перезваниваете «Джанет» и сообщаете личные данные фишеру, который использует их, чтобы взломать банковский счёт этого клиента.Физическое проникновение
Социальные инженеры иногда выдают себя за сотрудников или за безобидных людей, например курьеров, чтобы попасть в здание, а затем, оставшись без присмотра, взламывают компьютеры или роются в конфиденциальных документах. ПРИМЕР. Человек в форме почтальона подходит к вам сзади, с трудом удерживая стопку посылок. Вы любезно придерживаете для него дверь, входя в офис, но оказывается, что почтальон — переодетый киберпреступник. Что в посылках? Устройства для взлома, которые он подключает к компьютерам и серверам компании, чтобы скомпрометировать вашу сеть.Знание — сила!
Социальные инженеры — мастера манипуляции, но они не владеют контролем над сознанием. Безусловно, злоумышленники будут пытаться вас обмануть, но именно в ваших силах лучше защитить свою организацию. Изучая методы социальной инженерии, вы получаете знания, необходимые для распознавания злоумышленников. Гордитесь своим вкладом и делитесь новыми знаниями с коллегами (и близкими), чтобы все оставались в безопасности.