Социальная инженерия: что это простыми словами и как защититься

В итоге они просто забирают данные и исчезают, а вознаграждения жертва так и не получает. Когда вы поверите, что человек, с которым вы общаетесь, – это действительно тот, за кого он себя выдает, преступник перейдет к следующему этапу атаки. Как правило, злоумышленники выбирают этот метод только тогда, когда все ходы просчитаны, а игра стоит свеч. Такие атаки связаны с большим риском и требуют тщательной подготовки. Как правило, в результате такой атаки на ваше устройство попадает вредоносная программа.

Что такое Quishing? Как защититься от фишинга с помощью QR-кода

В эру цифровых технологий мы часто сталкиваемся с тем, что наши персональные данные «утекают». Подробную информацию о файлах cookie можно прочитать здесь. Игнорируя обновления, вы становитесь удобной мишенью для специалистов по социальной инженерии. Так поступают многие пользователи, и злоумышленникам это прекрасно известно. как украсть токен вк Откладывая обновление приложений и операционной системы, вы оставляете свое устройство уязвимым для атак. Вместе с обновлениями поставщики часто выпускают исправления безопасности.

Затем, чтобы развести еще больше паники, мужчина зачитывает названия микрофинансовых компаний, в которых мошенники якобы оформили кредит от лица жертвы. Жертва оказывается на линии «службы безопасности», где мужчина просит подробно описать схему, которую использовали мошенники. Из-за страха жертва не проверяет, настоящий ли номер у «службы поддержки», и набирает его.

Социальная инженерия – это метод манипуляции людьми с целью получения их конфиденциальной информации, доступа к ресурсам или других представляющих ценность объектов.
Большинство людей может самостоятельно научиться распознавать мошеннические сообщения, познакомившись с их некоторыми отличительными признаками.
Данный вид атаки подразумевает звонок злоумышленника в компанию по корпоративному телефону.
Атаки с использованием методов социальной инженерии по праву считаются одними из самых опасных техник.
Адреса клиентов были предварительно украдены из базы данных банка.

В этой статье я подробно объясняю, в чём заключаются эти атаки, как они работают в настоящее время и, самое главное, что вы можете сделать, чтобы защитить себя, основываясь на всех доступных знаниях ведущих экспертов и специалистов по кибербезопасности. Только комплексный подход к защите информации может обеспечить надежную защиту от атак методами социальной инженерии и сохранность конфиденциальных данных. Важно понимать, что защита от злоумышленников требует не только технических мер безопасности, но также информирования и обучения сотрудников и пользователей, постоянного мониторинга угроз.

Безопасность сети и устройств

«Работодателям настоятельно рекомендуется использовать антивирусное программное обеспечение и регулярно проводить аудит безопасности для выявления и устранения потенциальных уязвимостей в системе», – говорит Марина Пробетс. Также следует разработать четкий регламент действий в случае звонка от службы безопасности банка», – рекомендует Марина Пробетс. «Не устану повторять о важности дополнительного обучения для сотрудников.

Атаки типа watering hole

Чтобы не пополнить печальную статистику – читайте нашу статью и совершенствуйте свою систему безопасности. Сохранить мое имя, адрес электронной почты и веб-сайт в этом браузере для следующего раза, когда я буду оставлять комментарий. Злоумышленники сочетают психологию и технологии, чтобы обманом заставить вас открыть доступ к вашим аккаунтам, бизнесу или личной жизни. Как вы уже убедились, социальная инженерия — одна из самых серьёзных проблем, с которыми мы сталкиваемся как в цифровом, так и в физическом мире.

В правовом кодексе США претекстинг, то есть выдача себя за другого человека с целью получения информации, которая может быть предоставлена этому человеку, приравнивается к вторжению в личную жизнь. Двумя основными видами атак, основанными на использовании службы мгновенного обмена сообщениями, являются указание в теле сообщения ссылки на вредоносную программу и доставка самой программы. Для распространения этого подхода в организации в политику безопасности следует включить обучение персонала распознавать признаки фишинговых атак и другие индикаторы вредоносных действий, сводя к минимуму риск ошибок, вызванных человеческим фактором. Если, щелкнув присланную злоумышленником гиперссылку, пользователь загрузит в корпоративную сеть троянскую программу или вирус, то это позволит легко обойти многие виды защиты.

Фишинг – это рассылка поддельных писем, которые имитируют сообщения от руководства, партнеров компании, банков, государственных учреждений или интернет-сервисов.
Не оставляйте незащищенные устройства в общедоступных местах.
В P2P-сети появляются черви или троянские программы, но они названы таким образом, чтобы привлечь внимание пользователей и вынудить их загрузить и запустить такой файл.
Жертва оказывается на линии «службы безопасности», где мужчина просит подробно описать схему, которую использовали мошенники.
Чем больше вы знаете кейсов, сценариев, инструментов социальной инженерии, тем ниже вероятность попасться на манипуляции злоумышленников.

Распространенные каналы и сценарии атак

Мгновенный обмен сообщениями — сравнительно новый способ передачи данных, однако он уже приобрёл широкую популярность среди корпоративных пользователей. Также существует ряд средств защиты корпоративной электронной почты от действий злоумышленников. Как и в случае с другими разновидностями мошенничества, самым эффективным способом защиты от атак злоумышленников является скептическое отношение к любым неожиданным входящим письмам. Большинство мер по обеспечению безопасности направлены на предотвращение доступа неавторизованных пользователей к корпоративным ресурсам. Для защиты от таких атак нужно изучить их разновидности, понять, что нужно злоумышленнику, и оценить ущерб, который может быть причинен организации. Будучи всемирно известным компьютерным хакером и консультантом по безопасности, Митник также является автором многочисленных книг по компьютерной безопасности, посвященным, в основном, социальной инженерии и методам психологического воздействия на человека.

Главный инструмент защиты — собственная чуйка и внимательность. Однако рост популярности ИИ-продуктов и инструментов открыл злоумышленникам новые возможности. Порой фишинговые сообщения имеют некоторые очевидные красные флажки.

Основные психологические принципы, используемые в социальной инженерии

В такой ситуации важно сохранять бдительность и звонить на официальную линию поддержки компании, номер которой указан на легитимном сайте или в приложении. Может выглядеть как слишком выгодное предложение на сайте или, например, «случайно» оставленная флешка за столом коворкинга. В названиях поддельных сайтов обычно есть гомоглифы — символы, которые внешне неотличимы или очень похожи друг на друга (например, заглавная буква «i» — «I» и строчная «L» — «l»).

Весь этот процесс может уместиться в одном сообщении электронной почты, а может длиться несколько месяцев и занимать много страниц переписки. Зачем тратить время на взлом ваших учетных записей, если вы сами можете преподнести нужную мошенникам информацию на блюдечке? Для того чтобы получить более полное представление о социальной инженерии, важно разобраться, как она работает.

Порицание пострадавших пользователей для снижения риска распространения сведений об атаке

Некоторые трояны отправляют IP-адрес машины-жертвы атакующей стороне по электронной почте или каким-либо другим способом. Иногда использование троянов является лишь частью спланированной многоступенчатой атаки на определенные компьютеры, сети или ресурсы. Данный вид атаки подразумевает звонок злоумышленника в компанию по корпоративному телефону. Обычно, жертва получает запрос (чаще всего через фишинг электронной почты) связаться с банком и подтвердить или обновить какую-либо информацию. Для защиты от атак данного вида следует знать о наиболее распространенных видах мошенничества, понимать, что на самом деле хотят взломщики и своевременно организовывать подходящую политику безопасности. Основной целью социальных инженеров, как и других хакеров и взломщиков, является получение доступа к защищенным системам с целью кражи информации, паролей, данных о кредитных картах и т.п.

Атака под ложным предлогом

Так они могут насобирать множество учетных данных – и для этого даже не нужно делать рассылку или писать вирус. Например, они могут проводить много времени на фуд-кортах больших офисных зданий и заглядывать в экраны посетителей, работающих на планшете или ноутбуке. У него есть достаточно информации для того, чтобы сочинить историю, которой вы поверите без лишних вопросов. Уникальные предложения с ограниченным сроком действия или срочные запросы информации пользуются у мошенников не меньшей популярностью. Чтобы достичь свей цели, преступник может попытаться вызвать у жертвы следующие эмоции.

В дальнейшем, в процессе разговора, злоумышленник объясняет, что он нуждаются в помощи (большинство людей могут и готовы исполнить задачи, которые не воспринимаются как подозрительные). Но общей чертой всех этих методов является введение в заблуждение, с целью заставить человека совершить какое-либо действие, которое не выгодно ему и необходимо социальному инженеру. Существует несколько распространенных техник и видов атак, которыми пользуются социальные инженеры. В начале 70-х годов, в период расцвета фрикинга, некоторые телефонные хулиганы названивали операторам связи и пытались выведать конфиденциальную информацию у технического персонала компаний. Несмотря на то, что понятие «социальная инженерия» появилось относительно недавно, люди в той или иной форме пользовались ее техниками испокон веков.

Электронные письма могут содержать гиперссылки, склоняющие сотрудников к нарушению защиты корпоративной среды. Когда злоумышленник присылает по почте простой запрос, его жертва часто не задумываясь о своих действиях выполняет то, о чём её просят. Большинство пользователей систем электронной почты спокойно относятся к обработке таких сообщений, воспринимая эту работу как электронный аналог перекладывания бумаг из одной папки в другую. Это могут быть как звонки, так и смс-сообщения о выигрышах в лотереях, конкурсах, просьбы вернуть по ошибке положенные средства, либо сообщения о том, что близкие родственники жертвы попали в беду и необходимо срочно перевести определённую сумму средств. Обладая всей этой информацией, можно интегрировать в политику безопасности необходимые меры защиты. Защититься от таких атак непросто, поскольку их жертвы могут не подозревать, что их обманули.

Не оставляйте устройства без присмотра в общественных местах, например в аэропорту или кофейне. Не оставляйте незащищенные устройства в общедоступных местах. Используйте комплексное решение для безопасности в интернете. Защитой некоторых систем (например домашнего маршрутизатора или информационно-развлекательной системы автомобиля) часто пренебрегают.

Разобравшись с мотивами поведения своей жертвы, преступники могут эффективно применять методы психологического манипулирования. Социальная инженерия – это метод манипуляции людьми с целью получения их конфиденциальной информации, доступа к ресурсам или других представляющих ценность объектов. Научитесь предвосхищать кибератаки и обеспечивать безопасность IT-систем Однако главная проблема социальной инженерии заключается в том, что она работает даже на людей, подкованных в цифровой безопасности. Обеспокоенная жертва звонит в «службу поддержки», где с ней начинают разговаривать «сотрудники из отдела безопасности». Очень часто сочетается с атакой типа Quid pro quo («услуга за услугу»), когда злоумышленник предоставляет жертве (медвежью) услугу.