Что такое социальная инженерия?
Социальная инженерия — это совокупность психологических и социологических приемов, технологий и методик, направленных на получение конфиденциальной информации о личности. При этом категория мошенников, которая специализируется на использовании этих приемов на практике, называется социальными инженерами.
При этом сам термин «социальная инженерия» появился достаточно давно, а также активно использовался. Этот термин получил широкую популярность в 90-е годы, когда американский консультант по компьютерной безопасности — Кевин Митник написал целую серию книг на данную тему, где подробно описывались способы воздействия на человека. В 2001 году была выпущена его книга «Искусство обмана», где он всему миру рассказал о вполне реальных историях — как со стороны жертвы, так и со стороны мошенника.
Примеры использования социальной инженерии
Наиболее распространенным примером применения социальной инженерии является телефонный звонок, в рамках которого мошенник представляется кем-то другим (например, сотрудником банка), чтобы узнать конфиденциальную информацию, или сообщить, что денежные средства жертвы находятся в опасности. К сожалению, на данный момент проблема заключается в том, что многие люди продолжают попадаться на эти уловки, и довольно часто верят мошеннику, переводя денежные средства на другие счета, думая, что таким образом спасают их. На самом деле они лишаются денег, а осознание того, что произошло, приходит далеко не сразу.
Так же в последнее время стал распространенным такой приём социальной инженерии — мошенники присылают письмо жертве о том, что у них имеются компрометирующие фото или видео, которые они грозятся разослать друзьям и знакомым, если не получат денежные средства на определенный счет (как правило, анонимный). В письме они сообщают, что это фото и видео были сняты, т.к. мошенники получили доступ к веб-камере жертвы, например, на ноутбуке. При этом, никаких реальных фото у них, как правило, нет. Но само подобное сообщение вызывает у человека сильный стресс, и находятся те, кто решают заплатить.
Ещё одним распространенным примером социальной инженерии в современном мире является ситуация, когда мошенник пытается узнать входные данные от Интернет-кабинета банковского счета человека. С этой целью он звонит жертве, представляясь сотрудником службы безопасности банка, требуя назвать пароль, поскольку в банковской системе имеются серьезные проблемы в системе организации. Чтобы окончательно убедить жертву, он также называет определенную должность, инициалы и имя, а также собственные полномочия. При этом история может дополняться различными фактами, чтобы как можно быстрее убедить жертву. Полученная информация будет использована для немедленной кражи средств со счета жертвы.
Как работает социальная инженерия?
Основная задача социального инженера заключается в сборе всей важной конфиденциальной информации о потенциальной жертве, чтобы получить доступ к различным онлайн-аккаунтам. При этом процесс организован таким образом, чтобы жертва добровольно рассказала эти данные.
Социальные инженеры в качестве основных инструментов воздействия используют неуверенность, небрежность и невежество людей, чтобы заставить их разглашать жизненно важную информацию. По мере расширения онлайн технологий люди все чаще становятся жертвами подобных взломов.
Большинство схем могут быть описаны следующими тремя шагами:
- Сбор информации о будущей жертве. Для того чтобы методы социальной инженерии обладали максимальной эффективностью, требуется узнать как можно больше личной информации о будущей жертве. На этом этапе ведется сбор информации с аккаунтов жертвы в социальных сетях, исследуются комментарии жертвы на форумах, общение в беседах и другая информация, которая находится в общем доступе.
- Информационная атака. Получение доступа к ценной информации посредством взаимодействия с жертвой, взлома ее логина или паролей. На этом этапе кибермошенник стремится достичь собственной поставленной цели. При этом могут использоваться самые разнообразные способы установки контакта, в т.ч. — телефонный звонок.
- Использование полученной информации. Все данные, которые попали к преступнику, могут быть использованы в корыстных целях. В большинстве случаев они подразумевают получение доступа к банковскому счету и кажу денег, либо доступ к личным данным (например, фотографиям) чтобы впоследствии скомпрометировать человека или попросить выкуп.
Основные методы социальной инженерии
Сразу стоит отметить, что существует достаточно широкий перечень методов социальной инженерии, в рамках этого материала мы выделим только наиболее распространенные из них:
- Претекстинг. Подобная методика направлена на получение неосторожного ответа жертвы. Здесь может быть записано голосовое или текстовое сообщение, содержащее просьбу предоставить какую-либо информацию или совершить действие. Стоит отметить, что подобная методика требует предварительного получения информации о жертве, которая впоследствии может быть использована для уточнения подобного запроса. К примеру, можно узнать точную должность, обязанности, имеющиеся конфликты и слабые места, чтобы, отталкиваясь от этой информации, обмануть близких людей жертвы.
- Фишинг – одна из разновидностей интернет-мошенничества, которая направлена на получение личной информации пользователей, а именно их данных входа в различные системы. Основной целью подобных атак является получение банковских данных. Фишинговые атаки в большинстве случаев распространяются при помощи электронной почты, при этом письмо имитирует официальное сообщение от определенных структур. При нажатии по имеющейся ссылке происходит переадресация на сайт с формой, где человек вводит свои данные, которые становятся доступны мошеннику.
- «Троянский конь». Еще одна методика обмана, распространяющаяся при помощи электронной почты. Здесь прикрепляется особый файл, и главная задача мошенника – заставить жертву его открыть. В основном подобные действия мотивируются какими-либо соблазнами, страхами и угрозами. После активации подобного файла запускается вредоносная программа, блокирующая вашу систему или ворующая конфиденциальную информацию из вашего компьютера.
- «Кви про кво» (услуга за услуг). Методика, подразумевающая непосредственное обращение злоумышленника к пользователю с использованием электронной почты или корпоративного телефона. В подобных ситуациях мошенник зачастую представляется сотрудником технической поддержки, после чего информирует о наличии технических проблем, которые необходимо решить. Далее, в процессе так называемого «решения» проблемы, мошенник подтолкнет жертву к действиям, которые приведут к повреждению системы или утечке информации, поскольку в большинстве случаев в систему будет установлен вредоносный файл.
- «Дорожное яблоко». Одна из разновидностей троянского коня. В подобном случае мошенник подбрасывает какой-либо физический носитель (например, флеш-карту), на котором записана вредоносная программа. Случайная жертва находит подобное устройство, активирует его, после чего происходит установка вредоносной программы.
- Обратная социальная инженерия. Методика, подразумевающая, что жертва сама обратиться к мошеннику для получения «помощи». К примеру, он может представиться сотрудником службы поддержки, подбросив контакты «службы поддержки», после чего, в ходе консультации, способствовать установке вредоносных приложений либо воровать частную информацию.
Как защитить себя от подобной угрозы?
Наиболее важный совет в подобных ситуациях – постоянно сохранять бдительность. Мошенники могут попытаться обмануть вас в любой момент, потому нужно всегда анализировать происходящее, не торопиться с принятием решений. К примеру, если вам звонят неизвестные по телефону или звонит неизвестный номер, никогда не сообщаете никакой личной информации, особенно, если она связана с финансами. В том случае, если вы получаете письмо на электронную почту, не скачивайте сразу приложений из него, а также внимательно читайте все ссылки и описание, поскольку это может быть обманка.
Также следует выполнять следующие рекомендации:
- На постоянной основе обновлять защиту от вирусов и вредоносного программного обеспечения. В ней реализуются новые компоненты защиты, которые позволят избежать фишинговых ссылок и писем. Установка антивируса – отличный способ разобраться с подобной проблемой.
- Регулярно обновляйте все свое программное обеспечение, особое внимание уделяйте исправлению систем безопасности. Разработчики могут самостоятельно обнаруживать бреши в защите и закрывать их.
- Не используйте один пароль для всех учетных записей, поскольку это чревато тем, что злоумышленник сможет проникнуть во все ваши учетные записи одним паролем.
- По возможности используйте двухфакторную аутентификацию, особенно для наиболее важных ваших аккаунтов. Двухфакторная аутентификация не позволит взломать аккаунт с одним лишь паролем, а потребует использования дополнительного устройства безопасности, к примеру отпечатка пальца, сканера глаза или пароля по SMS.
В том случае, если у вас возникли подозрения, что ваши данные могли украсть, рекомендуется немедленно сменить все пароли от аккаунтов.
