Социальный инжениринг — это глобальная угроза интернет-пространства и одно из самых эффективных направление в хакинге, основанное на знании психологии человека.
Если вы считаете, что вас это не касается, напомним, что 80% хакерских взломов компьютерных сетей и краж личности происходит именно с использованием соц. инженерных методов. И это достаточный повод, чтобы рассмотреть такие методы внимательнее.
Статью «Социальный инжениринг часть 1: введение» читайте тут.
В их основе лежит понимание особенностей принятия человеком решений злоумышленником.
Мошенническое получение конфиденциальной информации. Чаще всего жертва получает e-mail, подделанный под официальное письмо от платежной системы или из банка. В письме находится ссылка на фальшивую web-страницу, до мелочей имитирующей официальную. При этом будет содержаться форма для введения конфиденциальной информации – от пин-кода банковской карточки и паспортных данных до домашнего адреса. Если пользователь выполнит все, что от него требуют в письме, он — жертва кибермошенников.
Сегодня особенное распространение получили фишинговые сайты страховых компаний. Дело поставлено на столь широкую ногу, что после оплаты КАСКО или ОСАГО на фишинговом сайте, в самом деле, присылается полис автострахования. А вот то, что это фальшивка, станет известно лишь после наступления страхового случая.
Кстати, фишинг занимает особое место в киберпреступности. Покажем это более наглядно на с помощью статистики Минюста о кибермошенничествах за 2016 г.
Очень оригинальная методика, эксплуатирующая, к примеру, авторитет пославшего е-mail. Так, в декабре прошлого года многим бухгалтерам на почту пришло письмо якобы из налогового ведомства с указанием на недочисление налогов. Подробности предлагалось узнать в прилагаемом вордовском файле, содержащем вредоносное ПО.
Если кибермошенник решает сделать ставку на алчность потенциальной жертвы, то рассылка может принять вид сообщения от нигерийского адвоката о том, что пользователь стал богатым наследником. Сообщения о внезапном выигрыше чего-то дорогостоящего: от айфона до автомобиля – из этой же серии.
Техника, эксплуатирующая любопытство жертвы. Если в лифте пользователь заметит оброненный кем-то носитель информации с корпоративными логотипами и надписью «Зарплаты персонала-2016», велика вероятность, что он постарается ознакомиться с его содержимым. И скачает вредоносное ПО.
Обман происходит по заранее составленному сценарию – претексту. При этом используются голосовые средства связи – телефон, скайп и т.д. Например, социальный инженер звонит под видом сотрудника банка и изобретает повод попросить личные данные или данные банковской карты.
Не просто буквальная и банальная, но и опаснейшая техника социального инжиниринга. Заключается в том, что конфиденциальная информация похищается именно таким образом – подсматриванием через плечо.
Мошенник звонит в интересующую его компанию по случайному номеру и представляется сотрудником техподдержки, которого интересуют технические проблемы. Когда конкретная проблема озвучена, социальный инженер в процессе «решения» диктует жертве действия, дающие возможность запустить вредоносное программное обеспечение.
Мошенник заставляет пользователя лично обратиться к нему за «помощью». В таком случае на компьютере жертвы атаки сначала создаются обратимые неполадки. А затем тем или иным образом подсовывается объявление вроде «если у вас возникли трудности с компьютером, мы вам поможем…». Очень часто такие манипуляции проделываются с сотрудниками интересующей компании, которые находятся в отпуске или в командировке.
Отдельно отметим последнюю тенденцию, используемую кибермошенниками. Сегодня они все чаще не отмалчиваются на вопрос об обратной связи, а просто дают номера телефонов учреждений, которые с большой вероятностью окажутся заняты.
Сколько не предупреждай и не создавай максимально четких и подробных инструкций, люди, идущие на поводу у аферистов, будут всегда. Это хорошо известно так называемым социальным инженерам. Поэтому они не прикладывают особых усилий для создания новых, более тонких и оригинальных трюков. Методы, используемые ими, почти всегда одни и те же.
Поэтому мы советуем становиться оригинальными именно вам. И не мыслить стереотипами. Проявляйте особую бдительность, когда получаете пугающее или неожиданное сообщение.
И запомните: по-настоящему эффективное противодействие кибер-мошенничеству это полное игнорирование подозрительного сообщения. Даже если вы вступаете в переписку с социальным инженером исключительно с целью отказа, вы все равно ставите себя под угрозу. Дело в том, что таким образом подтверждается адрес электронной почты пользователя. И следующие рассылки станут более изощренными.
В завершении сегодняшнего дайджеста лучше всего привести слова Фрэнка Уильяма Абаньяле, некогда знаменитого и изощренного мошенника, а ныне – почтенного, законопослушного эксперта по безопасности личности, непререкаемого авторитета в этой отрасли: «Полиция не сможет защитить пользователей. Людям нужно быть более осведомленными и больше знать о таких вещах, как взлом личности. Следует стать немного умнее, немного сообразительнее… Нет ничего плохого в том, чтобы быть скептиком. Мы живем в такое время, что, если у вас легко украсть, кто-нибудь обязательно воспользуется возможностью».