- Регистрация
- 30.04.20
- Сообщения
- 381
- Онлайн
- 41д 10ч 8м
- Сделки
- 0
- Нарушения
- 0 / 1
Социальная инженерия — это искусство использования человеческой психологии, а не технических методов взлома.
Социальная инженерия переносит мошенников в цифровую эпоху и независимо от того, за кого они выдают себя, их мотивация всегда одна и та же — извлечение денег или данных, психологическая манипуляция, которая приводит к передаче конфиденциальной информации.
Социальная инженерия переносит мошенников в цифровую эпоху и независимо от того, за кого они выдают себя, их мотивация всегда одна и та же — извлечение денег или данных, психологическая манипуляция, которая приводит к передаче конфиденциальной информации.
Атака социальной инженерии — это атака по кибербезопасности, основанная на психологическом манипулировании поведением человека с целью раскрытия конфиденциальных данных, обмена учетными данными, предоставление доступа к личному устройству или иного нарушения цифровой безопасности.
Атаки с использованием социальной инженерии представляют серьезную угрозу для кибербезопасности, поскольку многие из них начинаются на личном уровне и полагаются на человеческую ошибку или рассчитаны на многоходовку для получения результата на всём продолжении по пути атаки. Вызывая у жертвы сочувствие, страх и безотлагательность, злоумышленники часто могут получить доступ к личной информации или поставленной цели. Если устройство подключено к корпоративной сети или содержит учетные данные для корпоративных учетных записей, это предоставляет злоумышленнику дополнительные возможности для атак на уровне предприятия и сотрудников работающих на нём.
Поскольку киберпреступники изобретают все более манипуляционные методы для обмана в этой статье мы рассмотрим несколько распространенных типов атак социальной инженерии:
- Фишинг
- Охота на крупную рыбу
- Травля
- Диверсия Кража
- Компрометация деловой электронной почты (BEC)
- Смишинг / SMS-фишинг
- Услуга за услугу
- Предлог
- Медовая ловушка
- Хвост / совмещение
Фишинг — это кибератака, которая использует электронную почту, телефон, SMS, социальные сети или другие формы личного общения, чтобы побудить пользователей щелкнуть вредоносную ссылку, загрузить зараженные файлы или раскрыть личную информацию, такую как пароли или номера учетных записей.
В то время как самые известные фишинговые атаки обычно связаны с диковинными заявлениями, такими как получение наследства или неожиданный выигрыш, запрашивающий банковскую информацию человека, современная фишинговая афера намного изощрёнее. Во многих случаях киберпреступник может маскироваться под розничных продавцов, поставщиков услуг или государственных учреждений для извлечения личной информации, которая может показаться безобидной, такой как адреса электронной почты, номера телефонов, дата рождения пользователя или имена членов семьи.
Фишинг является одним из наиболее распространенных видов кибератак, и его распространенность продолжает расти с каждым годом. COVID-19 резко увеличил количество кибератак всех видов, включая фишинговые атаки. В период самоизоляции люди обычно проводили больше времени в сети, а также испытывали повышенные эмоции — виртуальный рецепт эффективной фишинговой кампании.
2. Охота на крупную рыбу
Охота на крупную рыбу — это тип фишинговой атаки, которая также использует личное общение для получения доступа к устройству пользователя или личной информации.
Разница между фишингом и охотой на крупную рыбу заключается в уровне персонализации. В то время как фишинговые атаки не являются персонализированными и могут быть воспроизведены для миллионов пользователей, охота на крупную рыбу нацелена на одного человека, как правило, на руководителя высокого уровня. Этот тип атаки требует значительного объема исследований этого человека, что обычно делается путем анализа его активности в социальных сетях и другого публичного поведения. Это углубленное исследование приводит к более сложному охвату и более высокой вероятности успеха.
Хотя охота на крупную рыбу на начальном этапе требуют большего планирования и усилий, она часто приносят огромную отдачу, поскольку достигаемые цели имеют доступ к ценным данным или финансовым ресурсам более высокого уровня и с большим охватом, что даёт возможность для продвижения атаки программ-вымогателей.
3. Приманка
Приманка — это тип атаки социальной инженерии, при которой мошенники дают ложные обещания пользователям, чтобы заманить их к раскрытию личной информации или установке вредоносного ПО в систему.
Мошенничество с наживкой может быть в форме заманчивой рекламы или онлайн-предложений, таких как бесплатная загрузка игр или фильмов, потоковая передача музыки или обновление телефона. Злоумышленник надеется получить пароль, который может быть использован при оформлении полученного предложения, — этот же пароль, который вы также можете использовать на других сайтах, что позволит хакеру получить доступ к данным жертвы или продать информацию другим преступникам в даркнете.
Приманка также может быть в физической форме, чаще всего через флешку, зараженную вредоносным ПО. Злоумышленник оставляет зараженную флешку в месте, где жертва, скорее всего, ее увидит. Это побудит жертву вставить флешку в компьютер, чтобы узнать, кому она принадлежит. При этом вредоносное ПО устанавливается автоматически.
4. Диверсионное воровство
Диверсионная кража — это кибератака, которая происходит в автономном режиме. В этой атаке вор убеждает курьера забрать или доставить посылку в неправильное месте, доставить не ту посылку или доставить посылку не тому получателю.
С некоторых пор диверсионное воровство было адаптировано как онлайн-схема. Злоумышленник крадет конфиденциальную информацию, обманом заставляя пользователя отправить ее не тому получателю.
Этот тип атаки часто включает спуфинг — метод, используемый киберпреступниками для маскировки под известный или надежный источник. Спуфинг может принимать различные формы, такие как подделка электронной почты, подмена IP, подмена DNS, подмена GPS, подмена веб-сайта и поддельные звонки.
5. Компрометация деловой электронной почты (BEC - Business Email Compromise)
Компрометация деловой электронной почты (BEC) — это тактика социальной инженерии, при которой злоумышленник выдает себя за руководителя, уполномоченного заниматься финансовыми вопросами внутри организации.
В этом сценарии атаки мошенник внимательно следит за поведением руководителя и использует спуфинг для создания поддельной учетной записи электронной почты. Выдавая себя за другое лицо, злоумышленник отправляет электронное письмо с просьбой к своим подчиненным осуществить банковские переводы, изменить банковские реквизиты и выполнить другие задачи, связанные с деньгами.
BEC может привести к огромным финансовым потерям для компаний. В отличие от других вариантов кибер-мошенничества, эти атаки не основаны на вредоносных URL-адресах или вредоносных программах, которые могут быть перехвачены средствами кибербезопасности, такими как брандмауэры или системы обнаружения и реагирования конечных точек (EDR). Скорее, BEC-атаки осуществляются строго по личному поведению, которое часто сложнее контролировать, особенно в крупных организациях.
6. Смишинг/СМС-фишинг
SMS-фишинг, или смишинг, — это атака методом социальной инженерии, проводимая именно с помощью SMS-сообщений. В этой атаке мошенники пытаются заманить пользователя, чтобы он щелкнул ссылку, которая направляет его на вредоносный сайт. Оказавшись на сайте, жертве предлагается загрузить вредоносное программное обеспечение и контент.
Смишинг-атаки стали более популярными среди преступников, поскольку люди проводят больше времени с мобильными устройствами. В то время как пользователи стали более опытными в обнаружении фишинга в электронной почте, многие люди гораздо меньше осведомлены о рисках, связанных с текстовыми сообщениями.
Атака smashing не требует особых усилий от злоумышленников и часто осуществляется путем простой покупки поддельного номера и установки вредоносной ссылки.
7. Услуга за услугу
Атака «услуга за услугу» предполагает, что злоумышленник запрашивает у жертвы конфиденциальную информацию в обмен на желаемую услугу.
Например, злоумышленник может выдать себя за специалиста службы ИТ-поддержки и позвонить пользователю компьютера, чтобы решить распространенную ИТ-проблему, такую как низкая скорость сети или исправление системы, чтобы получить учетные данные пользователя для входа в систему. После обмена учетными данными эта информация используется для получения доступа к другим конфиденциальным данным, хранящимся на устройстве и его приложениях, или продается в даркнете.
8. Предлог
Претекстинг — это форма социальной инженерии, которая включает в себя создание правдоподобных сценариев или предлогов, которые могут убедить жертв поделиться ценными и конфиденциальными данными.
Мошенники могут выдавать себя за кого-то, кто обладает властью, например, за сотрудника правоохранительных органов или налогового служащего, или за заинтересованное лицо, например, за агента по поиску работы или организатора лотереи. После объяснения предложения злоумышленник затем задаёт жертве вопросы, чтобы получить личную и конфиденциальную информацию, которую он затем может использовать для продвижения других сценариев атаки или доступа к другим вашим личным учетным записям.
9. Медовая ловушка
Атака-ловушка — это метод социальной инженерии, специально предназначенный для людей, ищущих любовь на сайтах онлайн-знакомств или в социальных сетях. Преступник подружился с жертвой, создав вымышленный образ и настроив поддельный онлайн-профиль. Со временем преступник пользуется отношениями и обманом заставляет жертву давать ей деньги, извлекать личную информацию или устанавливать вредоносное ПО.
10. Вымышленная проблема/Совмещение
Вымышленная проблема, также известна как Совмещение, представляет собой физическое выманивание, при котором злоумышленник получает доступ к объекту, попросив человека, выполнить какое-либо действие при котором он покинет кабинет и злоумышленник получит туда доступ. Оказавшись внутри объекта, преступник может использовать свое время для проведения разведки, кражи оставленных без присмотра устройств или доступа к конфиденциальным файлам.
Совмещение также может включать в себя предоставление неуполномоченным лицам, под любым поводом, возможности одолжить ноутбук сотрудника или другое устройство, чтобы пользователь мог установить вредоносное ПО.
Как предотвратить атаки социальной инженерии
Хотя бывает довольно сложно предотвратить атаки с использованием социальной инженерии, однако вы можете защитить себя с помощью ответственного поведения, осведомлённости о безопасности, обучению и бдительности.
Вот несколько полезных соображений, на которые стоит обратить внимание при получении любого сообщения от неизвестного, незнакомого или подозрительного источника:
Проверяйте достоверность источника.
Обратите особое внимание на заголовок электронного письма и убедитесь, что он совпадает с предыдущими электронными письмами от того же отправителя. Следите за орфографическими и грамматическими ошибками, так как это распространенный признак мошенничества.
Регулярно обновляйте и исправляйте свою операционную систему и приложения, чтобы снизить риск известных уязвимостей.
Сохраняйте бдительность при контактах с неизвестными источниками. Имейте в виду, что авторитетные организации никогда не будут просить пользователей делиться паролями или учетными данными для входа.
Установите блокировщик всплывающих окон и спам-фильтр. Это обезопасит вас от множество угроз и даже предотвратит попадание зараженных писем на ваше устройство.
Не используйте взломанное программное обеспечение. ПО должно быть от авторитетного поставщика безопасности и регулярно обновляться.
Делайте доступ только к URL-адресам, начинающимся с HTTPS. Использование ссылок, обеспечивающих безопасный просмотр, сводит к минимуму вероятность доступа к вредоносной или поддельной веб-странице.
Включите многофакторную аутентификацию (MFA), чтобы уменьшить компрометацию учетной записи.
Входите в свою учетную запись через официальные сайты, а не через встроенные ссылки или всплывающую рекламу.
Используйте менеджер паролей. Этот инструмент автоматически сохраняет ссылки на официальный сайт для входа, что исключает возможность входа на поддельный сайт.
