Цифровые технологии эпохи миллениума изменили наши представления о безопасности и конфиденциальности. Полагаясь на разработчиков, создающих инструменты, которые помогают предотвратить большое количество уязвимостей сети, мы забываем о том, что самым большим врагом безопасности остается сам человек, точнее, допускаемые им ошибки. Именно эти ошибки использует социальная инженерия, чтобы завладеть ценными данными, причем самое ужасное заключается в том, что преступники получают эту информацию с нашего же согласия.
ЧТО ТАКОЕ СОЦИАЛЬНАЯ ИНЖЕНЕРИЯ?
Социальная инженерия представляет собой добывание ценной информации в ходе взаимодействия с человеком и злоупотребления его доверием. Преступники спекулируют на человеческой психологии, вынуждая жертв допускать ошибки, пренебрегая элементарными правилами безопасности, в результате чего секретная информация попадает в руки мошенников.
Перед тем как запустить психологическую атаку, преступник собирает информацию. Затем он/она переходит ко второму этапу – необходимо войти в доверие к жертве. А добившись этого, при помощи различных манипуляций преступник получает всю необходимую ему информацию – цель достигнута! Таким образом, весь процесс атаки социальной инженерии основан на человеческих ошибках.
ТЕХНИКИ СОЦИАЛЬНОЙ ИНЖЕНЕРИИ
Социальная инженерия очень часто используется преступниками для внедрения в нужную им организацию. Завладев доступом к защищенным данным, киберпреступники могут свободно поникать в файловые системы компаний, не оставляя никаких следов. Возможность такой атаки существует везде, где есть шанс человеческой ошибки или участия человека. Техники социальной инженерии можно разделить на четыре основных вида.
ПРИМАНКИ
В ходе таких атак преступники используют против своих жертв качества их характера, чаще всего – жадность и желание легкой наживы. Злоумышленник заманивает жертву в ловушку, обещая золотые горы, однако в итоге человек теряет контроль над своими учетными данными или система оказывается инфицированной вредоносным ПО.
Попасть в такую ловушку намного легче, чем кажется на первый взгляд. Приманки могут быть двух видов – физическая приманка и интернет-приманка. В первом случае преступник использует инфицированный флеш-накопитель, оставив его на видном месте. После того, как жертва подключает флешку к офисному или домашнему компьютеру, происходит автоматическая установка вредоносной программы, разрушающей компьютерную систему.
В случае с онлайн-вариантом пользователь загружает вредоносное ПО с интернет-сайта. Чтобы заставить вас загрузить файл, используются разные методы – сообщения электронной почты, фейковый интернет-сайт или рекламные объявления, направляющие на вредоносный сайт.
ПРЕТЕКСТИНГ
Еще один прием, к которому прибегают киберпреступники, называется претекстинг. Чтобы завладеть информацией, преступник выдает себя за известное вам лицо, которому якобы необходима ваша информация для выполнения важной задачи.
В качестве такого лица может выступать ваш друг, член семьи или знакомый. Однако чаще всего преступники играют роль должностных лиц – полицейских, представителей налоговых органов и других людей, обладающих полномочиями задавать конфиденциальные вопросы. Чтобы быть убедительнее, преступник часто просит жертву предварительно подтвердить личность.
При помощи этого вида атак можно завладеть любой важной и ценной информацией, включая идентификационные номера, страховые коды, адреса, номера телефонов и даже банковские счета.
ФИШИНГ
Фишинг является одним из самых известных видов психологических атак. Преступник атакует жертву через сообщения электронной почты или фейковые интернет-сайты. Фишинговые схемы в большинстве случаев организуются от имени известных или знакомых жертве организаций.
Предположим, вы получили электронное письмо от известной вам компании, поэтому вам не приходит в голову проверить электронный адрес отправителя. Вы просто открываете письмо, читаете о том, что политика конфиденциальности компании изменилась, и вам необходимо пройти по предоставленной в сообщении ссылке и изменить свой пароль. Вы все делаете так, как сказано в письме и… поздравляем вас! Вы попались. Преступники продумали каждый ваш шаг, именно поэтому им удается заставлять людей делать то, что они хотят.
ЛОЖНЫЙ АНТИВИРУС
Ложный антивирус представляет собой вид приложения, установив которое, пользователь получает сообщения о «заражении» компьютера или мобильного устройства. Жертва думает, что компьютер подвергся атаке или инфицирован вирусом, а программа предлагает загрузить ПО, которое должно удалить этот вирус. Естественно, загруженное ПО проблемы не решает, а еще больше разрушает компьютер.
Распространенным примером фиктивного антивируса являются всплывающие окна, содержащие надписи типа «Ваш компьютер заражен, чтобы удалить вирус, пройдите по ссылке». Даже если вы не будете загружать предлагаемый файл, вас перенаправят на инфицированный сайт, который автоматически загрузит вредоносный код в вашу систему. Фиктивный вирус также распространяется через сообщения электронной почты, извещающих о фейковых угрозах и вынуждающих покупать бесполезные сервисы.
КАК ЗАЩИТИТЬСЯ ОТ АТАК
Существует множество способов, которые не позволят вам стать жертвой атак социальной инженерии. Прежде всего, в любой ситуации необходимо сохранять присутствие духа и хладнокровие, а также помнить, что:
- Запрашивать конфиденциальную информацию по электронной почте незаконно. Если вы получили такое письмо, прежде чем отвечать, проверьте адрес. Если отправитель вам неизвестен, немедленно удалите сообщение.
- Необходимо повысить уровень настройки фильтров антиспама. Возможность настройки фильтров предоставляют все провайдеры электронной почты.
- Защита всех операционных устройств – всегда плюс. Не стоит забывать об антивирусных программах для любых платформ, будь то Android, Windows, Mac или Linux. Установка таких программ также помогает защититься от вирусов.
- Операционную систему рекомендуется обновлять. Практически все ОС время от времени выпускают обновления, устраняющие уязвимости зашиты.
