Ne visose šiuolaikinėse kibernetinėse atakose naudojama kenkimo programinė įranga arba programavimas. Kartais pakanka manipuliacijos tokiais žmogiškais jausmais kaip baimė, godumas, pasitikėjimas ar skuba. Sužinokite, kaip kibernetiniai nusikaltėliai naudoja socialinės inžinerijos metodus savo kėslams įgyvendinti.
Socialinė inžinerija - tai įvairių tipų atakos, kurių metu pasinaudojant žmogaus psichologija išgaunama jautri informacija. Dažniausiai sukčiai manipuliuoja tokiais aukos jausmais kaip baimė, pasitikėjimas, godumas, stresas, skuba. Stiprūs jausmai neleidžia blaiviai mąstyti ir žmonės tampa pažeidžiami: jie pasiruošę savo noru atskleisti informaciją, kurios įprastomis aplinkybėmis neatskleistų.
Kibernetiniai nusikaltėliai, pasitelkdami įvairius socialinės inžinerijos metodus, siekia išgauti asmeninę informaciją: prisijungimo duomenis, slaptažodžius, banko sąskaitos numerius, socialinio draudimo kodus ir kt. Šios informacijos jiems reikia, kad galėtų įsilaužti į jūsų paskyras, pavogti pinigus ar pasisavinti tapatybę. Šie duomenys taip pat gali būti naudojami būsimoms atakoms.
Įsilaužėliai mėgsta socialinės inžinerijos atakas, nes jas lengviau įvykdyti nei, pavyzdžiui, užkrėsti naudotojo įrenginį kenkimo programine įranga. Iš tiesų, tam tikroms socialinės inžinerijos atakoms surengti net nereikia mokėti programuoti!
Duomenų viliojimas (phishing)
Duomenų viliojimas (phishing) - tai, ko gero, dažniausiai naudojamas socialinės inžinerijos metodas. Duomenis vilioja sukčiai bando pasinaudodami įvairiomis platformomis - el. paštu, pokalbių programėlėmis, internetinėmis reklamomis arba svetainėmis. Tačiau dažniausiai įsilaužėlis atsiunčia apgaulingą el. laišką su kenkimo programine įranga arba kenkėjiška nuoroda, skirta naudotojo prisijungimo duomenims išvilioti. Šie el. laiškai dažnai sukurti taip, kad žadintų godumą, baimę ir pasitikėjimą.
Taip pat skaitykite: Privalumai ir trūkumai: socialinė medija
Štai kokie galėtų būti tokio pobūdžio socialinės inžinerijos pavyzdžiai
- Gaunate el. laišką iš loterijos bendrovės, pranešantį, kad laimėjote milijoną ir raginantį spustelėti nuorodą, kad gautumėte laimėjimą
- Į jus kreipiasi bankas dėl paskolos, kurios niekada neėmėte, ir prašo patvirtinti mokėjimo informaciją
- Arba siuntų pristatymo tarnyba atsiunčia el. laišką su sąskaita faktūra ir ragina skubiai ją apmokėti
Tikslinis fišingas ir atakas su pretekstu
Tikslinis sukčiavimas yra panašus į duomenų viliojimą, bet reikalauja daugiau pastangų ir dažnai pasiseka. Nusikaltėlis pasirenka konkretų taikinį ir surenka žinias apie auką, sukuria nuoseklią strategiją duomenims išgauti.
Atakos su pretekstu - tai taktika, kai sukčiai naudoja įtikinamą istoriją arba pretekstą, norėdami užmegzti draugiškus santykius su auka ir priversti ją patikėti. Jos gali būti vykdomos tiek virtualioje, tiek fizinėje erdvėje. Pavyzdžiai: įsilaužėlis apsimes auditorių ir įtikina įleisti į įmonės serverinę, arba apsimetęs banko darbuotoju prašo patvirtinti mokėjimo informaciją.
Masinimo, Quid Pro Quo ir gąsdinančios atakos
Masinimo atakos siekia įvilioti naudotojus įkeliant įrenginį ar tinklą per viliojantį objektą ar pasiūlymą. Anksčiau tai buvo „pamestas“ USB, šiandien dažniau - per P2P platformas ar pranešimus apie didelius failus ar TV serijų epizodus.
Quid Pro Quo atakos metu sukčiai siūlo kažką mainais, dažnai trumpai laikai suteikdami prieigą prie jūsų prisijungimų arba nuotolinės pagalbos. Tačiau viskas, ko reikia, - nuotolinė prieiga prie įrenginio.
Gąsdinančios atakos - tai įtikinamos reklamos ar iššokančios užuominos, teigiamos, kad jūsų įrenginys yra užkrėstas, raginančios įsidiegti įtartiną programinę įrangą. Dažnai tai klaidinami įspėjimai, o ne tikras antivirusinis pranešimas.
Taip pat skaitykite: Socialinės atskirties iniciatyvos Lietuvoje
Pasitikėjimu grįstos atakos
Pasitikėjimu grįstos atakos primena atakas su pretekstu, tačiau tikslas - įsibrauti į apsaugotas patalpas be nepakankamai tyrimų. Sukčiai gali apsimesti kurjeriu ar įeiti į pastatą po darbuotojo leidimo.
Sustiprinkite saugumą internete
Saugiai laikykite ir tvarkykite skaitmenines vertybes. Atpažinti socialinės inžinerijos atakas gali atrodyti sudėtinga, tačiau yra keli paprasti veiksmai:
- Naudokite gerą antivirusinę programą ir reguliariai atnaujinkite
- Visada būkite budrūs - jei pasiūlymas skamba nerealiai, greičiausiai toks ir yra
- Neskubėkite - patikrinkite faktus prieš imdamiesi veiksmų
- Neatidarykite įtartinų el. laiškų, nepažymėkite įtartinų nuorodų ar priedų
- Nuskenuokite privatumo ir saugumo taisykles įdarbinusioje įmonėje
- Nebenkite kenkėjiškų nuotraukų ar papildomų prisijungimų
- Nustatykite pažangius brukalo filtrus ir naudokite kelių veiksnių autentifikaciją
Nors fišingo atakos yra dažnos, modernios organizacijos diegia apsaugos priemones ir mokymus, kad darbuotojai atpažintų pavojingus signalus. Dažnai naudojamas papildomas atskaitos kanalas - patikrinimas telefonu arba gyvai, kai el. paštu yra siunčiami įtartini prašymai.
Jei jūsų organizacijoje vyksta tikslinės atakos, gali būti naudojami ir kombinuoti metodai: el. laiškai, telefonai ir asmeninis kontaktas. Todėl svarbu įvertinti, kokių įgūdžių reikia darbuotojams, ir įgyvendinti praktinį mokymų ciklą, įskaitant testus, projektus bei aiškias informacijos pranešimų nagrinėjimo taisykles.
Socialinės inžinerijos kontekste - realūs pavyzdžiai
Pastaraisiais metais, remiantis ataskaitomis, socialinė inžinerija tapo viena iš dažniausiai pasitaikančių kibernetinio įsilaužimo taktikų. Pavyzdžiai iš didelių įmonių rodo, kad net dideliais ištekliais aprūpotos organizacijos negali visiškai apsisaugoti nuo šių grėsmių.
Taip pat skaitykite: Dalyvaukite socialinėje akcijoje
Uber duomenų saugumo pažeidimas parodė, kaip vieno pažeidėjo patekimas į IT sistemas gali suteikti prieigą prie VPN, intraneto ir kitų svarbių įrankių. Twilio patirtis - dar vienas įrodymas, kad socialinė inžinerija gali įsiveržti į įmonės vidaus sistemas per kelių darbuotojų prisijungimus.
Hackerių atskaitos mechanizmai - socialinė žiniasklaida, skelbimai, el. laiškai - dažnai tampa įžangomis į didesnes atakas. Saugi įmonė investuoja į mokymus, filtrus, stebėseną ir naujausias technologines priemones, kurios padeda atskirti netikrą informaciją nuo tikrosios.
Nuo žmogiškojo faktoriaus iki mūsų ateities
Remiantis kibernetinio saugumo tyrimais, socialinė inžinerija išlieka vienu iš dažniausiai pasitaikančių įsilaužimo taktikų. Tai reiškia, kad į ateitį orientuota strategija turi apimti ne tik technologinius, bet ir plačius žmogiškuosius komponentus. Įmonės turi mokyti darbuotojus atpažinti galimos atakos požymius ir nustatyti aiškias informacijos prašymų nagrinėjimo procedūras.
Be to, šiuolaikiniai sprendimai, tokie kaip XDR ir MDR, padeda užtikrinti didesnį matomumą ir greitesnį atsakymą į pažangias grėsmes, įskaitant socialinės inžinerijos atakas. Tačiau pagrindinis saugumo akcentas turi būti žmonės ir jų gebėjimas kritiškai įvertinti gaunamą informaciją.
Gyvenimas nuolat keičiasi, keičiamės ir mes. Beeidami per gyvenimą mes vis gauname užduotis, ieškome išeities - durų ir joms tinkančio rakto. Taip vyksta kelionė per gyvenimą kuriant ir atskleidžiant save. Taip 2018 m. gimė „Gyvenimo Raktas“, kuris 2023 m. Konsultacijos klientams aktualia tema padeda pažvelgti į save ir situaciją kitomis akimis bei rasti išmintingus tvarius sprendimus.