Sociālā inženierija: kā krāpnieki manipulē ar cilvēkiem
Īsumā: Sociālā inženierija ir manipulācija ar cilvēkiem, lai panāktu, ka viņi veic darbību vai atklāj informāciju. Tas ir vispārīgs nosaukums uzbrukumiem, kuru mērķis ir cilvēks: pikšķerēšanai, vishing, smishing, vadītāja krāpšanai. Krāpnieki izmanto autoritāti, steigu, bailes, uzticēšanos, savstarpīgumu un ziņkāri. Ja atpazīstat pašu manipulācijas shēmu, varat pasargāties no jebkura tās veida.
Sociālā inženierija ir manipulācija ar cilvēkiem, lai panāktu, ka viņi veic darbību vai atklāj informāciju. Tas ir vispārīgs nosaukums visiem uzbrukumiem, kuru mērķis ir cilvēks, nevis tehnoloģijas: pikšķerēšanai, vishing, vadītāja krāpšanai un citiem. Saprast pašas taktikas ir noderīgi, jo tad jūs atpazīstat nevis konkrētu e-pastu, bet pašu manipulācijas shēmu, lai kā tā izskatītos.
Sešas pamata ietekmēšanas taktikas
- Autoritāte
- Uzdošanās par vadītāju, banku vai iestādi, lai mēs nejautātu un nepārbaudītu.
- Steiga
- „Vēl šodien”, „pēdējais brīdinājums”: lai nebūtu laika padomāt.
- Bailes
- Draudi ar sodu, konta bloķēšanu vai nepatikšanām darbā.
- Uzticēšanās un simpātijas
- Uzdošanās par paziņu, kolēģi vai kādu, kurš lūdz palīdzību.
- Savstarpīgums
- Vispirms „palīdzība” vai neliela dāvana, lai rastos parāda sajūta.
- Ziņkāre un alkatība
- Balvas, „konfidenciāla” informācija, negaidītas prēmijas.
Kā uzbrukums izskatās praksē
Nopietns sociālās inženierijas uzbrukums bieži apvieno vairākus kanālus. Piemēram, uzbrucējs uzzina uzņēmuma struktūru no sociālajiem tīkliem, tad nosūta e-pastu it kā no vadītāja un drīz pēc tam piezvana, lai to „apstiprinātu”. Katrs solis atsevišķi izskatās pārliecinošs, bet kopā tie rada spiedienu, kam bez sagatavošanās ir grūti pretoties.
Kā atpazīt manipulāciju
- Pajautājiet sev: kāpēc jārīkojas tieši tagad un bez ierastajām pārbaudēm?
- Uzmanieties, ja lūgums apiet parastās procedūras („tikai šo vienu reizi”, „nevienam nestāstiet”).
- Ja jūtat spēcīgas emocijas (bailes, steigu, ziņkāri), tas ir signāls apstāties.
- Pārbaudiet lūgumu citā kanālā, īpaši ja runa ir par naudu vai piekļuvi.
Vispārīgs noteikums: jo spēcīgāku emociju ziņa izraisa, jo vairāk vērts apstāties. Manipulācija balstās uz to, ka jūs rīkojaties, pirms padomājat.
Kā aizsargāt komandu
Antivīruss nepasargā no sociālās inženierijas; pasargā komanda, kas to saprot, un skaidras procedūras, kuras ievēro pat spiediena apstākļos. Galvenais ir izveidot kultūru, kurā jautāt un pārjautāt ir normāli un apsveicami, nevis traucējoši. Regulāras simulācijas, kas atdarina reālas taktikas, trenē tieši šo refleksu: Opsinel tās sūta un uzreiz pēc kļūdas parāda īsu nodarbību.
Izmēģiniet paši
Vai jūs atpazītu pikšķerēšanas e-pastu?
10 reālistiski e-pasti un skaidrojums pēc katras atbildes. Aptuveni 5 minūtes, bez reģistrācijas.
Veikt pikšķerēšanas testuVai krāpnieki var sūtīt e-pastus jūsu vārdā?
Bezmaksas SPF, DKIM un DMARC pārbaude jūsu domēnam. Ievadītie domēni netiek saglabāti.
Biežāk uzdotie jautājumi
Ar ko sociālā inženierija atšķiras no pikšķerēšanas?
Sociālā inženierija ir plašs jēdziens manipulācijai ar cilvēkiem, bet pikšķerēšana ir viens no tās veidiem, kurā izmanto e-pastu. Pie sociālās inženierijas pieder arī vishing, smishing un vadītāja krāpšana.
Kāpēc uzķeras pat gudri cilvēki?
Tāpēc, ka uzbrukumi vēršas pret emocijām un ieradumiem (izmantojot steigu, autoritāti, bailes), nevis pret loģiku. Laika spiedienā kritiskā domāšana vājinās, tāpēc palīdz iepriekš izveidots ieradums apstāties.
Kā komanda var sevi aizsargāt?
Apvienojot skaidras procedūras (apstiprinājums citā kanālā) ar regulārām apmācībām un simulācijām, lai prasme atpazīt manipulāciju tiktu pastāvīgi uzturēta.
Kādi ir sociālās inženierijas piemēri?
Pikšķerēšanas e-pasts it kā no bankas, zvans no „IT atbalsta” (vishing), īsziņa par sūtījumu (smishing), steidzams vadītāja lūgums pārskaitīt naudu (vadītāja krāpšana) un viltots QR kods (quishing).
Vai sociālā inženierija vienmēr notiek tiešsaistē?
Nē. Tā var notikt arī pa tālruni vai klātienē, piemēram, uzdodoties par kurjeru vai darbuzņēmēju, lai iekļūtu telpās. Kopīgais ir tas, ka tiek manipulēts ar cilvēku.
Avoti un papildu informācija
Drošības iestāžu un standartizācijas organizāciju publiskie ieteikumi. Lielākā daļa no tiem ir angļu valodā.