Стережіться соціальної інженерії

Перед вами сьомий і останній випуск нашої серії про кібератаки. Ми вже розглянули методи, до яких частіше за все вдаються злочинці з метою введення в оману користувачів інформаційних систем на роботі і вдома.

Нам залишилось поговорити про соціальну інженерію - метод, за допомогою якого зловмисники намагаються завоювати нашу довіру і змусити вас порушити вимоги процедур безпеки.

Більшість атак починаються з соціальної інженерії, коли злочинці намагаються зробити свою промову або електронне повідомлення достатньо переконливим, щоб обдурити жертв і змусити їх відкрити необхідну інформацію.

Ці методи не нові. Вони вперше згадуються у документах від 1789 року, коли Ежен Франсуа Відок, керівник служби безпеки тогочасного Парижа, описав цей вид шахрайства, назвавши його «Листами з Єрусалима».

Типова атака з використанням методів соціальної інженерії складається з наступних етапів:

• Перший етап покликаний приспати пильність жертви. Зловмисник може видати себе за особу, вищу за посадою, за співробітника компанії, за члена родини, друга, постачальника або клієнта. Зазвичай на цьому етапі зловмисники не застосовують жодних методів і спочатку ні про що не просять.
• На другому етапі з людиною говорять більш стурбованим тоном, щоб вивести її з рівноваги. Робиться посилання на перший етап, щоб забезпечити відповідь, спровокувати швидку реакцію та створити відчуття логічного зв’язку («Точно, я отримав листа з цього приводу минулого тижня»).
• На третьому етапі відбувається диверсія/робиться висновок для відвернення уваги жертви та розвіяння підозр, щоб шахрайство викрили якомога пізніше, і щоб жертва не почала бити на сполох. Зловмисникам необхідно виграти лише кілька годин. Вони можуть надіслати лист з подякою, в якому говориться, що все йде за планом, або просто повідомлення, яке містить посилання для переходу користувача на справжній сайт організації, за представника якої видавали себе шахраї.

Соціальна інженерія може використовувати будь-які канали зв’язку, від паперових листів до електронної пошти, від телефону до миттєвих повідомлень. Останні інформаційні кампанії почали приносити плоди, і все менше людей потрапляє на гачок більш очевидних спроб видурити гроші, професійні чи особисті дані.

Тим не менш, зловмисники теж пристосовуються, і їхні методи поступово стають все витонченішими та переконливішими. Потрібно зберігати пильність у наступних ситуаціях:

• Телефонний дзвінок від «служби підтримки ІТ» для оптимізації вашого комп’ютера, діагностики несправностей, видалення вірусу, перевірки ліцензії тощо.
• Телефонний дзвінок від «вашого банку» для обговорення ситуації з вашими банківськими рахунками.
• Телефонний дзвінок від «постачальника», який інформує вас про зміну банківських реквізитів для оплати рахунків. Надаються нові реквізити рахунку зловмисника, часто за кордоном. За кілька днів ви отримуєте підроблений рахунок для оплати, який містить посилання на попередній лист, щоб приспати пильність бухгалтера.
• Телефонний дзвінок від «колеги», який просить вас дати йому пароль для вирішення термінового питання.

Загалом, всі ці техніки спрямовані на те, щоб приспати пильність жертв і переконати їх порушити вимоги процедур безпеки. Наступні випадки мають викликати підозру:

• З вами зв’язалася особа, з якою ви зазвичай не контактуєте.
• Особа, з якою ви зазвичай контактуєте, обрала незвичайний канал зв’язку, особливо якщо ви отримуєте електронне повідомлення від зовнішньої системи.
• Вам кажуть, що ситуація термінова або ставки дуже великі.

Не вагайтеся:

• Зв’язатися з компанією, від якої ви начебто отримали вимогу, використовуючи звичайні канали зв’язку, і попросити когось, кого ви знаєте, підтвердити справжність початкового запиту.
• Попросити свого керівника продивитися будь-який незвичний запит. Якщо такої можливості немає, проконсультуйтесь з колегою.

І нарешті, завжди дотримуйтесь затверджених процедур безпеки і контролю.