Kaj je socialni inženiring in kako se ga lahko izognete?

Zlonamerna programska oprema ni edina spletna grožnja, ki jo lahko skrbi. Socialni inženiring je velika grožnja in lahko vas prizadene na katerem koli operacijskem sistemu. Pravzaprav se lahko socialni inženiring pojavlja tudi po telefonu in v situacijah, ki se nanašajo na osebo.

Pomembno je, da se zavedate socialnega inženiringa in da ste na opazovanju. Varnostni programi vas ne bodo zaščitili pred večino groženj socialnega inženiringa, zato se morate zaščititi.

Razlaga socialnega inženiringa

Tradicionalni računalniški napadi so pogosto odvisni od iskanja ranljivosti v računalniški kodi. Na primer, če uporabljate zastarelo različico programa Adobe Flash - ali, ne daj, Java, ki je bila v letu 2013 vzrok za 91% napadov po Cisco - lahko obiščete zlonamerno spletno stran in to spletno mesto. izkoristili ranljivost v programski opremi za dostop do računalnika. Napadalec manipulira napake v programski opremi, da pridobi dostop in zbere zasebne informacije, morda s keyloggerjem, ki ga namestijo.

Triki socialnega inženiringa so drugačni, ker namesto tega vključujejo psihološko manipulacijo. Z drugimi besedami, izkoriščajo ljudi, ne pa programske opreme.

Verjetno ste že slišali za phishing, ki je oblika socialnega inženiringa. Morda boste prejeli e-poštno sporočilo, ki naj bi bilo iz vaše banke, podjetja za izdajanje kreditnih kartic ali drugega zaupanja vrednega podjetja. Lahko vas usmerijo na lažno spletno stran, ki je prikrita, da izgleda kot resnična ali vas prosi, da prenesete in namestite zlonamerni program. Vendar takim socialno-inženirskim trikom ni treba vključevati lažnih spletnih mest ali zlonamerne programske opreme. E-poštno sporočilo o lažnem predstavljanju lahko preprosto zahteva, da pošljete e-poštni odgovor z zasebnimi podatki. Namesto da bi poskusili izkoristiti napako v programski opremi, poskušajo izkoristiti običajne človeške interakcije. Podvodno lažno predstavljanje je lahko še bolj nevarno, saj gre za obliko lažnega predstavljanja, ki je namenjena določenim posameznikom.

Primeri socialnega inženirstva

Priljubljen trik v klepetalnicah in spletnih igrah je bil, da registrirate račun z imenom, kot je »Administrator«, in ljudem pošljete strašna sporočila, kot je »OPOZORILO: Zaznali smo, da je nekdo vdrl v vaš račun in se odzval z vašim geslom, da se boste lahko overili.« Če se cilj odzove z geslom, je padel na trik in napadalec ima zdaj svoje geslo za račun.

Če ima kdo osebne podatke o vas, jih lahko uporabijo za dostop do vaših računov. Podatki, kot so datum rojstva, številka socialnega zavarovanja in številka kreditne kartice, se na primer pogosto uporabljajo za vašo identifikacijo. Če ima nekdo te informacije, se lahko obrnejo na podjetje in se pretvarjajo, da ste vi. Ta trik je slavno uporabil napadalec za dostop do Yahoo! Poštni račun v letu 2008, predložitev dovolj osebnih podatkov za dostop do računa prek obrazca za obnovitev gesla Yahoo! Isto metodo lahko uporabite tudi za telefonsko klicanje, če imate osebne podatke, ki jih podjetje potrebuje za avtentikacijo. Napadalec z nekaj informacijami o tarči se lahko pretvarja, da jih je in dobi dostop do več stvari.

Socialni inženiring se lahko uporablja tudi osebno. Napadalec bi lahko vstopil v podjetje, obvestil sekretarko, da je oseba za popravilo, nov uslužbenec ali požarni inšpektor v verodostojnem in prepričljivem tonu, nato pa pohajkoval po dvoranah in potencialno ukradel zaupne podatke ali posadil napake, da bi opravil korporativno vohunjenje. Ta trik je odvisen od tega, ali se napadalec predstavlja kot nekdo, ki ga ne. Če tajnik, vratar ali kdorkoli drug ne prevzame odgovornosti, ne postavlja preveč vprašanj ali preveč pozorno išče, bo trik uspešen.

Socialni inženirski napadi segajo v paleto ponarejenih spletnih strani, goljufivih e-poštnih sporočil in nezaslišanih klepetalnic vse do lažnega predstavljanja po telefonu ali osebno. Ti napadi prihajajo v najrazličnejših oblikah, vsi pa imajo eno skupno stvar - odvisni so od psiholoških prevar. Socialni inženiring se imenuje umetnost psihološke manipulacije. To je eden od glavnih načinov »hekerji« dejansko »kramp« računov na spletu.

Kako se izogniti socialnemu inženirstvu

Poznavanje socialnega inženiringa vam lahko pomaga pri boju. Bodite sumljivi do neželene e-pošte, sporočil za klepet in telefonskih klicev, ki zahtevajo zasebne podatke. Nikoli ne razkrivajte finančnih informacij ali pomembnih osebnih podatkov prek e-pošte. Ne prenesite potencialno nevarnih e-poštnih priponk in jih zaženite, tudi če e-poštno sporočilo trdi, da so pomembne.

Prav tako ne smete slediti povezavam v e-pošti na občutljivih spletnih mestih. Na primer, ne kliknite povezave v e-poštnem sporočilu, ki se zdi, da je iz vaše banke, in se prijavite. To vas lahko pripelje do lažnega spletnega mesta z lažnim predstavljanjem, ki je prikrito videti kot spletno mesto vaše banke, vendar s subtilno različnim URL-jem. Namesto tega obiščite spletno mesto.

Če prejmete sumljivo zahtevo - na primer, telefonski klic iz vaše banke zahteva osebne podatke - se obrnite neposredno na vir zahteve in prosite za potrditev. V tem primeru bi poklicali svojo banko in vprašali, kaj želijo, namesto da bi informacije razkrili nekomu, ki trdi, da je vaša banka.

E-poštni programi, spletni brskalniki in varnostni apartmaji imajo običajno filtre za lažni prikaz, ki vas bodo opozorili, ko obiščete znano spletno mesto z lažnim predstavljanjem. Vse, kar lahko storijo, je, da vas opozorijo, ko obiščete znano spletno mesto z lažnim predstavljanjem ali prejmete znano phishing e-pošto, in ne vedo za vsa spletna mesta z lažnim predstavljanjem ali e-pošto. Večinoma je vaša naloga, da se zaščitite - varnostni programi lahko pomagajo le malo.

To je dobra ideja, da uveljavite zdrav sum, ko se ukvarjate z zahtevki za zasebne podatke in karkoli drugega, kar bi lahko bil socialno-inženirski napad. Občutek in previdnost vas bosta zaščitili, tako na spletu kot zunaj njega.

Zasluge za sliko: Jeff Turnet na Flickru