Что такое Социальная инженерия? 11 примеров, на которые стоит обратить внимание
Содержание
Что такое социальная инженерия?
Социальная инженерия — это акт манипулирования людьми с целью извлечения их конфиденциальной информации. Информация, которую ищут преступники, может быть разной. Обычно люди преследуются из-за их банковских реквизитов или паролей их учетных записей. Преступники также пытаются получить доступ к компьютеру жертвы, чтобы установить вредоносное программное обеспечение. Затем это программное обеспечение помогает им извлекать любую информацию, которая может им понадобиться.
Преступники используют тактику социальной инженерии, потому что часто легко эксплуатировать человека, завоевав его доверие и убедив его раскрыть свои личные данные. Это более удобный способ, чем прямой взлом чьего-либо компьютера без его ведома.
Примеры социальной инженерии
Вы сможете лучше защитить себя, узнав о различных способах социальной инженерии.
1. Предлог
Предлог используется, когда преступник хочет получить доступ к конфиденциальной информации от жертвы для выполнения критической задачи. Злоумышленник пытается получить информацию с помощью нескольких тщательно продуманных лжи.
Преступник начинает с установления доверительных отношений с жертвой. Это может быть сделано путем выдачи себя за своих друзей, коллег, сотрудников банка, полиции или других органов власти, которые могут запросить такую конфиденциальную информацию. Злоумышленник задает им ряд вопросов под предлогом подтверждения их личности и собирает при этом личные данные.
Этот метод используется для извлечения всевозможных личных и официальных данных о человеке. Такая информация может включать личные адреса, номера социального страхования, номера телефонов, телефонные записи, банковские реквизиты, даты отпуска сотрудников, информацию о безопасности, связанную с бизнесом, и так далее.
2. Диверсионное воровство
Это тип мошенничества, который обычно нацелен на курьерские и транспортные компании. Преступник пытается обмануть компанию-мишень, заставив ее доставить свою посылку в другое место доставки, чем первоначально предполагалось. Этот метод используется для кражи ценных товаров, которые доставляются по почте.
Это мошенничество может осуществляться как в автономном режиме, так и в Интернете. Можно подойти к персоналу, несущему посылки, и убедить его оставить посылку в другом месте. Злоумышленники также могут получить доступ к онлайн-системе доставки. Затем они могут перехватить график доставки и внести в него изменения.
3. Фишинг
Фишинг — одна из самых популярных форм социальной инженерии. Мошенничество с фишингом связано с электронной почтой и текстовыми сообщениями, которые могут вызвать у жертв чувство любопытства, страха или безотлагательности. Текст или электронное письмо побуждают их переходить по ссылкам, которые ведут на вредоносные веб-сайты или вложения, устанавливающие вредоносное ПО на их устройства.
Например, пользователи онлайн-службы могут получить электронное письмо, в котором утверждается, что произошло изменение политики, требующее немедленной смены паролей. Письмо будет содержать ссылку на нелегальный веб-сайт, который идентичен исходному веб-сайту. Затем пользователь вводит учетные данные своей учетной записи на этом веб-сайте, считая его законным. После предоставления своих данных информация будет доступна для преступника.
4. Копье Фишинг
Это тип фишинга, который больше нацелен на конкретного человека или организацию. Злоумышленник настраивает свои сообщения на основе должностей, характеристик и контрактов, связанных с жертвой, чтобы они могли казаться более искренними. Целевой фишинг требует больше усилий со стороны преступника и может занять гораздо больше времени, чем обычный фишинг. Однако их труднее идентифицировать, и они имеют более высокий уровень успеха.
Например, злоумышленник, пытающийся провести целевой фишинг в организации, отправит электронное письмо сотруднику, выдающему себя за ИТ-консультанта фирмы. Электронное письмо будет оформлено точно так же, как это делает консультант. Это будет казаться достаточно аутентичным, чтобы обмануть получателя. Электронное письмо предложит сотруднику изменить свой пароль, предоставив им ссылку на вредоносную веб-страницу, которая запишет их информацию и отправит ее злоумышленнику.
5. Водоотведение
Мошенничество с дырками в воде использует в своих интересах надежные веб-сайты, которые регулярно посещает большое количество людей. Преступник будет собирать информацию о целевой группе людей, чтобы определить, какие веб-сайты они часто посещают. Затем эти веб-сайты будут проверены на наличие уязвимостей. Со временем один или несколько членов этой группы заразятся. Затем злоумышленник сможет получить доступ к защищенной системе этих зараженных пользователей.
Название происходит от аналогии с тем, как животные пьют воду, собираясь в надежных местах, когда испытывают жажду. Они не думают дважды о принятии мер предосторожности. Хищники знают об этом, поэтому они ждут поблизости, готовые напасть на них, когда их бдительность ослабнет. Проникновение в воду в цифровом ландшафте может быть использовано для проведения самых разрушительных атак на группу уязвимых пользователей одновременно.
6. Приманка
Как видно из названия, травля предполагает использование ложного обещания, чтобы вызвать у жертвы любопытство или жадность. Жертва заманивается в цифровую ловушку, которая поможет преступнику украсть ее личные данные или установить вредоносное ПО в свои системы.
Приманка может происходить как онлайн, так и офлайн. В качестве автономного примера преступник может оставить приманку в виде флэш-накопителя, зараженного вредоносным ПО, на видном месте. Это может быть лифт, ванная комната, парковка и т. д. целевой компании. Флешка будет иметь аутентичный вид, что заставит жертву взять ее и вставить в свой рабочий или домашний компьютер. Затем флэш-накопитель автоматически экспортирует вредоносное ПО в систему.
Интернет-формы травли могут быть в виде привлекательных и заманчивых рекламных объявлений, которые побуждают жертв нажимать на нее. Ссылка может загружать вредоносные программы, которые затем заражают их компьютер вредоносными программами.
7. Услуга за услугу
Атака quid pro quo означает атаку «что-то за что-то». Это разновидность техники наживки. Вместо того, чтобы заманивать жертв обещанием выгоды, атака «услуга за услугу» обещает услугу, если было выполнено конкретное действие. Злоумышленник предлагает ложную выгоду жертве в обмен на доступ или информацию.
Наиболее распространенная форма этой атаки — когда преступник выдает себя за ИТ-персонала компании. Затем преступник связывается с сотрудниками компании и предлагает им новое программное обеспечение или обновление системы. Затем сотруднику будет предложено отключить антивирусное программное обеспечение или установить вредоносное программное обеспечение, если он хочет выполнить обновление.
8. Задняя дверь
Атака в хвосте также называется контрейлерной атакой. Это включает в себя преступника, пытающегося проникнуть в ограниченное место, которое не имеет надлежащих мер аутентификации. Преступник может получить доступ, войдя за другим лицом, которому разрешено входить в зону.
Например, преступник может выдать себя за водителя, у которого руки заняты пакетами. Он ждет, пока уполномоченный сотрудник войдет в дверь. Затем курьер-самозванец просит сотрудника придержать для него дверь, тем самым позволяя ему войти без какого-либо разрешения.
9. Медовая ловушка
Этот трюк заключается в том, что преступник притворяется привлекательным человеком в Интернете. Человек дружит со своими целями и имитирует онлайн-отношения с ними. Преступник затем использует в своих интересах эти отношения, чтобы извлечь личные данные своих жертв, одолжить у них деньги или заставить их установить вредоносное ПО на свои компьютеры.
Название «медовая ловушка» происходит от старой шпионской тактики, когда женщины использовались для нацеливания на мужчин.
10. Разбойник
Мошенническое программное обеспечение может проявляться в виде мошеннического антивирусного ПО, мошеннического сканера, мошеннического пугающего ПО, антишпионского ПО и т. д. Этот тип компьютерного вредоносного ПО вводит пользователей в заблуждение, заставляя платить за симулированное или поддельное программное обеспечение, которое обещает удалить вредоносное ПО. Мошенническое программное обеспечение для обеспечения безопасности в последние годы вызывает все большую озабоченность. Ничего не подозревающий пользователь может легко стать жертвой такого программного обеспечения, которое доступно в большом количестве.
11. Вредоносное
Цель атаки вредоносных программ — заставить жертву установить вредоносное ПО в свои системы. Злоумышленник манипулирует человеческими эмоциями, чтобы жертва допустила вредоносное ПО на свой компьютер. Этот метод включает использование мгновенных сообщений, текстовых сообщений, социальных сетей, электронной почты и т. д. для отправки фишинговых сообщений. Эти сообщения обманом заставляют жертву щелкнуть ссылку, которая откроет веб-сайт, содержащий вредоносное ПО.
Тактика запугивания часто используется для сообщений. Они могут сказать, что с вашей учетной записью что-то не так и что вы должны немедленно нажать на предоставленную ссылку, чтобы войти в свою учетную запись. Затем ссылка заставит вас загрузить файл, через который вредоносное ПО будет установлено на ваш компьютер.
Будьте в курсе, оставайтесь в безопасности
Информирование себя — первый шаг к защите себя от атаки социальной инженерии. Основной совет — игнорировать любые сообщения, запрашивающие ваш пароль или финансовую информацию. Вы можете использовать спам-фильтры, которые поставляются с вашими почтовыми службами, чтобы помечать такие электронные письма. Приобретение надежного антивирусного программного обеспечения также поможет дополнительно защитить вашу систему.
