Что такое социальная инженерия?

Обновлено 1 ноября 2023 г.

Социальная инженерия — это метод психологической манипуляции, используемый злоумышленниками, чтобы заставить других делать что-то или раскрывать личную информацию. Социальная инженерия может происходить в Интернете или при личном присутствии. От 70% до 90% утечек данных связаны с социальной инженерией, из-за чего она является одной из крупнейших угроз кибербезопасности, с которыми сталкиваются как организации, так и частные лица.

Продолжайте читать, чтобы узнать, как происходят атаки социальной инженерии, различные типы атак социальной инженерии и как защититься от них.

Как происходят атаки социальной инженерии?

Чтобы подготовиться к атаке социальной инженерии, злоумышленники сначала изучают свою цель, чтобы узнать исходные данные, например, вероятные точки эксплуатации, такие как неэффективные методы обеспечения кибербезопасности. Затем злоумышленник будет притворяться кем-то, кем он не является, чтобы завоевать доверие жертвы и тем самым повысить вероятность раскрытия ею конфиденциальной информации или предоставления доступа к внутренним системам.

Важно понимать, что социальная инженерия может осуществляться и при личной встрече. Атаки с использованием социальной инженерии при личном присутствии часто осуществляются злоумышленниками, которые притворяются кем-то вроде сотрудника службы технической поддержки или курьера, чтобы попасть в здание, куда иначе у них нет доступа. Попав в здание, злоумышленник попытается взломать системы, чтобы украсть конфиденциальную информацию и использовать ее в злонамеренных целях.

Типы атак социальной инженерии

Вот семь типов атак социальной инженерии.

Фишинг

Фишинг является наиболее распространенным типом атаки социальной инженерии. В ходе фишинговой атаки злоумышленники склоняют жертву к добровольному раскрытию конфиденциальной информации, выдавая себя за знакомого человека или компанию, с которой жертва взаимодействует. Чаще всего фишинговые атаки осуществляются посредством электронных писем.

Эти электронные письма могут содержать вредоносные ссылки и вложения, побуждающие жертву нажать на них. Нажатие на вредоносную ссылку или вложение может мгновенно заразить устройство жертвы вредоносным ПО или перевести ее на поддельный сайт, который выглядит как настоящий. Поддельные веб-сайты предназначены для кражи конфиденциальной информации, такой как учетные данные для входа и номера кредитных карт.

Смишинг и вишинг

Смишинг, также известный как СМС-фишинг, представляет собой тип фишинговой атаки, которая происходит посредством текстовых СМС-сообщений, а не электронной почты. Эти сообщения часто содержат предложения о бесплатных товарах или предупреждения о сроках, связанных с банковской или иной конфиденциальной информацией. Основная цель смишинговой атаки заключается в том, чтобы заставить жертв перейти по вредоносной ссылке, чтобы украсть их конфиденциальную информацию.

Вишинг — это еще один тип фишинговой атаки, но происходит он с помощью телефонного звонка, а не посредством текстовых сообщений или электронных писем. Этот тип фишинговой атаки, как правило, более убедителен, поскольку обычно на другом конце находится человек. Основная цель вишинга заключается в том, чтобы заставить жертву раскрыть конфиденциальную информацию, которую злоумышленник может использовать в злонамеренных целях. Обнаружить вишинг стало сложнее, поскольку злоумышленники теперь используют искусственный интеллект (ИИ) для имитации голосов знакомых жертве людей.

Пиггибэкинг и тэйлгейтинг

Пиггибэкинг — это когда злоумышленники пытаются получить доступ к сети, системе или физическому зданию для того, чтобы скомпрометировать конфиденциальную информацию. Используя пиггибэкинг, злоумышленники могут получить доступ к сети или системе, используя незащищенный Wi-Fi. Чтобы получить доступ к физическому зданию с помощью пиггибэкинга, злоумышленники полагаются на доброту сотрудников, которые откроют им дверь или оставят ее приоткрытой.

Пиггибэкинг и тэйлгейтинг довольно похожи, за исключением того, что тэйлгейтинг — это когда злоумышленники получают доступ к физическому зданию незаметно для других людей. Злоумышленники могут проскользнуть в дверь как раз в тот момент, когда она закрывается. Поскольку никто не знает, как они попали в здание, они выглядят так, как будто имеют право находиться там.

Претекстинг

Претекстинг — это когда злоумышленник пытается убедить жертву раскрыть конфиденциальную информацию или отправить деньги, придумав убедительную историю. Злоумышленник обычно притворяется кем-то вроде друга, члена семьи, коллеги или начальника, тем самым склоняя жертву к предоставлению конфиденциальной информации. Претекстинговые атаки могут происходить с помощью телефонных звонков, текстовых сообщений, электронных писем или лично.

Директорское мошенничество

Директорское мошенничество — это когда злоумышленник притворяется генеральным директором компании, пытаясь заставить сотрудников предоставить ему конфиденциальную информацию или отправить деньги, часто в форме подарочных карт. При атаке директорского мошенничества злоумышленники, как правило, отправляют жертве несколько сообщений или электронных писем, прежде чем сделать запрос. Это помогает им выглядеть более убедительными и дает время завоевать доверие жертвы.

Поддельные антивирусы

Поддельные антивирусы — это когда злоумышленники с помощью психологических манипуляций заставляют жертву загрузить ПО, которое, по ее мнению, является антивирусной программой, но на самом деле представляет собой вредоносное ПО. Вредоносное ПО — это вредоносный тип программного обеспечения, которое используется злоумышленниками для кражи конфиденциальной информации, путем шпионажа за пользователями или отслеживания нажатий клавиш.

Этот тип атаки социальной инженерии чаще всего осуществляется путем отображения случайных всплывающих окон на устройстве жертвы, указывающих на то, что устройство заражено вирусом. В сообщении также будет указано, что для избавления от вируса жертве необходимо немедленно загрузить антивирусное программное обеспечение. Если жертва нажимает на всплывающее окно, она автоматически начнет скачивать фактический вирус или вредоносное ПО на свое устройство. После завершения загрузки вредоносное ПО может отправлять конфиденциальную информацию злоумышленнику, чтобы он мог использовать ее для кражи идентификационных данных жертвы и компрометации ее учетных записей в Интернете.

Мошеннические схемы на сайтах знакомств

Мошеннические схемы на сайтах знакомств — это когда злоумышленники притворяются потенциальным предметом любовного интереса жертвы. Злоумышленники часто используют чужую личность при осуществлении мошеннических схем на сайтах знакомств, это также называется «кэтфишинг», то есть создание фейковых аккаунтов в соцсетях. Когда жертва будет завлечена в романтическую аферу, злоумышленник обманным путем попытается вынудить ее отправить деньги или предоставить персональные данные, которые можно будет использовать для кражи личности жертвы или компрометации ее учетных записей.

Если жертва все же отправит злоумышленнику деньги, то он может продолжить требовать еще денег или вовсе прекратить общение с жертвой, получив желаемое.

Как защитить себя от социальной инженерии

Чтобы защитить себя от социальной инженерии, необходимо очищать свой цифровой след, заботиться о безопасности как в Интернете, так и при личных контактах, защищать учетные записи надежными паролями и многофакторной аутентификацией (MFA) и избегать бесконтрольного распространения личной информации.

Очищайте свой цифровой след

Ваш цифровой след состоит из следов данных, которые вы оставляете в Интернете. Существует два основных типа цифровых следов: пассивные и активные. Ваш пассивный след включает данные, которые веб-сайты собирают о вас в фоновом режиме, такие как история просмотров, история покупок и файлы cookie. Ваш активный цифровой след — это данные, которые вы сознательно публикуете в Интернете, такие как посты в социальных сетях и общедоступные сообщения.

Важно очищать свой цифровой след, потому что чем больше данных о вас в Интернете, тем легче злоумышленникам атаковать вас с помощью социальной инженерии. Вот четыре способа, позволяющие очистить ваш цифровой след.

• Удалите информацию о себе с сайтов поиска людей
• Избегайте бесконтрольного распространения информации в социальных сетях
• Сделайте свои профили в социальных сетях приватными
• Удалите и деактивируйте учетные записи, которые вы больше не используете

Заботьтесь о безопасности в Интернете и при личной встрече

Поскольку атаки социальной инженерии могут происходить при личной встрече или в Интернете, важно с осторожностью относиться к тому, кому вы предоставляете личную информацию и кого впускаете в здание. Если вы работаете в офисе своей компании, не пускайте туда никого и остерегайтесь тех, кто идет за вами следом, так как они могут легко пробраться в здание.

Защитите свои учетные записи в Интернете

Если вы все-таки стали жертвой атаки социальной инженерии, важно, чтобы у вас уже были предусмотрены меры безопасности для защиты ваших учетных записей в Интернете. Это предполагает наличие надежных паролей и включение многофакторной аутентификации на всех учетных записях, где это возможно.

Не стоит полагаться на себя при создании паролей, воспользуйтесь генератором паролей или зарегистрируйте учетную запись менеджера паролей. Менеджеры паролей помогают пользователям создавать, управлять и надежно хранить пароли, что избавляет от необходимости запоминать их самостоятельно. Помимо надежных паролей, так же важно включить многофакторную аутентификацию (MFA).

MFA — это мера безопасности, которая требует одного или нескольких уровней аутентификации, помимо имени пользователя и пароля, для успешного входа в учетную запись. Даже если злоумышленник сможет получить ваше имя пользователя и пароль с помощью атаки социальной инженерии, он не сможет скомпрометировать вашу учетную запись без дополнительного фактора аутентификации.

Избегайте бесконтрольного распространения личной информации

Как упоминалось выше, чтобы сохранить свой цифровой след в чистоте, вам необходимо избегать бесконтрольного распространения личной информации в Интернете. Важно также внимательно относиться к информации, которой вы делитесь с людьми при личной встрече. Нельзя предугадать, каковы могут быть намерения человека, поэтому лучше перестраховаться и держать свою личную информацию при себе, а также делиться ею только с теми людьми, которым вы можете доверять.

Как защитить организацию от социальной инженерии

Чтобы защитить организацию от атак социальной инженерии, отправляйте сотрудникам смоделированные фишинговые электронные письма, регулярно обучайте сотрудников лучшим методам кибербезопасности, инвестируйте в менеджер паролей для бизнеса и внедряйте принцип наименьших привилегий (PoLP).

Отправляйте смоделированные фишинговые электронные письма

Смоделированные фишинговые электронные письма — это электронные письма, которые организации отправляют своим сотрудникам для проверки их навыков обнаружения фишинговых атак. Отправка этих смоделированных фишинговых тестов является отличным способом определить, насколько хорошо сотрудники могут их обнаружить. Если сотрудник попался на один из таких фишинговых тестов, нажав на содержимое письма, то он его не прошел и ему придется пройти дополнительное обучение, чтобы научиться распознавать фишинговые тесты.

Для рассылки таких фишинговых тестов существует множество фишинговых инструментов, включая бесплатные с открытым исходным кодом, такие как Gophish. Есть также много коммерческих продуктов, таких как KnowBe4 и Infosec IQ.

Обучайте своих сотрудников кибербезопасности

Фишинговые тесты не должны быть единственным средством защиты организации, необходимо также регулярно обучать сотрудников лучшим методам кибербезопасности, например, указанным ниже.

• Используйте надежные и уникальные пароли для каждой учетной записи
• Включите MFA для учетных записей, когда это возможно
• Избегайте использования общедоступных сетей Wi-Fi в поездках или работая удаленно
• Обновляйте программное и аппаратное обеспечение
• Регулярно делайте резервные копии данных

Чем больше сотрудники знают о кибербезопасности, тем лучше они будут ее соблюдать, чтобы снизить риски таких кибератак, как социальная инженерия.

Инвестируйте в менеджер паролей для бизнеса

Менеджер паролей для бизнеса или корпоративных пользователей — это инструмент, который помогает организациям следить за тем, чтобы сотрудники всегда использовали надежные пароли для всех своих учетных записей. С помощью менеджера паролей для бизнеса ИТ-администраторы имеют полную видимость того, как сотрудники используют пароль, и могут обязать использовать MFA, чтобы повысить безопасность учетных записей.

Когда речь идет о фишинге, который является наиболее распространенным типом атак социальной инженерии, наибольший риск представляет собой компрометация паролей. Менеджеры паролей сохраняют адреса веб-сайтов вместе с учетными данными для входа, что означает, что они защищают пользователей от ввода своих учетных данных на поддельном веб-сайте, поскольку менеджеры паролей не будут автоматически заполнять данные на сайтах, которые не распознают.

Реализуйте принцип наименьших привилегий

Принцип наименьших привилегий представляет собой концепцию кибербезопасности, согласно которой пользователям предоставляется только минимальный сетевой доступ к информации и системам, необходимым для выполнения их работы, и не более. Реализация принципа наименьших привилегий уменьшает поверхность атаки на организацию, а в случае получения доступа к учетной записи сотрудника препятствует его перемещению по сети всей организации.

Обеспечьте защиту от атак социальной инженерии

Атаки социальной инженерии могут быть нацелены на кого угодно, независимо от того, кем вы являетесь. Важно, чтобы и отдельные пользователи, и организации предпринимали действия для защиты от атак социальной инженерии для снижения рисков.

Начните бесплатный 30-дневный пробный персональный период или 14-дневный пробный период версии для бизнеса Keeper Password Manager, чтобы защитить свои учетные записи в Интернете от атак социальной инженерии.