Что такое социальная инженерия? Методы мошенников и способы защиты от них.
Социальная инженерия — это совокупность методов и тактик воздействия, основанных на психологическом манипулировании, с целью контроля поведения человека и доступа к конфиденциальной информации.
Социальная инженерия всегда направлена на пользователя, а ее цель — убедить человека раскрыть информацию или перечислить деньги. Сценариев и способов подобных атак множество, но все они рассчитаны на слабости и психологию людей.
Атака социальной инженерии строится вокруг правдоподобного сценария или ситуации, в которую погружают пользователя, с опорой на сильные триггеры — испуг, жалость, любопытство, жадность. Находясь в волнении человек с большей вероятностью совершит ошибку, выдаст информацию или выполнит нехарактерное для себя действие.
Методы социальной инженерии проходят в несколько этапов:
1.Подготовка. Мошенники предварительно изучают конкретного человека либо группу людей, например сотрудников определенной компании, государственных служащих. Большинство информации, как правило, есть в открытом доступе: корпоративные, официальные сайты учреждений, комитетов, фото и посты в социальных сетях.
2.Установление контакта. Инициировав взаимодействие, преступник строит доверительные отношения. Для этого мошенники апеллирует к каким-то фактам, событиям и информации, имеющим отношение к человеку или группе. Это имена и фамилии друзей, начальника или эпизоотическая обстановка в регионе или сведения о сделке, которую недавно провела компания.
3.Начало атаки. Как только доверие установлено, жертву атакуют. Например, просят перейти по ссылке, переслать письмо, открыть зараженный файл или перевести деньги.
4.Отключение. Сразу после того как пользователь выполняет требования, все контакты прекращаются. Через некоторое время пострадавший осознает, что его обманули. Но иногда атака может оставаться незамеченной длительно. Вплоть до момента, пока хакер сам не разоблачит себя.
Способы защиты от социальной инженерии
Будьте подозрительны к любым нежелательным телефонным звонкам, сообщениям e-mail или в соцсетях, которые запрашивают личные данные и внутреннюю корпоративную информацию. То же касается всевозможных звонков от «главного следователя», «руководителя отдела ЦБ», «председателя комитета», «начальника отдела» и прочих «мнимых начальников». Лучше сразу прекратить общение и самостоятельно связаться с тем человеком или компанией, от которой был запрос. Вот еще несколько советов, как не стать жертвой социальной инженерии.
- Не предоставляйте личную информацию или информацию о вашей организации, включая ее структуру, если вы не уверены в том, кто ее запрашивает.
Не раскрывайте личную или финансовую информацию в электронной почте, не отвечайте на подобные письма и не переходите по ссылкам из них.Не отправляйте конфиденциальную информацию через Интернет, не проверив безопасность веб-сайта.
Не используйте контактную информацию, указанную на веб-сайте, связанном с запросом; вместо этого проверьте предыдущие заявления на предмет контактной информации.
На что еще обращать внимание: Киберпреступники часто используют электронные адреса, очень похожие на оригинальные. Для этого достаточно изменить или опустить несколько символов. Не поленитесь и проверьте, как на самом деле выглядит адрес. Вредоносные веб-сайты также могут использовать иной домен или сокращенный URL. Электронные письма с просьбой открыть вложение — распространенный способ доставки вредоносного ПО. Перед тем как кликнуть на ссылку или загрузку, еще раз перепроверьте все.