Ingineria socială este actul de a manipula pe cineva în divulgarea informațiilor sau de a face ceva care nu este de obicei în interesul lor. În acest articol, vom analiza câteva moduri comune în care inginerii sociali încearcă să vă manipuleze.

Declinare de responsabilitate: Articolele mele sunt pur educative. Dacă le citiți și provocați daune cuiva, asta este asupra dvs. Nu încurajez nicio activitate rău intenționată sau practici de pălărie neagră. Citiți codul de etică aici.

Un tip comun de înșelătorie este Prizonier spaniol, care datează din secolul al XVIII-lea și are o mulțime de încarnări moderne.

De obicei implică pe cineva care are probleme și are nevoie de ajutorul tău pentru a-și accesa averea. Trebuie doar să câștigi câteva mii de dolari, apoi te vor plăti înapoi de zece ori. Dar poți ghici cum se termină asta.

Există escrocherii similare care au circulat pe internet: escrocheria IRS, escrocherii la loterie și așa mai departe. Acestea sunt în general clasificate ca Oferă în avans escrocherii. Ai ceva care te așteaptă, dar trebuie să plătești un avans pentru a-l primi.

Pentru o persoană obișnuită, acestea vor părea atacuri de escrocherie executate prost. Dar aceste escrocherii au făcut ca mii de oameni să-și piardă banii câștigați din greu. In unele cazuri, economiile lor de viață.

Acestea sunt toate exemple de inginerie socială în acțiune.

Ideea din spatele ingineriei sociale este să profite de tendințele naturale și reacțiile emoționale ale unei potențiale victime. Frica și lăcomia sunt cele mai vulnerabile emoții de care sunt de obicei profitate inginerii sociali.

Mai jos este un exemplu excelent al unui atac de inginerie socială din lumea reală.

Tipuri de atacuri de inginerie socială

Ingineria socială poate fi clasificată în general în cinci tipuri de atacuri pe baza tipului de abordare utilizată pentru a manipula o țintă. Să trecem prin fiecare dintre ele.

Spamare (e-mail, text, Whatsapp)

Spamarea implică trimiterea de mesaje către grupuri mari de persoane ale căror informații de contact sunt obținute de obicei prin metode nefaste. Spamarea este un termen general folosit pentru a defini atât difuzarea mesajelor rău intenționate, cât și non-rău intenționate.

Spamarea non-rău intenționată este utilizată de agenții de publicitate care încearcă să-și promoveze produsele către persoane necunoscute prin e-mail în bloc. Motivul lor nu este acela de a provoca daune, ci de a încerca să îi determine pe oameni să își cumpere produsele sau să își promoveze serviciile.

Spammingul rău intenționat include mesaje care încearcă să atragă utilizatorii pe site-ul atacatorului pentru a divulga informații personale. Aceste informații sunt apoi utilizate pentru a crea atacuri țintite de phishing / vishing asupra potențialei victime.

Phishing (și Vishing)

Când atacatorul folosește mesaje text, e-mail sau apeluri vocale (phishing vocal = vishing), acesta se numește phishing.

Phishingul este folosit pentru a face ținta să creadă că este chemată de o instituție legitimă sau de o entitate pentru a extrage informații valoroase din țintă.

Dacă cineva sună compania dvs. pretinzând că este furnizorul dvs. de imprimantă, ar putea fi capabil să obțină informații specifice despre imprimantă – modelul, adresa IP (dacă este conectat la internet) și așa mai departe.

Și odată furnizate aceste informații, imprimanta ar putea fi atacată pentru a avea acces la rețeaua dvs. internă.

Atacurile de phishing bazate pe e-mail sunt de asemenea frecvente. Un atacator poate trimite prin e-mail pe cineva din compania dvs. pretinzând că este Facebook. Odată ce un membru al echipei face clic pe un link, acesta va ajunge pe o pagină care seamănă cu Facebook, cerându-i informațiile de conectare. Aceste informații de conectare vor fi trimise la serverul atacatorului, după care vor avea acces complet la contul Facebook al victimei.

Diferența majoră dintre phishing și escrocherie este că atacurile de phishing sunt foarte vizate. Atacatorul știe pe cine dorește să atace și ce tip de informații caută.

Momeală

Momeala presupune proiectarea unei capcane și așteptarea potențialei victime pentru a intra în capcană. Ca un exemplu simplu, dacă un atacator aruncă câteva unități USB în parcarea companiei dvs., este probabil ca unul dintre angajații dvs. să încerce să îl conecteze la computer pentru a verifica conținutul unității USB.

Acest lucru ar putea părea o prostie, dar au existat numeroase cazuri în care trucurile simple ale inginerilor sociali au dus la încălcări masive de date corporative. De obicei, este ușor să atragi oamenii cu escrocherii, cum ar fi Advance, care oferă înșelăciuni care circulă încă pe internet, hrănindu-se cu oameni creduli.

Un alt tip comun de momeli se găsește în software-ul piratat. Atacatorul va încorpora software rău intenționat într-un sistem de operare popular sau într-un film pentru descărcare a victimei. Odată ce victima descarcă și rulează software-ul, codul rău intenționat se execută pe sistemul victimei, iar atacatorul obține acces complet la mașina victimei.

PiggyBacking

PiggyBacking înseamnă să folosești pe altcineva pentru a ataca o potențială victimă. Atacatorul va folosi un terț (de obicei nevinovat) care are acces la victimă pentru a efectua un atac de salvare.

Există multe variante de Piggybacking. Dacă un atacator vă urmărește angajatul la biroul dvs. folosind cardul de acces, aceasta este o formă de piggybacking numită tailgating.

Au existat multe cazuri de atacuri de tip piggybacking, în special pentru informații clasificate. Companiile furnizori care furnizează hardware / software organizațiilor guvernamentale sunt de obicei ținta atacurilor de salvare.

Odată ce acești furnizori sunt compromiși, este ușor să atacați instituția țintă, deoarece furnizorul are deja un nivel de acces la țintă.

Piggybacking este, de asemenea, asociat cu unele forme de interceptare activă. Atacatorul va folosi o conexiune legitimă a victimei pentru a asculta în rețea.

Am scris recent un articol despre Wireshark pe care s-ar putea să-l considerați interesant.

Apă Holing

Water Holing ia în considerare acțiunile de rutină ale țintei și folosește una dintre acțiunile respective pentru a obține acces neautorizat. De exemplu, un atacator va găsi zilnic site-urile pe care ținta le folosește și încearcă să instaleze malware pe unul dintre aceste site-uri web.

Numele „Holing de apă” este derivat din faptul că prădătorii în sălbăticie își așteaptă adesea prada în apropierea găurilor comune de udare.

Un exemplu este 2019 Campania de apă sfântă, care viza grupuri religioase și de caritate asiatice. Site-ul a fost compromis, după care vizitatorii au fost rugați să instaleze Adobe Flash pe browserele lor.

Întrucât Adobe Flash are o serie de vulnerabilități, atacatorii au fost ușor să execute apoi coduri rău intenționate pe mașinile victimei. Atacurile cu găuri de udare sunt mai puțin frecvente, dar reprezintă o amenințare considerabilă, deoarece sunt foarte greu de detectat.

Protejându-vă de ingineria socială

Acum că am văzut diferitele tipuri de abordări folosite de inginerii sociali, să ne uităm la modul în care ne putem proteja pe noi înșine și organizația noastră de atacurile de inginerie socială.

Instalați filtre de e-mail și spam

Deși filtrele de spam nu pot prinde atacuri foarte vizate, ele vor împiedica majoritatea mesajelor spam și a e-mailurilor rău intenționate să ajungă la contul dvs.

Păstrați actualizat antivirusul și paravanul de protecție

Similar filtrelor de spam, un software antivirus actualizat va proteja împotriva celor mai frecvente viruși, troieni și programe malware.

Solicitați verificarea

Solicitați întotdeauna verificarea atunci când cineva vă sună care pretinde că reprezentați o organizație, de exemplu banca dvs. Nu distribuiți niciodată detalii confidențiale, cum ar fi numerele cardului de credit sau parolele prin telefon sau e-mail.

Crează constientizare

Cel mai bun mod de a împiedica exploatarea organizației dvs. este să creați programe de conștientizare a securității. Educarea angajaților dvs. este o investiție excelentă pe termen lung pentru a vă menține compania în siguranță.

Dacă pare prea bine pentru a fi adevărat, este

În cele din urmă, dacă ceva sună prea bine pentru a fi adevărat, de obicei este. Nu vă încredeți niciodată în străini care promit că vă vor îmbogăți repede. După cum a spus cineva odată, „încercarea de a te îmbogăți rapid este cea mai rapidă modalitate de a-ți pierde toți banii”.

Concluzie

Inginerii sociali sunt stăpâni ai manipulării. Cu excepția cazului în care angajații unei companii sunt instruiți în domeniul conștientizării ingineriei sociale, este foarte greu pentru ei să evite să cadă în capcana unui inginer social.

Inginerii sociali lucrează cu emoțiile oamenilor, de obicei frică și lăcomie. Deci, ori de câte ori efectuați o acțiune bazată pe aceste două emoții, ați putea dori să faceți un pas înapoi și să vedeți dacă sunteți manipulat.

Există o celebră discuție TED în care cineva a început o conversație cu un spammer. Urmăriți videoclipul complet aici.

Puteți obține un rezumat al articolelor mele și videoclipuri trimise în e-mailul dvs. în fiecare luni dimineață. Poti de asemenea afla mai multe despre mine Aici.