Šta je Socijalno inženjerstvo? 11 primjera na koje treba paziti
Sadržaj
Šta je zapravo društveni inženjering?
Društveni inženjering se odnosi na čin manipulacije ljudima kako bi izvukli njihove povjerljive informacije. Vrsta informacija koje kriminalci traže može varirati. Obično su pojedinci ciljani zbog njihovih bankovnih podataka ili lozinki računa. Kriminalci takođe pokušavaju da pristupe računaru žrtve kako bi instalirali zlonamerni softver. Ovaj softver im onda pomaže da izvuku sve informacije koje bi im mogle zatrebati.
Kriminalci koriste taktiku socijalnog inženjeringa jer je često lako eksploatisati osobu tako što će zadobiti njeno povjerenje i uvjeriti je da odustane od svojih ličnih podataka. To je praktičniji način od direktnog hakovanja nečijeg računara bez njegovog znanja.
Primjeri socijalnog inženjeringa
Moći ćete se bolje zaštititi informisanjem o različitim načinima na koje se vrši socijalni inženjering.
1. Pretekst
Pretekst se koristi kada kriminalac želi pristupiti osjetljivim informacijama od žrtve za obavljanje kritičnog zadatka. Napadač pokušava doći do informacija kroz nekoliko pažljivo osmišljenih laži.
Zločinac počinje uspostavljanjem povjerenja sa žrtvom. Ovo se može učiniti lažnim predstavljanjem njihovih prijatelja, kolega, službenika banke, policije ili drugih organa koji mogu tražiti tako osjetljive informacije. Napadač im postavlja niz pitanja sa izgovorom da potvrdi njihov identitet i u tom procesu prikuplja lične podatke.
Ova metoda se koristi za izdvajanje svih vrsta ličnih i službenih podataka od osobe. Takve informacije mogu uključivati lične adrese, brojeve socijalnog osiguranja, brojeve telefona, telefonske podatke, bankovne podatke, datume odmora osoblja, sigurnosne informacije vezane za poslovanje itd.
2. Krađa diverzije
Ovo je vrsta prevare koja je općenito usmjerena na kurirske i transportne kompanije. Kriminalac pokušava prevariti ciljnu kompaniju tako što će je natjerati da svoj paket dostave na drugu lokaciju za dostavu od one koju je prvobitno namjeravao. Ova tehnika se koristi za krađu dragocjene robe koja se dostavlja poštom.
Ova prevara se može izvesti i van mreže i na mreži. Osoblje koje nosi pakete može se obratiti i uvjeriti da isporuku ostavi na drugoj lokaciji. Napadači takođe mogu dobiti pristup sistemu za isporuku na mreži. Oni tada mogu presresti raspored isporuke i izvršiti izmjene u njemu.
3. Krađa identiteta
Phishing je jedan od najpopularnijih oblika društvenog inženjeringa. Prevare za krađu identiteta uključuju e-poštu i tekstualne poruke koje kod žrtava mogu stvoriti osjećaj radoznalosti, straha ili hitnosti. Tekst ili e-pošta ih potiče da kliknu na veze koje bi vodile do zlonamjernih web stranica ili priloga koji bi instalirali zlonamjerni softver na njihove uređaje.
Na primjer, korisnici online usluge mogu dobiti e-poštu u kojoj se tvrdi da je došlo do promjene politike koja zahtijeva da odmah promijene svoje lozinke. Poruka će sadržavati vezu do ilegalne web stranice koja je identična originalnoj web stranici. Korisnik će zatim unijeti svoje akreditive računa na tu web stranicu, smatrajući da je ona legitimna. Nakon dostavljanja njihovih podataka, informacije će biti dostupne kriminalcu.
4. Spear Phishing
Ovo je vrsta phishing prevare koja je više ciljana na određenog pojedinca ili organizaciju. Napadač prilagođava svoje poruke na osnovu radnih mjesta, karakteristika i ugovora vezanih za žrtvu, tako da mogu djelovati iskrenije. Spear phishing zahtijeva više truda od strane kriminalca i može potrajati mnogo više vremena od običnog phishinga. Međutim, teže ih je identificirati i imaju bolju stopu uspjeha.
Na primjer, napadač koji pokuša phishing na organizaciju poslat će e-poštu zaposleniku koji se lažno predstavlja kao IT konsultant firme. E-mail će biti uokviren na način koji je potpuno sličan onome kako to radi konsultant. Djelovat će dovoljno autentično da prevari primaoca. E-pošta će zatražiti od zaposlenika da promijeni svoju lozinku tako što će im pružiti vezu do zlonamjerne web stranice koja će snimiti njihove podatke i poslati ih napadaču.
5. Otvor za vodu
Prevara sa hvatanjem vode koristi prednosti pouzdanih web stranica koje redovno posjećuje mnogo ljudi. Kriminalac će prikupiti informacije o ciljanoj grupi ljudi kako bi utvrdio koje web stranice često posjećuju. Ove web stranice će zatim biti testirane na ranjivosti. S vremenom će se jedan ili više članova ove grupe zaraziti. Napadač će tada moći pristupiti sigurnom sistemu ovih zaraženih korisnika.
Ime dolazi iz analogije kako životinje piju vodu okupljajući se na svojim pouzdanim mjestima kada su žedne. Ne razmišljaju dvaput o poduzimanju mjera opreza. Predatori su svjesni toga, pa čekaju u blizini, spremni da ih napadnu kada im garda padne. Zalivanje vode u digitalnom pejzažu može se iskoristiti za neke od najrazornijih napada na grupu ranjivih korisnika u isto vrijeme.
6. Baiting
Kao što je vidljivo iz naziva, mamljenje uključuje korištenje lažnog obećanja da bi se izazvala radoznalost ili pohlepa žrtve. Žrtva je namamljena u digitalnu zamku koja će pomoći kriminalcu da ukrade njihove lične podatke ili instalira zlonamjerni softver u njihove sisteme.
Mamčenje se može odvijati putem online i offline medija. Kao primjer van mreže, kriminalac bi mogao ostaviti mamac u obliku fleš diska koji je zaražen malverom na uočljivim lokacijama. To može biti lift, kupatilo, parking, itd. ciljane kompanije. Flash disk će imati autentičan izgled, što će natjerati žrtvu da ga uzme i ubaci u svoj radni ili kućni računar. Flash disk će tada automatski izvesti zlonamjerni softver u sistem.
Online oblici mamljenja mogu biti u obliku atraktivnih i primamljivih reklama koje bi ohrabrile žrtve da kliknu na njih. Veza može preuzeti zlonamjerne programe, koji će potom zaraziti njihov računar zlonamjernim softverom.
7. Quid Pro Quo
Napad quid pro quo znači napad „nešto za nešto“. To je varijacija tehnike mamljenja. Umjesto da se žrtve mame obećanjem koristi, quid pro quo napad obećava uslugu ako je određena radnja izvršena. Napadač nudi lažnu korist žrtvi u zamjenu za pristup ili informacije.
Najčešći oblik ovog napada je kada se kriminalac lažno predstavlja kao IT osoblje kompanije. Kriminalac tada kontaktira zaposlenike kompanije i nudi im novi softver ili nadogradnju sistema. Zaposlenik će tada biti zatražen da onemogući svoj antivirusni softver ili instalira zlonamjerni softver ako želi nadogradnju.
8. Tailgating
Napad tailgating-a se također naziva piggybacking. To uključuje kriminal koji traži ulazak na zabranjenu lokaciju koja nema odgovarajuće mjere autentifikacije. Kriminalac može dobiti pristup tako što uđe iza druge osobe koja je ovlaštena da uđe u to područje.
Na primjer, kriminalac može predstavljati vozača dostavljača koji ima pune ruke paketa. Čeka da ovlašteni radnik uđe na vrata. Dostavljač varalica tada traži od zaposlenika da mu pridrži vrata, dopuštajući mu na taj način pristup bez ikakvog odobrenja.
9. Honeytrap
Ovaj trik uključuje kriminalca koji se pretvara da je privlačna osoba na mreži. Osoba se sprijatelji sa svojim metama i lažira online vezu s njima. Kriminalac zatim koristi ovu vezu da izvuče lične podatke svojih žrtava, pozajmi novac od njih ili ih natera da instaliraju zlonamerni softver u svoje računare.
Naziv 'medena zamka' dolazi od stare špijunske taktike u kojoj su žene korištene za gađanje muškaraca.
10. Rogue
Lažni softver se može pojaviti u obliku lažnog anti-malvera, lažnog skenera, lažnog zastrašujućeg softvera, anti-špijunskog softvera itd. Ova vrsta kompjuterskog zlonamjernog softvera dovodi korisnike u zabludu da plate simulirani ili lažni softver koji je obećao uklanjanje zlonamjernog softvera. Lažni sigurnosni softver posljednjih godina postaje sve veća briga. Korisnik koji ništa ne sumnja mogao bi lako postati žrtvom takvog softvera, koji je dostupan u izobilju.
11. Zlonamjerni softver
Cilj napada zlonamjernog softvera je navesti žrtvu da instalira zlonamjerni softver u svoje sisteme. Napadač manipuliše ljudskim emocijama kako bi naterao žrtvu da dozvoli zlonamernom softveru u svojim računarima. Ova tehnika uključuje korištenje trenutnih poruka, tekstualnih poruka, društvenih medija, e-pošte, itd., za slanje phishing poruka. Ove poruke navode žrtvu da klikne na vezu koja će otvoriti web stranicu koja sadrži zlonamjerni softver.
Za poruke se često koriste taktike zastrašivanja. Mogli bi reći da nešto nije u redu s vašim računom i da morate odmah kliknuti na pruženu vezu da biste se prijavili na svoj račun. Veza će vas zatim natjerati da preuzmete datoteku putem koje će se zlonamjerni softver instalirati na vaš računar.
Budite svjesni, ostanite sigurni
Informiranje je prvi korak ka zaštiti od sebe napadi socijalnog inženjeringa. Osnovni savjet je da zanemarite sve poruke u kojima se traži vaša lozinka ili financijski podaci. Možete koristiti filtere za neželjenu poštu koji dolaze s vašim uslugama e-pošte da označite takve e-poruke. Uzimanje pouzdanog antivirusnog softvera također će vam pomoći da dodatno osigurate svoj sistem.
