Что такое социальная инженерия? Это форма кибератаки, которая предполагает использование манипуляций и обмана для получения доступа к данным или информации. Цель социальной инженерии - обманом заставить людей разгласить конфиденциальную информацию, такую как пароли и сетевые данные, заставив их поверить, что они общаются с человеком, которому доверяют. 

В некоторых случаях социальные инженеры также пытаются заставить вас загрузить на компьютер незаметно для вас вредоносное программное обеспечение - программы, которые могут быть использованы в злонамеренных целях.

Что такое Социальная инженерия: Определение

Социальная инженерия - это манипулирование людьми с целью заставить их совершить какие-либо действия или разгласить конфиденциальную информацию. Это разновидность хакерства, но вместо взлома компьютеров социальные инженеры пытаются получить к ним доступ, обманом заставляя сотрудников выдать информацию или загрузить вредоносное ПО.

Техники социальной инженерии: Как работает социальная инженерия?

• Социальная инженерия может осуществляться по телефону, по электронной почте или с помощью текстовых сообщений. Социальный инженер может позвонить в компанию и попросить доступ в закрытую зону или выдать себя за кого-то, чтобы заставить другого человека открыть электронный почтовый ящик от его имени.
• Социальные инженеры используют множество различных тактик для достижения своих целей. Например, они могут заявить, что звонят из службы поддержки компании и попросить удаленный доступ, чтобы исправить что-то на вашем компьютере или в сети. Или они могут заявить, что им нужен ваш пароль или другая личная информация, например, банковские реквизиты, чтобы решить проблему с вашим банковским счетом.
• В некоторых случаях социальные инженеры даже выдают себя за сотрудников правоохранительных органов и угрожают судебным разбирательством, если вы откажетесь выполнить их требования о предоставлении информации. Хотя компаниям важно серьезно относиться к этим угрозам, помните, что полиция никогда не будет звонить кому-то и спрашивать пароли по телефону!

Цель социальной инженерии

Социальная инженерия часто используется в фишинговых атаках, которые представляют собой электронные письма, которые кажутся полученными из надежного источника, но на самом деле направлены на кражу вашей личной информации. В таких письмах обычно содержится вложение с вредоносным программным обеспечением (часто называемым вредоносным ПО), которое заразит ваш компьютер, если его открыть.

Цель социальной инженерии всегда одна и та же: получить доступ к чему-то ценному без необходимости работать для этого. 

1. Кража конфиденциальной информации

Поэтому социальные инженеры могут попытаться обманом заставить вас сообщить пароль и учетные данные для входа в систему (например, имя пользователя/адрес электронной почты), чтобы получить доступ к вашему почтовому ящику или профилю в социальных сетях, где они могут украсть личную информацию, например, номера кредитных карт и данные банковского счета, полученные в результате предыдущих операций. Вы можете знать, как продавать на Instagram, но достаточно ли у вас знаний, чтобы защитить свой малый бизнес и аккаунт от социальных инженеров?

2. Кража личных данных

Они также могут использовать эту информацию, чтобы присвоить себе личность жертвы и осуществлять вредоносные действия, выдавая себя за нее, в дальнейшем, если они не решат уничтожить ее немедленно.

Узнайте почему кибератаки обычно используют социальную инженерию.

Как определить атаку социальной инженерии?

1. Доверяйте своей интуиции

Если вы получаете электронные письма или телефонные звонки, которые звучат подозрительно, не сообщайте никакой информации, пока не удостоверитесь в своей личности. Это можно сделать, позвонив непосредственно в компанию или связавшись с человеком, который якобы прислал письмо или оставил сообщение на голосовой почте.

2. Не предоставляйте свою личную информацию

Если кто-то просит у вас номер социального страхования или другие частные данные, это признак того, что он пытается воспользоваться вашим доверием и впоследствии использовать его против вас. Рекомендуется не сообщать никакой информации, если в этом нет крайней необходимости. 

3. Необычные просьбы без контекста

Социальные инженеры обычно делают большие запросы без указания контекста. Если кто-то просит деньги или другие ресурсы, не объясняя, зачем они ему нужны, вероятно, здесь происходит что-то подозрительное. Лучше проявить осторожность, если кто-то обращается с подобной просьбой - никогда не знаешь, какой ущерб можно нанести, получив доступ к банковскому счету!

Вот несколько способов, с помощью которых вы можете обнаружить атаки социальной инженерии:

• Получение электронного письма от человека, который утверждает, что он из вашего ИТ-отдела, с просьбой сбросить пароль и предоставить его в электронном или текстовом сообщении
• Получение электронного письма от человека, выдающего себя за представителя вашего банка, с просьбой предоставить личную информацию, например, номер счета или PIN-код
• Получение электронного письма от человека, выдающего себя за представителя вашего банка, с просьбой предоставить личную информацию, например, номер счета или PIN-код
• Человек, утверждающий, что он из отдела кадров компании, запрашивает информацию о компании

Атаки социальной инженерии на основе электронной почты

Фишинговые электронные письма - выглядят так, будто они получены из законного источника, но на самом деле пытаются обманом заставить вас открыть вложение или посетить вредоносный веб-сайт.

Spear phishing - Спиртовой фишинг атаки являются более целенаправленными, чем фишинговые письма, и используют информацию о вас, чтобы казаться более правдоподобными.

Мошенничество генерального директора - Мошенничество генерального директора это вид фишингового мошенничества, при котором выдают себя за генерального директора или высокопоставленного руководителя, чтобы получить доступ к конфиденциальной информации. Это могут быть номера банковских счетов, детали электронных переводов или даже информация о заработной плате сотрудников.

Узнайте о других типах социальной инженерии атак.

Как предотвратить социальную инженерию?

У нас есть несколько советов о том, как предотвратить атаки социальной инженерии и защитить себя от них.

1. Убедитесь, что на ваших устройствах и компьютерах установлено хорошее антивирусное программное обеспечение.
2. Не открывайте подозрительные электронные письма или вложения от людей, которые не входят в ваш круг доверия (это касается и писем от людей, выдающих себя за представителей вашего банка или компании, обслуживающей кредитные карты).
3. Не переходите по ссылкам в электронных письмах, если вы не уверены в их безопасности - даже если они приходят от знакомых вам людей! Если у вас возникли сомнения в том, что письмо является законным, позвоните отправителю напрямую по телефону или через текстовое сообщение, а не ищите сначала информацию в Интернете.
4. Опасайтесь нежелательных телефонных звонков или текстовых сообщений, предлагающих что-то "слишком хорошее, чтобы быть правдой" (это могут быть бесплатные призы и другие предложения за подписку на такие вещи, как бесплатные испытания). 
5. Используйте двухфакторную аутентификацию по возможности - это означает, что даже если кто-то узнал ваш пароль, ему потребуется другая информация (например, одноразовый код), чтобы получить доступ к вашей учетной записи.
6. Установите протоколы аутентификации электронной почты, такие как DMARC для защиты ваших каналов электронной почты от фишинговых атак, социальной инженерии и злоупотребления доменами.

Подвести итоги

Важно защищаться от социальной инженерии, поскольку она может привести к потере денег и другой личной информации, а также к компрометации систем безопасности и утечке данных. 

Независимо от того, насколько хорошо ваша ИТ-команда защищает компанию от кибератак, вы никогда не сможете полностью исключить риск того, что кто-то попытается проникнуть в вашу систему с помощью методов социальной инженерии. Вот почему так важно обучать сотрудников о выявлении фишинговых писем и других видов атак с использованием социальной инженерии.