Сообщения

Первая линия защиты - оставаться бдительным. При атаках социальной инженерии злоумышленник может заманить вас в беседу, которая становится больше похожей на допрос. Однако лучший способ защитить себя от социальной инженерии - это знать, кому можно доверять, и самому быть надежным. Вам необходимо выявить всех, кто может получить доступ к вашему счету или повлиять на него, и убедиться, что у них есть веские основания для этого. 

Продолжение чтения поможет вам узнать, что является распространенным методом, используемым в социальной инженерии и как вы можете защитить себя от кибер-атак в будущем!

Что такое атака социальной инженерии?

При атаках с применением социальной инженерии злоумышленник пытается получить доступ к данным или услугам, налаживая отношения с людьми, чьим доверием он может воспользоваться.

Атаки социальной инженерии - это форма хакерства, при которой злоумышленник пытается получить доступ или информацию, используя доверие. Это очень эффективная атака, поскольку она использует ваше желание помочь людям, любопытство и наивность. Социальный инженер может сделать вас невольным соучастником, используя манипуляции высокого уровня, чтобы получить все, что хочет злоумышленник. 

Использование обмана и хитрости для получения преимуществ началось задолго до широкого распространения персональных компьютеров и всемирной паутины. Но мы можем заглянуть еще дальше в историю, чтобы увидеть некоторые из самых вопиющих случаев атак с помощью социальной инженерии.

В самом последнем инциденте, произошедшем в феврале 2020 года, был использован фишинг с использованием поддельного счета за ремонт успешно обманули Барбару Коркоран из шоу ABC "Shark Tank" почти 400 000 долларов.

Если вы стали жертвой атак социальной инженерии, важно знать, как защитить себя от них. Узнайте о предупреждающих признаках потенциальной угрозы и о том, как защитить себя.

Читайте также: Что такое социальная инженерия?

Какой распространенный метод используется в социальной инженерии?

Распространенный метод, используемый социальными инженерами в атаках социальной инженерии, - выдавать себя за службу ИТ-поддержки. Это можно сделать, позвонив в компанию и попросив поговорить с ИТ-отделом или отправив в компанию электронное письмо, в котором говорится, что они звонят из ИТ-отдела.

Получив доступ, звонящий или рассыльный может притвориться сотрудником другого отдела или запросить информацию, которую компания обычно не разглашает. Социальный инженер также часто собирает как можно больше информации о своей цели, прежде чем вступить в контакт.

5 способов защиты от атак социальной инженерии

Здесь мы собрали несколько полезных советов или идей, которые помогут защитить себя от социальных атак или предотвратить атаки социальной инженерии:

Неизвестные отправители (электронные письма по сравнению с текстовыми сообщениями)

Обратите пристальное внимание на адрес электронной почты отправителя и содержание сообщения. Важно знать, что не нужно нажимать на ссылки подозрительных документов. 

Прекратите делиться личной информацией

Подумайте, прежде чем делиться личной информацией, такой как пароли и номера кредитных карт. Ни одна законная компания или частное лицо никогда не должны запрашивать такую конфиденциальную информацию. Всегда используйте надежные пароли и регулярно меняйте их. Избегайте использования одних и тех же паролей для нескольких учетных записей, чтобы не стать жертвой атак социальной инженерии.

Уровни безопасности

По возможности используйте двухфакторную аутентификацию. Она может добавить дополнительный уровень безопасности, требуя от пользователей вводить код, отправленный на мобильный телефон, а также имя пользователя и пароль. Всегда устанавливайте коды аутентификации с вашим электронным адресом и номером телефона, чтобы, если кто-то получит доступ к любой из этих систем, он не смог воспользоваться вашей учетной записью напрямую.

Антивирусное программное обеспечение

Установите антивредоносных программ и антивирусное программное обеспечение на всех ваших устройствах. Следите за обновлением этих программ, чтобы они могли защитить вас от новейших угроз. Однако, когда на ваших устройствах установлен антивирус, он может стать отличным щитом от атак социальной инженерии.

Всегда помните о любых рисках

Вы всегда должны учитывать риски. Убедитесь, что любой запрос на получение информации является точным, дважды и трижды перепроверив его. Следите за новостями в области кибербезопасности, если вы недавно пострадали от взлома. 

Каковы примеры социальной инженерии?

Нападение на людей с помощью атак социальной инженерии - отличный способ мошенничества. Это может происходить несколькими способами. Вот несколько примеров социальной инженерии:

Получить доступ

Хакеры могут получить доступ к вашему банковскому счету, оформив кредит на имя другого человека. Такое мошенничество часто сопровождается телефонным звонком или электронным письмом, отправленным друзьям и родственникам, которых затем просят сделать денежный перевод, чтобы быстро возместить хакерам ущерб, нанесенный ими жизни жертвы. 

Кража личной информации

Еще один распространенный способ, с помощью которого людей обманом заставляют передать свои личные данные, - это поверить, что они выиграли приз или конкурс, в котором никогда не участвовали, но на который подписались. И когда им поступают подобные звонки с просьбой удостовериться, что они получат приз, как только сообщат свои данные, тут-то жертвы и попадают в ловушку злоумышленников. 

Фишинг

В ходе этой атаки злоумышленники рассылают электронные письма, которые выглядят как письма от законных компаний или организаций, но содержат вредоносные ссылки или вложения. Более того, это одна из самых распространенных атак социальной инженерии во всем мире. 

Претекст

Другая массовая атака с использованием социальной инженерии предполагает создание ложной личности или сценария для получения доступа к личной информации. Одним из наиболее ярких примеров социальной инженерии является когда злоумышленники получают доступ к манипулированию людьми с помощью текстовых сообщений.

Плечевой серфинг

Это атака, при которой злоумышленник заглядывает кому-то через плечо, чтобы получить доступ к конфиденциальной информации. Иногда злоумышленник - это не кто иной, как ваши близкие друзья или любимые люди, которые будут шантажировать вас, как только получат информацию, которую всегда хотели иметь. Поэтому необходимо следить за такими людьми и никогда не сообщать им все личные данные. 

Tailgating

Атака хвостом - это когда злоумышленник следует за кем-то, кому разрешено войти в здание или охраняемую зону, не имея на это разрешения. Это не так распространено, как другие атаки социальной инженерии, но, тем не менее, это опасно и может оставить разрушительные следы.

Заключение

Чтобы защитить себя от атак социальной инженерии, вы должны научиться использовать меры предосторожности против них. Поскольку мы уже предоставили вам некоторые стандартные методы атак социальной инженерии, которые используются в мире уже несколько веков, убедитесь, что вы начали применять эти меры предосторожности прямо сейчас. Атаки социальной инженерии могут в считанные секунды разрушить жизнь человека, его профессиональную деятельность. Всегда защищайте свои устройства, пароли и другие входы в систему с помощью двух установленных кодов проверки подлинности для внешнего уровня защиты.

Прежде чем делать что-либо еще, поговорите с надежным ИТ-специалистом или экспертом по безопасности, таким как PowerDMARC. Они помогут вам понять риски атак с использованием социальной инженерии и способы их минимизации.

Прежде чем перейти к рассмотрению типов атак с использованием социальной инженерии, жертвами которых становятся ежедневно, а также предстоящих атак, которые бурно обсуждаются в Интернете, давайте вкратце разберемся, что такое социальная инженерия. 

Говоря простым языком, социальная инженерия - это тактика развертывания кибератак, при которой субъекты угроз используют психологические манипуляции для эксплуатации своих жертв и их обмана.

Социальная инженерия: Определение и примеры

Что такое социально-инженерная атака?

В отличие от киберпреступников, взламывающих ваш компьютер или систему электронной почты, атаки с использованием социальной инженерии организуются путем попытки повлиять на мнение жертвы, чтобы заставить ее раскрыть конфиденциальную информацию. Аналитики по безопасности подтвердили, что более 70% кибератак, которые ежегодно происходят в Интернете, - это атаки социальной инженерии.

Примеры социальной инженерии

Посмотрите на пример, показанный ниже:

 

Здесь мы можем наблюдать онлайн-рекламу, заманивающую жертву обещанием заработать $1000 в час. Это объявление содержит вредоносную ссылку, которая может инициировать установку вредоносного ПО на систему жертвы. 

Этот тип атаки широко известен как Online Baiting или просто Baiting, и является формой атаки социальной инженерии. 

Ниже приведен еще один пример:

Как показано выше, атаки социальной инженерии также могут быть осуществлены с использованием электронной почты в качестве мощного средства. Частым примером этого является фишинговая атака. Более подробно мы рассмотрим эти атаки в следующем разделе.

Типы атак социальной инженерии

1. Вишинг и Смишинг

Предположим, сегодня вы получили SMS от вашего банка (якобы) с просьбой подтвердить вашу личность, нажав на ссылку, иначе ваш счет будет деактивирован. Это очень распространенное сообщение, которое часто распространяется киберпреступниками, чтобы одурачить ничего не подозревающих людей. Как только вы нажмете на ссылку, вы будете перенаправлены на поддельную страницу, которая потребует ввести вашу банковскую информацию. Будьте уверены, если вы предоставите злоумышленникам свои банковские данные, они опустошат ваш счет. 

Аналогичным образом, вишинг или голосовой фишинг инициируется посредством телефонных звонков, а не SMS.

2. Онлайн-приманка / приманка 

Каждый день, просматривая веб-сайты, мы сталкиваемся с различными рекламными объявлениями в Интернете. Хотя большинство из них безобидны и достоверны, среди них может быть несколько плохих яблок. Это можно легко определить, заметив рекламу, которая кажется слишком хорошей, чтобы быть правдой. В них обычно содержатся нелепые утверждения и заманухи, такие как выигрыш джекпота или предложение огромной скидки.

Помните, что это может быть ловушкой (также известная как a приманка). Если что-то кажется слишком хорошим, чтобы быть правдой, то, скорее всего, так оно и есть. Поэтому лучше избегать подозрительных объявлений в Интернете и не кликать на них.

3. Фишинг

Атаки социальной инженерии чаще всего осуществляются через электронную почту и называются фишингом. Фишинговые атаки сеют хаос в глобальном масштабе почти столько же времени, сколько существует сама электронная почта. С 2020 года, в связи с резким увеличением количества сообщений электронной почты, уровень фишинга также резко возрос, обманывая большие и малые организации и ежедневно попадая в заголовки газет. 

Фишинговые атаки можно разделить на Spear phishing, whaling и CEO fraud, означающие выдачу себя за конкретных сотрудников организации, лиц, принимающих решения в компании, и CEO, соответственно.

4. Романтические аферы

Федеральное бюро расследований (ФБР) определяет романтические интернет-аферы как "мошенничество, которое происходит, когда преступник использует поддельную личность в Интернете, чтобы завоевать расположение и доверие жертвы. Затем мошенник использует иллюзию романтических или близких отношений, чтобы манипулировать жертвой и/или обворовывать ее". 

Романтические аферы относятся к типу атак социальной инженерии, поскольку злоумышленники используют манипулятивные тактики, чтобы установить близкие романтические отношения со своими жертвами, прежде чем действовать по своему основному плану: т.е. мошенничать с ними. В 2021 году романтические аферы займут первое место в списке самых финансово-ущербных кибератак года, за ними следует ransomware.

5. Подделка

Подмена домена - это высокоразвитая форма атаки социальной инженерии. Это когда злоумышленник подделывает легитимный домен компании, чтобы отправлять электронные письма клиентам от имени организации-отправителя. Злоумышленник манипулирует жертвами, заставляя их поверить, что указанное электронное письмо исходит от подлинного источника, т.е. компании, на услуги которой они полагаются. 

Атаки спуфинга трудно отследить, поскольку электронные письма отправляются с собственного домена компании. Тем не менее, существуют способы устранения неполадок. Одним из популярных методов, используемых и рекомендуемых экспертами отрасли, является минимизация спуфинга с помощью DMARC настройки.

6. Предлог

Претекстинг можно назвать предшественником атаки социальной инженерии. Это когда злоумышленник придумывает гипотетическую историю, чтобы подкрепить свое требование о получении конфиденциальной информации компании. В большинстве случаев предлог осуществляется посредством телефонных звонков, когда злоумышленник выдает себя за клиента или сотрудника, требуя от компании конфиденциальную информацию.

Какой распространенный метод используется в социальной инженерии?

Наиболее распространенным методом, используемым в социальной инженерии, является фишинг. Давайте посмотрим на некоторые статистические данные, чтобы лучше понять, что фишинг является растущей глобальной угрозой:

  • В отчете CISCO "Тенденции угроз кибербезопасности в 2021 году" подчеркивается, что 90% утечек данных происходят в результате фишинга.
  • IBM в своем отчете о стоимости утечки данных в 2021 году присвоила фишингу звание самого финансово затратного вектора атаки.
  • Как сообщает ФБР, с каждым годом количество фишинговых атак увеличивается на 400%.

Как защитить себя от атак социальной инженерии?

Протоколы и инструменты, которые можно настраивать: 

  • Разверните в своей организации протоколы аутентификации электронной почты, такие как SPF, DKIM и DMARC. Начните с создания бесплатной записи DMARC сегодня с помощью нашего генератор записей DMARC.
  • Обеспечьте соблюдение политику DMARC p=reject для минимизации прямой подмены домена и фишинговых атак по электронной почте
  • Убедитесь, что ваша компьютерная система защищена с помощью антивирусной программы

Личные меры, которые вы можете принять:

  • Повышение осведомленности в вашей организации о распространенных типах атак социальной инженерии, векторах атак и предупреждающих признаках
  • Ознакомьтесь с векторами и типами атак. Посетите нашу базу знаний, введите в строке поиска слово "фишинг", нажмите кнопку "ввод" и начните учиться уже сегодня!  
  • Никогда не отправляйте конфиденциальную информацию на внешние веб-сайты
  • Включите приложения идентификации вызывающего абонента на своем мобильном устройстве
  • Всегда помните, что ваш банк никогда не попросит вас предоставить информацию о вашем счете и пароль по электронной почте, SMS или звонку.
  • Всегда перепроверяйте адреса "От" и "Обратный путь" ваших писем, чтобы убедиться, что они совпадают. 
  • Никогда не нажимайте на подозрительные вложения или ссылки в электронной почте, не убедившись на 100% в подлинности их источника
  • Подумайте дважды, прежде чем доверять людям, с которыми вы общаетесь в Интернете и не знакомы в реальной жизни
  • Не просматривайте веб-сайты, не защищенные HTTPS-соединением (например, http://domain.com).