Inżynieria społeczna i phishing

Inżynieria społeczna atakuje ludzi, a nie technologię. Zamiast przełamywać zapory sieciowe, atakujący nakłania człowieka do ujawnienia informacji, przyznania dostępu lub przekazania pieniędzy, wykorzystując zaufanie, strach, ciekawość albo chęć niesienia pomocy.

Często jest to najłatwiejszy sposób uzyskania dostępu: po co łamać hasło, skoro można przekonać kogoś, aby po prostu je podał? Ludzie często są najsłabszym ogniwem zabezpieczeń.

Phishing to najczęstszy rodzaj ataku z wykorzystaniem inżynierii społecznej: fałszywe wiadomości e-mail lub inne wiadomości, które wyglądają, jakby pochodziły z zaufanego źródła, i nakłaniają ofiary do kliknięcia złośliwych łączy, otwarcia zainfekowanych załączników lub wpisania danych uwierzytelniających na fałszywych stronach.

Wiadomość phishingowa może naśladować bank lub dział IT użytkownika, wywołując poczucie pilności, aby skłonić go do działania bez zastanowienia. Jest wysyłana do wielu osób jednocześnie, dzięki czemu obejmuje szerokie grono odbiorców.

Ukierunkowane odmiany są bardziej niebezpieczne. Spear phishing dostosowuje wiadomość do konkretnej osoby, wykorzystując informacje na jej temat, dzięki czemu jest znacznie bardziej przekonujący. Whaling jest wymierzony w osoby na wysokich stanowiskach, takie jak dyrektorzy generalni.

Ponieważ takie wiadomości są spersonalizowane i starannie przygotowane na podstawie zebranych informacji, znacznie trudniej je rozpoznać niż ogólny phishing. Często odnoszą sukces tam, gdzie masowe kampanie zawodzą.

Phishing nie ogranicza się do wiadomości e-mail. Vishing (phishing głosowy) wykorzystuje rozmowy telefoniczne, na przykład fałszywego pracownika pomocy technicznej wyłudzającego hasła. Smishing (phishing SMS) wykorzystuje wiadomości tekstowe ze złośliwymi łączami.

Atakujący korzystają z wielu kanałów, ponieważ ludzie mogą nie ufać podejrzanej wiadomości e-mail, a mimo to odebrać telefon lub kliknąć łącze w wiadomości tekstowej, zwłaszcza gdy sytuacja wydaje się pilna.

Pretekstowanie polega na stworzeniu wiarygodnego scenariusza w celu wyłudzenia informacji, na przykład gdy atakujący podaje się za pomoc techniczną i twierdzi, że musi zweryfikować dane logowania, aby rozwiązać problem. Podszywanie się oznacza udawanie zaufanej osoby — osobiście lub zdalnie.

Wymyślony kontekst obniża czujność ofiary i sprawia, że spełnia ona prośby, które normalnie wzbudziłyby jej wątpliwości.

Część działań inżynierii społecznej ma charakter fizyczny. Tailgating (lub piggybacking) polega na wejściu za upoważnioną osobą przez zabezpieczone drzwi bez użycia własnej karty dostępu. Shoulder surfing to obserwowanie, jak ktoś wpisuje hasło lub PIN.

Dumpster diving polega na odzyskiwaniu poufnych informacji z wyrzuconych dokumentów i urządzeń. Przypomina to, że bezpieczeństwo obejmuje także czujność w świecie fizycznym, a nie tylko komputery.

Przynęta polega na pozostawieniu czegoś kuszącego, na przykład pendrive'a z etykietą „Payroll” na parkingu, w nadziei, że ciekawa osoba podłączy go do komputera i zainfekuje swoje urządzenie.

Quid pro quo oferuje korzyść w zamian za informacje lub dostęp, na przykład gdy fałszywa pomoc techniczna obiecuje pomoc pod warunkiem udzielenia zdalnego dostępu. Obie metody wykorzystują ludzką chęć zysku lub uzyskania pomocy.

Inżynieria społeczna wykorzystuje psychologię: autorytet (jesteśmy posłuszni osobom, które wydają się mieć władzę), pilność (działamy szybko pod presją), strach, zaufanie i chęć pomocy.

Rozpoznawanie tych bodźców to pierwsza linia obrony. Gdy wiadomość wywiera presję, aby natychmiast podjąć działanie lub pominąć standardową procedurę, sama presja jest sygnałem ostrzegawczym, przy którym warto się zatrzymać.

Najlepsze zabezpieczenia mają charakter ludzki i proceduralny:

• Szkolenia z zakresu świadomości bezpieczeństwa, dzięki którym użytkownicy rozpoznają ataki.
• Procedury weryfikacji, na przykład oddzwonienie na znany numer przed wykonaniem prośby.
• Uwierzytelnianie wieloskładnikowe, dzięki któremu samo skradzione hasło nie wystarczy.
• Kultura organizacyjna, w której zachęca się do kwestionowania podejrzanych próśb, zamiast za to karać.

Sygnały ostrzegawcze obejmują nieoczekiwaną presję czasu, ogólne powitania, błędy ortograficzne i gramatyczne, niezgodne lub nietypowe adresy nadawców, linki, których rzeczywisty cel różni się od tekstu, oraz prośby o dane uwierzytelniające lub płatność.

Sprawdzenie rzeczywistego adresu URL po najechaniu kursorem na link przed jego otwarciem oraz weryfikowanie nietypowych próśb innym kanałem skutecznie powstrzymują większość prób phishingu.

Inżynieria społeczna atakuje ludzi, a nie maszyny, wykorzystując phishing (w tym spear phishing, whaling, vishing i smishing), pretekstowanie, przynętę, tailgating i inne metody. Wykorzystuje autorytet, pilność, strach i zaufanie. Obrona opiera się głównie na ludziach: szkoleniach z zakresu świadomości bezpieczeństwa, procedurach weryfikacji i uwierzytelnianiu wieloskładnikowym.

Sprawdź swoją wiedzę na temat inżynierii społecznej.

Inżynieria społeczna manipuluje ludźmi zamiast technologią. Phishing i jego odmiany (spear phishing, whaling, vishing, smishing), a także pretekstowanie, przynęta i tailgating wykorzystują autorytet, pilność i zaufanie. Obrona opiera się na ludziach: szkoleniach z zakresu świadomości bezpieczeństwa, procedurach weryfikacji i uwierzytelnianiu wieloskładnikowym.