Вишинг, смишинг и выдуманный предлог

Хотя фишинг часто оказывается в центре внимания, злоумышленники используют разные каналы связи, чтобы манипулировать жертвами. Вишинг использует голосовые вызовы, смишинг — текстовые сообщения SMS, а претекстинг представляет собой создание правдоподобного ложного сценария (предлога), объясняющего, почему жертва должна выполнить запрос. Эти атаки успешны не потому, что жертвы невежественны, а потому, что эксплуатируют фундаментальные человеческие инстинкты: доверие к авторитетам, стремление помочь и склонность следовать инструкциям под давлением.

Вишинг (голосовой фишинг) использует телефонные звонки для манипулирования жертвами. Распространённые предлоги включают выдачу себя за сотрудника IRS, угрожающего арестом за неуплату налогов; за сотрудника банковского отдела по борьбе с мошенничеством, предупреждающего о подозрительных операциях; за специалиста технической поддержки, заявляющего об обнаруженном вирусе; или за сотрудника государственного учреждения, отвечающего за социальные выплаты и требующего подтверждения данных. Злоумышленники используют подмену идентификатора вызывающего абонента, чтобы отображался номер телефона легитимной организации. Массовые кампании вишинга с помощью роботов-звонил используют автоматический набор, а затем соединяют заинтересовавшихся жертв с операторами. Голосовые звонки в реальном времени создают давление, из-за которого трудно сохранять критическое мышление.

Смишинг (фишинг через SMS) доставляет фишинговые приманки в текстовых сообщениях. В распространённых сообщениях смишинга злоумышленники выдают себя за службы доставки посылок (FedEx, UPS, USPS) и отправляют поддельные уведомления об отслеживании со вредоносными ссылками, за банки, предупреждающие о подозрительных списаниях, или за операторов мобильной связи, сообщающих о проблемах с учётной записью. URL-адреса в смишинговых сообщениях часто используют сокращатели ссылок или похожие домены. Пользователи мобильных устройств, вероятно, более уязвимы, чем пользователи настольных компьютеров: на маленьком экране сложнее проверить URL, а мобильные браузеры часто скрывают полный адрес. SMS также обладает inherent доверием — пользователи склонны быстрее реагировать на текстовые сообщения, чем на электронные письма.

Претекстинг — это создание ложного, но правдоподобного сценария, который формирует контекст для запроса в рамках социальной инженерии. Без убедительного предлога запросы конфиденциальной информации или необычных действий сразу вызвали бы подозрение. Злоумышленник, использующий претекстинг, может выдать себя за нового подрядчика IT, которому нужна помощь в получении доступа к системам, за аудитора, которому требуется доступ к финансовым документам, или за курьера поставщика, которого нужно «впустить». Предлог не обязан быть сложным — достаточно, чтобы он был правдоподобным и не заставил цель остановиться и проверить запрос перед его выполнением.

Принципы влияния Роберта Чалдини объясняют, почему социальная инженерия работает. Авторитет — люди выполняют требования тех, кого считают авторитетными лицами (CEO, IRS, полиция). Срочность и дефицит — нехватка времени мешает тщательно оценить ситуацию («Действуйте в течение следующих 10 минут»). Социальное доказательство — люди делают то, что делают окружающие. Симпатия — люди идут навстречу тем, кому доверяют или кто им приятен. Взаимность — люди чувствуют себя обязанными ответить на оказанную услугу. Обязательство — после принятия небольшого обязательства люди обычно склонны выполнять и более крупные. Понимание этих принципов помогает специалистам по обучению осведомлённости о безопасности создавать более эффективные контрсообщения.

Современная технология VoIP делает подмену идентификатора вызывающего абонента элементарной. Такие службы, как SpoofCard, Twilio и различные API VoIP, позволяют любому пользователю перед звонком установить отображаемый идентификатор вызывающего абонента — любой номер. Злоумышленники регулярно подменяют номера служб поддержки банков, государственных учреждений или даже собственный номер жертвы (подмена номера соседа). Инфраструктура STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) была введена в US для криптографической аутентификации идентификатора вызывающего абонента, однако внедрение ещё не завершено. Никогда не доверяйте одному лишь идентификатору вызывающего абонента при проверке личности.

Сотрудники службы поддержки — приоритетные цели для вишинга, поскольку их работа заключается в помощи пользователям, что естественным образом вступает в противоречие с процедурами безопасности. Типичная атака выглядит так: злоумышленник звонит, выдавая себя за старшего сотрудника, которому срочно нужно сбросить учётную запись, поскольку он заблокирован перед важной встречей. Сочетание давления авторитета и срочности может заставить добросовестного сотрудника службы поддержки пропустить этапы проверки. Знаменитый взлом Twitter в 2020 году начался с атак вишинга на сотрудников Twitter, благодаря которым злоумышленники получили доступ к внутренним инструментам. Службам поддержки нужны строгие процедуры проверки личности, от которых нельзя отступать независимо от срочности.

Атака с подменой SIM-карты сочетает вишинг и социальную инженерию, направленные против службы поддержки оператора мобильной связи. Злоумышленник звонит оператору, выдавая себя за жертву, отвечает на вопросы для проверки личности (используя сведения из утечек данных или социальных сетей) и убеждает сотрудника перенести номер телефона жертвы на SIM-карту, контролируемую злоумышленником. После перехвата номера все коды многофакторной аутентификации через SMS поступают злоумышленнику, что позволяет захватить учётные записи электронной почты, банковских и криптовалютных сервисов. С помощью подмены SIM-карт были похищены миллионы в криптовалюте.

Обнаружение атак социальной инженерии требует сочетать сообщения сотрудников с техническим журналированием. Каждый сотрудник должен знать, как сообщить о подозрительном звонке или сообщении, — в идеале с помощью кнопки в электронной почте, выполняющей отправку одним нажатием, или выделенного почтового псевдонима (phishing@company.com). К техническим признакам относятся журналы звонков с входящими вызовами с подменённых номеров, оповещения SIEM о сбросе паролей в службе поддержки после входящих звонков и изменения доступа к учётным записям в нерабочее время. После инцидента записи телефонных разговоров и журналы SMS являются важными криминалистическими артефактами наряду с журналами электронной почты и событиями аутентификации.

Защита от претекстинга требует установить процедуры проверки, которым сотрудники будут последовательно следовать независимо от испытываемого давления. Ключевые Policy включают: всегда проверять личность через отдельный установленный канал перед выполнением необычных запросов; установить систему кодовых слов для коммуникаций руководителей; обучить сотрудников тому, что авторитетные лица в организации не будут обижаться на просьбы подтвердить личность; а также создать культуру, поддерживающую безопасность, в которой соблюдение процедур поощряется, даже если оно создаёт небольшие неудобства. Внезапные проверки социальной инженерии позволяют измерить, насколько эффективно обучение на практике.

На экзамене Security+ важно чётко различать каналы фишинга. Фишинг осуществляется через электронную почту. Вишинг — через голосовые и телефонные вызовы. Смишинг — через текстовые сообщения SMS. Фарминг перенаправляет DNS без необходимости щёлкать ссылку. Все эти атаки преследуют одну цель — заставить жертву раскрыть учётные данные, перевести деньги или установить вредоносное ПО, — но механизм доставки и контрмеры различаются. Для электронной почты существуют технические средства защиты (SPF/DKIM/DMARC/песочница); для голосовых вызовов и SMS таких средств гораздо меньше, поэтому обучение пользователей становится для этих каналов ещё важнее.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что вишинг использует телефонные звонки с подменой идентификатора вызывающего абонента, чтобы выдавать себя за авторитетных лиц и получать учётные данные или добиваться выполнения действий; смишинг доставляет фишинговые приманки через SMS, где пользователи мобильных устройств хуже видят URL; а претекстинг создаёт правдоподобные ложные сценарии, оправдывающие необычные запросы. Защита включает строгие процедуры проверки личности, внеполосное подтверждение и обучение сотрудников. Далее мы рассмотрим физическую социальную инженерию: проход вслед за авторизованным сотрудником и приманки.