Što je Socijalni inženjering? 11 primjera na koje treba pripaziti
Pregled sadržaja
Što je uopće društveni inženjering?
Društveni inženjering odnosi se na čin manipuliranja ljudima kako bi se izvukli njihovi povjerljivi podaci. Vrsta informacija koje kriminalci traže može varirati. Obično su pojedinci ciljani zbog svojih bankovnih podataka ili lozinki računa. Kriminalci također pokušavaju pristupiti žrtvinom računalu kako bi instalirali zlonamjerni softver. Ovaj im softver zatim pomaže da izvuku sve informacije koje bi mogle zatrebati.
Kriminalci koriste taktike društvenog inženjeringa jer je često lako iskoristiti osobu zadobivši njeno povjerenje i uvjerivši je da oda svoje osobne podatke. To je praktičniji način od izravnog hakiranja u nečije računalo bez njihovog znanja.
Primjeri socijalnog inženjeringa
Moći ćete se bolje zaštititi ako budete informirani o različitim načinima na koje se provodi društveni inženjering.
1. Pretekstiranje
Pretekstiranje se koristi kada kriminalac želi pristupiti osjetljivim informacijama od žrtve za obavljanje kritičnog zadatka. Napadač pokušava doći do informacija kroz nekoliko pažljivo smišljenih laži.
Zločinac počinje uspostavljanjem povjerenja sa žrtvom. To se može učiniti lažnim predstavljanjem njihovih prijatelja, kolega, bankovnih službenika, policije ili drugih tijela koja mogu tražiti takve osjetljive podatke. Napadač im postavlja niz pitanja s izlikom potvrde identiteta i pritom prikuplja osobne podatke.
Ova se metoda koristi za izvlačenje svih vrsta osobnih i službenih podataka od osobe. Takvi podaci mogu uključivati osobne adrese, brojeve socijalnog osiguranja, telefonske brojeve, telefonske zapise, bankovne podatke, datume godišnjeg odmora osoblja, sigurnosne informacije povezane s poduzećima i tako dalje.
2. Diverziona krađa
Ovo je vrsta prijevare koja je općenito usmjerena na kurirske i transportne tvrtke. Kriminalac pokušava prevariti ciljanu tvrtku tako da ih natjera da isporuče svoj paket na drugu lokaciju dostave od one koja je prvobitno bila predviđena. Ova tehnika se koristi za krađu dragocjene robe koja se isporučuje poštom.
Ova se prijevara može izvesti i offline i online. Osoblju koje nosi pakete može se obratiti i uvjeriti ga da isporuku ostavi na drugom mjestu. Napadači također mogu dobiti pristup sustavu online dostave. Tada mogu presresti raspored isporuke i napraviti izmjene u njemu.
3. krađe identiteta
Phishing je jedan od najpopularnijih oblika društvenog inženjeringa. Phishing prijevare uključuju e-poštu i tekstualne poruke koje mogu izazvati osjećaj znatiželje, straha ili hitnosti kod žrtava. Tekst ili e-pošta potiču ih da kliknu na poveznice koje bi vodile do zlonamjernih web stranica ili privitaka koji bi instalirali zlonamjerni softver na njihove uređaje.
Na primjer, korisnici internetske usluge mogu primiti e-poruku u kojoj se tvrdi da je došlo do promjene pravila koja zahtijevaju da odmah promijene svoje lozinke. Pošta će sadržavati poveznicu na ilegalnu web stranicu koja je identična izvornoj web stranici. Korisnik će zatim unijeti vjerodajnice svog računa na tu web stranicu, smatrajući je legitimnom. Nakon podnošenja svojih podataka, podaci će biti dostupni kriminalcu.
4. Krađa identiteta
Ovo je vrsta phishing prijevare koja je više usmjerena prema određenom pojedincu ili organizaciji. Napadač prilagođava svoje poruke prema radnim mjestima, karakteristikama i ugovorima koji se odnose na žrtvu, tako da one izgledaju istinitije. Spear phishing zahtijeva više truda od strane kriminalca i može oduzeti mnogo više vremena od običnog phishinga. Međutim, teže ih je identificirati i imaju bolju stopu uspjeha.
Na primjer, napadač koji pokuša phishing na organizaciju poslat će e-poštu zaposleniku koji se predstavlja kao IT konzultant tvrtke. E-pošta će biti uokvirena na način koji je potpuno sličan onome kako to radi konzultant. Djelovat će dovoljno autentično da prevari primatelja. E-pošta će potaknuti zaposlenika da promijeni svoju lozinku pružajući mu poveznicu na zlonamjernu web stranicu koja će zabilježiti njihove podatke i poslati ih napadaču.
5. Punjenje vode
Prijevara s ispijanjem vode iskorištava pouzdana web-mjesta koja redovito posjećuje mnogo ljudi. Kriminalac će prikupiti informacije o ciljanoj skupini ljudi kako bi odredio koje web stranice oni često posjećuju. Ta će web-mjesta zatim biti testirana na ranjivosti. S vremenom će se jedan ili više članova ove skupine zaraziti. Napadač će tada moći pristupiti sigurnom sustavu tih zaraženih korisnika.
Naziv dolazi od analogije kako životinje piju vodu okupljajući se na svojim pouzdanim mjestima kada su žedne. Ne razmišljaju dvaput o poduzimanju mjera opreza. Grabežljivci su toga svjesni, pa čekaju u blizini, spremni da ih napadnu kad popuste. Gušenje vode u digitalnom krajoliku može se koristiti za neke od najrazornijih napada na skupinu ranjivih korisnika u isto vrijeme.
6. Mamljenje
Kao što je vidljivo iz naziva, mamljenje uključuje korištenje lažnog obećanja kako bi se potaknula radoznalost ili pohlepa žrtve. Žrtva je namamljena u digitalnu zamku koja će kriminalcu pomoći da ukrade njihove osobne podatke ili instalira zlonamjerni softver u njihove sustave.
Mamljenje se može odvijati putem online i offline medija. Kao izvanmrežni primjer, kriminalac bi mogao ostaviti mamac u obliku flash pogona koji je zaražen zlonamjernim softverom na vidljivim mjestima. To može biti dizalo, kupaonica, parkiralište itd. ciljane tvrtke. Flash disk će izgledati autentično, što će natjerati žrtvu da ga uzme i ubaci u svoje radno ili kućno računalo. Flash pogon će tada automatski izvesti zlonamjerni softver u sustav.
Online oblici mamljenja mogu biti u obliku atraktivnih i primamljivih reklama koje bi potaknule žrtve da kliknu na njih. Veza može preuzeti zlonamjerne programe, koji će potom zaraziti njihovo računalo zlonamjernim softverom.
7. Quid Pro Quo
Napad quid pro quo znači napad "nešto za nešto". To je varijanta tehnike mamljenja. Umjesto da mami žrtve obećanjem koristi, quid pro quo napad obećava uslugu ako je određena radnja izvršena. Napadač žrtvi nudi lažnu korist u zamjenu za pristup ili informacije.
Najčešći oblik ovog napada je kada se kriminalac lažno predstavlja kao IT osoblje tvrtke. Kriminalac tada kontaktira zaposlenike tvrtke i nudi im novi softver ili nadogradnju sustava. Od zaposlenika će se tada tražiti da onemogući svoj antivirusni softver ili instalira zlonamjerni softver ako želi nadogradnju.
8. Tailgating
Napad tailgating se također naziva piggybacking. Uključuje kriminalca koji traži ulazak unutar ograničene lokacije koja nema odgovarajuće mjere autentifikacije. Zločinac može dobiti pristup hodajući iza druge osobe koja je ovlaštena za ulazak u to područje.
Na primjer, kriminalac se može predstavljati kao vozač dostavljača koji ima pune ruke paketa. Čeka ovlaštenog djelatnika da uđe na vrata. Lažni dostavljač zatim traži od zaposlenika da mu pridrži vrata, čime mu dopušta pristup bez ikakvog ovlaštenja.
9. Zamka za med
Ovaj trik uključuje kriminalca koji se pretvara da je privlačna osoba na internetu. Osoba se sprijatelji sa svojim metama i lažira internetski odnos s njima. Kriminalac zatim iskorištava tu vezu kako bi izvukao osobne podatke svojih žrtava, posudio novac od njih ili ih natjerao da instaliraju zlonamjerni softver na svoja računala.
Naziv 'medena zamka' dolazi od starih špijunskih taktika gdje su žene korištene za ciljanje muškaraca.
10. Lopov
Lažni softver može se pojaviti u obliku lažnog anti-malwarea, lažnog skenera, lažnog programa za zastrašivanje, antišpijunskog softvera itd. Ova vrsta računalnog zlonamjernog softvera dovodi korisnike u zabludu da plate za simulirani ili lažni softver koji je obećao uklanjanje zlonamjernog softvera. Lažni sigurnosni softver posljednjih je godina postao sve veća briga. Korisnik koji ništa ne sumnja lako bi mogao postati žrtvom takvog softvera, kojeg ima u izobilju.
11. Zlonamjerni softver
Cilj napada zlonamjernim softverom je navesti žrtvu da instalira zlonamjerni softver u svoje sustave. Napadač manipulira ljudskim emocijama kako bi natjerao žrtvu da zlonamjernom softveru uđe u svoja računala. Ova tehnika uključuje korištenje izravnih poruka, tekstualnih poruka, društvenih medija, e-pošte itd. za slanje phishing poruka. Ove poruke prevare žrtvu da klikne poveznicu koja će otvoriti web stranicu koja sadrži zlonamjerni softver.
Za poruke se često koriste taktike zastrašivanja. Mogli bi reći da nešto nije u redu s vašim računom i da morate odmah kliknuti na ponuđenu poveznicu kako biste se prijavili na svoj račun. Veza će vas zatim natjerati da preuzmete datoteku putem koje će se zlonamjerni softver instalirati na vaše računalo.
Ostanite svjesni, ostanite sigurni
Informiranje je prvi korak prema zaštiti od napadi socijalnog inženjeringa. Osnovni savjet je da zanemarite sve poruke koje traže vašu lozinku ili financijske podatke. Možete koristiti filtre neželjene pošte koji dolaze s vašim uslugama e-pošte da biste označili takve e-poruke. Nabavka pouzdanog antivirusnog softvera također će dodatno zaštititi vaš sustav.
