Тактика социальной инженерии, вероятно, продолжит развиваться, включая новые технологии и используя возникающие тенденции. Злоумышленники могут использовать искусственный интеллект и машинное обучение для создания более убедительных фишинговых писем, поддельных аудио- или видеозвонков и более сложных сценариев предлогов. Лица или организации, пострадавшие от атак социальной инженерии, могут подавать гражданские иски с требованием возмещения финансовых потерь, эмоциональных страданий или другого вреда, причиненного нарушением. Намерение имеет значение при различении этического тестирования и злого умысла. Этические тестировщики стремятся выявить слабые места для повышения безопасности, в то время как злоумышленники используют уязвимости для личной выгоды.
Ограничиваются ли атаки социальной инженерии только цифровой сферой?
- В ходе эксперимента исследователь Нельсон Новаес Нето[11] выбрал «жертву» и создал фальшивый аккаунт человека из ее окружения – ее начальника.
- Мошенник создает ситуацию, в которой навязывает свою помощь потенциальной жертве.
- В зависимости от уровня авторитета обманутого человека социальная инженерия наносит значительный ущерб.
- Эта техника атаки предполагает общение по электронной почте или телефону.
В сообщении также будет указано, что для избавления от вируса жертве необходимо немедленно загрузить антивирусное программное обеспечение. Если жертва нажимает на всплывающее окно, она автоматически начнет скачивать фактический вирус или вредоносное ПО на свое устройство. После завершения загрузки вредоносное ПО может отправлять конфиденциальную информацию злоумышленнику, чтобы он мог использовать ее для кражи идентификационных данных жертвы и компрометации ее учетных записей в Интернете. Даже ограничив доступ к информации на своей странице в социальной сети, пользователь не может быть точно уверен, что она никогда не попадёт в руки мошенников. В ходе эксперимента исследователь Нельсон Новаес Нето[11] выбрал жертву и создал фальшивый аккаунт человека из её окружения — её начальника.
Выбор жертвы и сбор данных о ней
Рекомендуется не сообщать никакой информации, если в этом нет крайней необходимости. Если у вас запрашивают информацию – уточните имя и номер звонящего или его непосредственного руководителя. Затем просто проверьте эту информацию в интернете или справочнике прежде, чем сообщать какие-либо персональные данные.
Как защититься от социальной инженерии
В некоторых случаях создатели и распространители вредоносных программ предпринимают определенные действия, чтобы уменьшить вероятность того, что пользователь сообщит о заражении. Какой бы способ доставки ни использовался, такое сообщение обычно содержит слова, которые должны привлечь внимание получателя и побудить его пройти по ссылке. Этот способ проникновения в систему может позволить вредоносной программе обойти антивирусные фильтры почтового сервера. В Японии киберпреступники с помощью службы доставки на дом распространяли компакт-диски, зараженные троянской программой-шпионом.
Почему криптоиндустрия особенно уязвима для социальной инженерии?
Например, преступник высылает жертве на электронный ящик письмо с контактами службы технической поддержки и сам же создаёт неполадки в компьютере жертвы. Менеджер паролей для бизнеса или корпоративных пользователей — это инструмент, который помогает организациям следить за тем, чтобы сотрудники всегда использовали надежные пароли для всех своих учетных записей. С помощью менеджера паролей для бизнеса ИТ-администраторы имеют полную видимость того, как сотрудники используют пароль, и могут обязать использовать MFA, чтобы повысить безопасность учетных записей. Фишинговые тесты не должны быть единственным средством защиты организации, необходимо также регулярно обучать сотрудников лучшим методам кибербезопасности, например, указанным ниже. Пиггибэкинг — это когда злоумышленники пытаются получить доступ к сети, системе или физическому зданию для того, чтобы скомпрометировать конфиденциальную информацию.
Социальная инженерия – это манипулирование людьми с целью заставить их совершить какие-либо действия или разгласить конфиденциальную информацию. Это разновидность хакерства, но вместо взлома компьютеров социальные инженеры пытаются получить к ним доступ, обманом заставляя сотрудников выдать информацию или загрузить вредоносное ПО. Распространите меры безопасности на поставщиков и третьи стороны, которые имеют доступ к вашим системам или конфиденциальной информации.
Это вид интернет-мошенничества, когда с помощью фейковых сайтов или почтовых рассылок жулики пытаются заполучить конфиденциальные данные пользователя (логины, пароли, учётные записи, банковские карты). Aranza Trevino — старший специалист по SEO-контенту в Keeper Security. Она является опытным аналитиком https://cryptocat.org/ тенденций и данных в области кибербезопасности и постоянно пополняет свои знания в отрасли, чтобы просвещать читателей посредством своего блога. Блоги, которые ведет Aranza, помогают людям и компаниям лучше разбираться в вопросах управления паролями, безопасности паролей и защиты от киберугроз.
Этот тип атаки распространён в общественных местах, таких как кафе, торговые центры, аэропорты, вокзалы, а также в общественном транспорте. Таким образом, при переходе по ссылке жертва увидит сайт, максимально идентичный ожидаемому, и при вводе данных кредитной карты эта информация сразу направляется к злоумышленнику. В контексте сетевой безопасности так называют любую атаку, когда злоумышленник как принять аирдроп каким-то образом маскирует себя или свои действия под что-то, чему пользователь доверяет. Например, он может изучить соцсети жертвы, подделать профиль друга или родственника, а потом написать от его имени и попросить взаймы. Другими словами, социальная инженерия — это когда мошенники пытаются заставить человека совершить любое действие, которое идет вразрез с его интересами.
Определение того, что представляет собой этическая социальная инженерия, может оказаться сложной задачей. Хотя специалисты по безопасности могут использовать социальную инженерию в целях тестирования и обучения, существует тонкая грань между этическими действиями и манипулятивным поведением. Используйте каналы и платформы аналитической информации об угрозах, которые в режиме реального времени предоставляют информацию о новых тактиках социальной инженерии, фишинговых кампаниях и других киберугрозах.
Убедитесь, что они соблюдают аналогичные методы и рекомендации по обеспечению безопасности, чтобы предотвратить атаки социальной инженерии с помощью этих векторов. Применение техник социальной инженерии требует не только знания психологии, но и умения собирать о человеке необходимую информацию. Публикуя много личной информации в интернете (например, в социальных сетях), вы помогаете злоумышленникам.
Эффективность этих атак заключается в их способности обходить традиционные меры безопасности, напрямую воздействуя на самое слабое звено — людей. Официальные учреждения и даже отделы компании обычно не требуют отправки конфиденциальной информации по электронной почте или телефону, если об этом предварительно не договаривались. Соблазн перейти по ссылке в сообщении слишком велик, но ради безопасности нужно побороть любопытство. Коварная ссылка может скрывать в себе как адрес фишингового сайта, так и запускать загрузку вредоносного ПО, которое потом будет трудно найти и удалить. От социальной инженерии страдают не только рядовые граждане, но и бизнес.