A social engineering (pszichológiai manipuláció) egy gyakran használt taktika, ami 2018-ban az adatlopások 33%-áért volt felelős, a Verizon 2019-es felmérése szerint. Az efféle tevékenységek a legveszélyesebb fenyegetést jelentik cégek és magánszemélyek számára egyaránt. Művelőik kiberbűnözők: olyan személyek, akik szociális interakciók útján vagy javakat akarnak nyerni másoktól, vagy rá akarják venni őket, hogy csináljanak valami specifikusat. Amikor megközelítenek, megnyerőnek és barátságosnak mutatkozhatnak, vagy akár hatósági személynek is kiadhatják magukat. Fontos, hogy felkészültek legyünk.Így találnak ránk
Ezek az interakciók az alábbi formákban fordulnak elő, a leggyakrabban: szemtől szemben, telefonon keresztül (vishing), SMS-ben, e-mailben (phishing), vagy akár az összes kombinációjában is. Ezek a támadások nem igényelnek mély technikai/informatikai ismereteket, lényegük csupán az egyén bizalmának elnyerése és a közelférkőzés. Ezen bűnözők legfontosabb célja, hogy minél több információhoz jussanak. Miután elegendő adatot szereztek a célszemélyekről, ráveszik őket, hogy olyasmit csináljanak, amit egyébként nem tennének. Alapjaiban véve úgy kezelik a kiszemelt egyéneket, akár egy kutatási projektet és igyekeznek minden lehetséges forrást átnézni, hogy a legkényesebb információkat összegyűjtsék.
Általában ott kezdik, hogy keresőmotorok (pl. Google) segítségével adatok után kutatnak a kiszemelt illetőről. Felkutatják a közösségi oldalakon létrehozott profiljait, majd azok segítségével megnézik, hogy kikkel áll kapcsolatban a személy. Sokszor munkával kapcsolatos információkat is ki tudnak deríteni, ilyen módon. Vannak olyanok is, akik a kiszemelt követését és annak szemetében turkálását sem vetik meg. Csak és kizárólag azért, hogy információhoz jussanak.
Miután kiderítették a támadás lebonyolításához szükséges alap információkat, megkezdik a következő lépést: a kapcsolatépítést. Különböző taktikákat és pszichológiai techinkákat alkalmaznak, hogy megtévesszék a célpontot. Felszerelkezve személyes információkkal, felkeresik az illetőt és megpróbálnak a bizalmába férkőzni. Van, hogy a személy kapzsiságát használják ki. Valami értékeset, sok esetben pénzt ajánlanak, kisebb vagyonnal kecsegtetve. Máskor, nagyobb cégek alkalmazottainak tettetik magukat és egyszerű telefonhívásokkal jelszavakat és egyéb titkos adatokat szereznek. Előfordulnak olyan esetek is, hogy úgy tesznek, mintha ők lennének egy állami szervezet, egy egész cég vagy maga a hatóság. Ezáltal az emberek tiszteletét és félelmét kihasználva irányítják őket. Miután megtörtént az átverés, a kiberbűnözők gyorsan eltüntetik nyomaikat és ,,kámforrá válnak”.
Hogyan védjük meg adatainkat?
Magánszemélyek esetében érdemes megerősíteni a technológiai védelmet a legjobb hálózati és IT praktikák elsajátításával. Fontos, hogy szervereinket és adatbázisainkat megfelelő védelemmel lássuk el és győződjünk meg róla, hogy adataink titkosítva vannak. Cégeknél előnyben kell részesíteni a kiberbiztonsági tanfolyamokat és bátorítani kell az alkalmazottakat, hogy a biztonságos emailezés lépéseit tartsák be. Az érzékeny információkhoz való hozzáférést limitálni kell. A pénzügyi és más fontos tranzakciók kezelésének lépéseit figyelemmel kell követni, a meglévő projekteket érdemes felosztani.
Fontos az informálódás is: nem árt, ha tisztában vagyunk korábbi social engineering támadásokkal és azok menetével is. Jó ha felkeressük az ezekkel foglalkozó weboldalakat és utánaolvasunk a témának. Sok szolgáltató ajánl speciális eszközöket, amik gyakorlatban is használhatóak, vagy segíthetnek az alkalmazottak tudatosságának fejlesztésében. Általában poszterek és hírlevelek is elérhetőek.
Végső gondolatok
Bár a social engineering fejlődik és alkalmazkodik a világ változásaihoz, koncepciójában nem változik. Megközelítése és általános tulajdonságai ugyanazok maradnak. Minél többen informáljuk magunkat a támadások veszélyeiről, annál könnyebben ismerhetjük fel a fenyegetést, ha élesben találjuk magunkat szembe vele.
Források:
Nincsenek megjegyzések:
Megjegyzés küldése