-
Τακτικές κοινωνικής μηχανικής και πώς οι κυβερνοεγκληματίες χειραγωγούν την ανθρώπινη ψυχολογία.
- 12 Αυγούστου 2024
Η κοινωνική μηχανική είναι μια μέθοδος επίθεσης που εκμεταλλεύεται τις ανθρώπινες αδυναμίες παρά τις τεχνολογικές. Αντί να προσπαθούν να εισέλθουν με το ζόρι σε ένα σύστημα, οι εγκληματίες του κυβερνοχώρου χειραγωγούν τους ανθρώπους ώστε να παραδώσουν οικειοθελώς τις πληροφορίες που αναζητούν. Μέσω ψυχολογικής χειραγώγησης , οι εισβολείς βάζουν τα θύματα να εκτελέσουν ενέργειες που θέτουν σε κίνδυνο την ασφάλεια δεδομένων ή συστημάτων.
Phishing
ΑυτόςphishingΕίναι μια από τις πιο κοινές και αποτελεσματικές τακτικές κοινωνικής μηχανικής. Περιλαμβάνει την αποστολή ψευδών μηνυμάτων ηλεκτρονικού ταχυδρομείου που φαίνεται να προέρχονται από αξιόπιστες πηγές, όπως τράπεζες ή πλατφόρμες μέσων κοινωνικής δικτύωσης. Ο στόχος είναι να ξεγελαστεί το θύμα ώστε να του παραδώσει ευαίσθητες πληροφορίες, όπως κωδικούς πρόσβασης ή αριθμούς πιστωτικών καρτών. Αυτά τα μηνύματα ηλεκτρονικού ταχυδρομείου συνήθως περιλαμβάνουν έναν σύνδεσμο προς έναν ψεύτικο ιστότοπο, σχεδιασμένο να φαίνεται νόμιμος, όπου το θύμα εισάγει τα προσωπικά του στοιχεία.
Οι παραλλαγές του phishing, όπως το spear phishingκαι το whaling, στοχεύουν συγκεκριμένα θύματα, χρησιμοποιώντας προσωπικές ή εταιρικές πληροφορίες για να κάνουν την επίθεση πιο πειστική. Στην περίπτωση του spear phishing, εστιάζει σε άτομα ή υπαλλήλους μιας εταιρείας, ενώ η whalingστοχεύει σε υψηλόβαθμα στελέχη.
Pretexting: Δημιουργήστε μια συναρπαστική ιστορία
Αυτός pretextingείναι μια τακτική όπου ο εισβολέας δημιουργεί ένα ψεύτικο σενάριο, ή «πρόσχημα», για να ξεγελάσει το θύμα ώστε να αποκαλύψει ευαίσθητες πληροφορίες. Αυτό μπορεί να περιλαμβάνει την πλαστοπροσωπία ενός συναδέλφου, ενός τεχνικού υποστήριξης ή ακόμα και μιας αυθεντίας, όπως ενός αστυνομικού. Το κλειδί για pretextingείναι ότι η ιστορία που παρουσιάζει ο δράστης πρέπει να είναι αρκετά αξιόπιστη ώστε το θύμα να μην γίνει ύποπτο.
Για παράδειγμα, ένας κυβερνοεγκληματίας θα μπορούσε να καλέσει έναν υπάλληλο, προσποιούμενος ότι είναι από το τμήμα πληροφορικής και να ζητήσει πρόσβαση στον λογαριασμό του για να επιλύσει ένα τεχνικό πρόβλημα. Παρουσιάζοντας τον εαυτό του με μια στάση εξουσίας και επείγουσας ανάγκης, ο εισβολέας κάνει το θύμα να απογοητεύσει τη φρουρά του και να συνεργαστεί.
Baiting: Πιάστε το θύμα με μια δελεαστική παγίδα
Αυτόςbaitingείναι μια τακτική στην οποία ο εισβολέας χρησιμοποιεί μια ψευδή ανταμοιβή ή κίνητρο για να δελεάσει το θύμα. Ένα συνηθισμένο παράδειγμα είναι να αφήνουμε μολυσμένες μονάδες USB σε δημόσιους χώρους, όπως πάρκινγκ ή καφετέριες, περιμένοντας κάποιος να τις παραλάβει και να τις συνδέσει στον υπολογιστή τους. Μόλις συνδεθούν, το κακόβουλο λογισμικό εγκαθίσταται αυτόματα στο σύστημα του θύματος.
Ένας άλλος τρόπος baitingΜπορεί να περιλαμβάνει δωρεάν λήψεις λογισμικού, μουσικής ή ταινιών. Οι εγκληματίες του κυβερνοχώρου προσφέρουν αυτά τα αρχεία σε ανεπίσημους ιστότοπους, αλλά το ληφθέν αρχείο περιέχει κακόβουλο λογισμικό που θέτει σε κίνδυνο την ασφάλεια της συσκευής του θύματος. Η ιδέα είναι ότι ο πειρασμός να πάρει κάτι «δωρεάν» θολώνει την κρίση του ατόμου, με αποτέλεσμα να αγνοεί πιθανούς κινδύνους.
Quid pro quo: Μια δόλια ανταλλαγή
Αυτός quid pro quo, που σημαίνει "κάτι για κάτι", είναι μια τακτική όπου ο εισβολέας προσφέρει μια υπηρεσία ή όφελος με αντάλλαγμα πληροφορίες ή πρόσβαση. Ένα συνηθισμένο παράδειγμα είναι όταν ένας κυβερνοεγκληματίας παρουσιάζεται ως τεχνικός υποστήριξης και προσφέρεται να διορθώσει ένα τεχνικό πρόβλημα με αντάλλαγμα τα διαπιστευτήρια πρόσβασης.
Αυτός ο τύπος επίθεσης είναι ιδιαίτερα αποτελεσματικός σε περιβάλλοντα εργασίας όπου οι εργαζόμενοι έχουν συνηθίσει να λαμβάνουν τεχνική βοήθεια. Ο κυβερνοεγκληματίας μπορεί να υποσχεθεί ότι θα λύσει ένα επείγον τεχνικό πρόβλημα και το θύμα, ανυπόμονο για βοήθεια, παραδίδει τις πληροφορίες που ζητήθηκαν χωρίς να αμφισβητήσει τη νομιμότητα της προσφοράς.
Μίμηση: Προσποιούμενος ότι είσαι κάποιος άλλος
Η πλαστοπροσωπία είναι μια τεχνική κοινωνικής μηχανικής όπου ο εισβολέας προσποιείται ότι είναι άλλο άτομο, συνήθως κάποιος που εμπιστεύεται το θύμα. Αυτό μπορεί να περιλαμβάνει την πλαστοπροσωπία ενός συναδέλφου, ενός προϊσταμένου ή ακόμη και ενός προμηθευτή. Οι επιθέσεις πλαστοπροσωπίας είναι ιδιαίτερα αποτελεσματικές σε εταιρικά περιβάλλοντα, όπου οι εργαζόμενοι συχνά υπακούουν σε εντολές ανωτέρων χωρίς αμφιβολία.
Σε ορισμένες περιπτώσεις, οι επιτιθέμενοι ερευνούν τα θύματά τους για να λάβουν συγκεκριμένες λεπτομέρειες που κάνουν τις ενέργειές τους πιο αξιόπιστες. Χρησιμοποιώντας δημόσια διαθέσιμες πληροφορίες, όπως προφίλ μέσων κοινωνικής δικτύωσης, ο εισβολέας μπορεί να εξατομικεύσει την προσέγγισή του και να κάνει το αίτημά του να φαίνεται νόμιμο. Για παράδειγμα, θα μπορούσατε να στείλετε ένα email παρουσιάζοντας τον Διευθύνοντα Σύμβουλο μιας εταιρείας, ζητώντας μια επείγουσα τραπεζική μεταφορά σε έναν λογαριασμό που ελέγχεται από τον εισβολέα.
Αποφυγή πτώσης στην παγίδα
Η προστασία από τις τακτικές κοινωνικής μηχανικής απαιτεί έναν συνδυασμό γνώσης, προσοχής και σκεπτικισμού. Είναι ζωτικής σημασίας να εκπαιδεύονται οι εργαζόμενοι και το ευρύ κοινό σχετικά με τις μεθόδους που χρησιμοποιούν οι εγκληματίες του κυβερνοχώρου. Οι οργανισμοί θα πρέπει να εφαρμόζουν προγράμματα ευαισθητοποίησης για την ασφάλεια που περιλαμβάνουν προσομοιώσεις επιθέσεων κοινωνικής μηχανικής, έτσι ώστε οι εργαζόμενοι να μπορούν να αναγνωρίσουν και να ανταποκριθούν κατάλληλα σε αυτές τις προσπάθειες.
Επιπλέον, είναι σημαντικό να επαληθεύετε πάντα την ταυτότητα οποιουδήποτε ζητά εμπιστευτικές πληροφορίες ή πρόσβαση σε συστήματα. Οι πολιτικές ασφαλείας θα πρέπει να περιλαμβάνουν διαδικασίες για την επαλήθευση αιτημάτων, όπως η απευθείας επικοινωνία με το άτομο που υποτίθεται ότι υπέβαλε το αίτημα χρησιμοποιώντας επίσημες πληροφορίες επικοινωνίας και όχι μέσω των πληροφοριών που παρέχονται στο μήνυμα που ελήφθη.
Ως εκ τούτου, η κοινωνική μηχανική παραμένει μια από τις πιο ύπουλες απειλές στο τοπίο της κυβερνοασφάλειας. Κατανοώντας τις τακτικές που χρησιμοποιούν οι επιτιθέμενοι και λαμβάνοντας προληπτικά μέτρα, μπορούμε να μειώσουμε σημαντικά τον κίνδυνο να πέσουμε στις παγίδες τους.
Comentar: