Социальная инженерия

Информационная безопасность

В отличие от вирусов и троянов, антивирусные программы и межсетевые экраны здесь бесполезны. Прежде всего, хакеры манипулируют самими людьми. В этом контексте социальную инженерию также называют человеческим хакерством или социальным хакерством.

Что такое социальная инженерия?

Не существует ОДНОГО метода, который хакеры используют для социальной инженерии. В принципе, этот термин можно отнести к любому воздействию на человека, которое служит для получения данных и информации.

Основная цель атак также может быть различной: иногда киберпреступники хотят получить информацию напрямую и без обходных путей. В других случаях жертве сначала отправляется документ, содержащий вредоносное ПО. Затем хакеры пытаются заставить жертву активировать вредоносные макросы по телефону. Для этого злоумышленники подделывают вымышленные личности.

Индивидуальные данные доступа для разных аккаунтов

Однако может случиться так, что пароль попадет в чужие руки в результате грубой силы, кейлогинга или другого метода взлома. Если этот пароль используется для множественного доступа одновременно, ущерб огромен. Поэтому всегда используйте разные пароли для разных учетных записей пользователей.

Если сотрудники недостаточно осведомлены о теме ИТ-безопасности, фишинговые электронные письма, например, не всегда обнаруживаются. Хакеры могут быстро получить доступ и, следовательно, к личным данным через поддельные веб-сайты и имитированные маски ввода. Тест на проникновение может выявить любые бреши в безопасности компаний.

Хакеры комбинируют несколько методов в масштабных атаках. Атаки можно планировать и проводить незаметно в течение нескольких месяцев. Иногда одна атака основана на другой.

Методы социальной инженерии

Методы социального взлома чрезвычайно разнообразны. Неподготовленные сотрудники зачастую невовремя распознают опасность.

Совет: тест на проникновение социальной инженерии надежно выявляет бреши в человеческой и организационной безопасности в компаниях. Специалисты по ИТ-безопасности проверяют ИТ-безопасность, используя те же методы, которые используют хакеры.

Предтекст часто необходим в качестве основы для того, чтобы впоследствии иметь возможность осуществить «настоящие» атаки. Социальные инженеры создают сложные конструкции лжи, некоторые из которых содержат специально запрограммированные веб-сайты и многочисленные адреса электронной почты для проверки «истории». Социальные инженеры выдают себя, например, за налоговиков, полицейских, поставщиков или работников сферы услуг.

Любой, кто считает, что хакеры действуют только в цифровой среде, ошибается. Во время атаки злоумышленники выдают себя за сетевых специалистов или водителей компании-поставщика. Это дает «хакерам» офлайн-доступ к иногда конфиденциальным областям компании. Использование предлогов как шаг перед тем, как скрыться, повышает доверие к преступникам при таком подходе.

В этом контексте под приманками мы НЕ подразумеваем механизм обнаружения спам-ботов (его также называют таковым), а скорее людей или учреждения, которые воспринимаются как экономически или лично привлекательные. Приманки пытаются инициировать личные или экономические отношения, чтобы затем шантажировать предпринимателей или сотрудников компрометирующими материалами.

Хакеры предлагают сотрудникам или начальству привлекательную выгоду. Это может включать помощь в решении (ИТ) проблемы. В обмен на эту услугу хакеры, которые хотят выдать себя за обслуживающий персонал, хотят получить личную информацию или информацию, связанную с компанией.

Мошенничество с генеральным директором также известно как трюк с боссом. Здесь хакерам требуется от себя немало уговоров, поскольку они выдают себя за начальника сотрудника, чтобы заставить сотрудника немедленно передать важные данные. Поскольку очень немногие сотрудники откажут своему начальнику в этой просьбе, этот метод настолько же эффективен, насколько и прост. Собрав подробную информацию о компании и жертвах, мошенничество генерального директора всесторонне подготовлено.

В большинстве методов так называемый социальный инженер (злоумышленник) держит в прицеле конкретного сотрудника. Чтобы обеспечить раннее выявление любых атак и отсутствие причинения ущерба компании, сотрудники должны быть всесторонне осведомлены и обучены по этой теме. Рекомендации относительно частного использования каналов социальных сетей отдельными сотрудниками (особенно в органах власти) также могут быть частью корпоративной или официальной стратегии ИТ-безопасности.