Шта је Социјални инжењеринг? 11 примера на које треба пазити
Преглед садржаја
Шта је уопште друштвени инжењеринг?
Друштвени инжењеринг се односи на чин манипулације људима да би извукли њихове поверљиве информације. Врста информација које криминалци траже може се разликовати. Појединци су обично циљани због њихових банковних података или лозинки налога. Криминалци такође покушавају да приступе рачунару жртве како би инсталирали злонамерни софтвер. Овај софтвер им онда помаже да извуку све информације које су им потребне.
Криминалци користе тактику социјалног инжењеринга јер је често лако експлоатисати особу тако што ћете задобити њено поверење и убедити је да одустане од својих личних података. То је практичнији начин од директног хаковања нечијег рачунара без његовог знања.
Примери друштвеног инжењеринга
Моћи ћете да се боље заштитите тако што ћете бити информисани о различитим начинима на које се врши социјални инжењеринг.
1. Претекстовање
Претекст се користи када криминалац жели да приступи осетљивим информацијама од жртве за обављање критичног задатка. Нападач покушава да дође до информација кроз неколико пажљиво осмишљених лажи.
Злочинац почиње успостављањем поверења са жртвом. Ово се може урадити тако што ће се лажно представљати као њихови пријатељи, колеге, службеници банке, полиција или други органи који могу тражити тако осетљиве информације. Нападач им поставља низ питања са изговором да потврди њихов идентитет и у том процесу прикупља личне податке.
Овај метод се користи за издвајање свих врста личних и службених података од особе. Такве информације могу укључивати личне адресе, бројеве социјалног осигурања, бројеве телефона, телефонске податке, банковне податке, датуме одмора особља, безбедносне информације у вези са предузећима итд.
2. Крађа диверзије
Ово је врста преваре која је углавном усмерена на курирске и транспортне компаније. Криминалац покушава да превари циљну компанију тако што ће је натерати да свој пакет за испоруку достави на другу локацију за испоруку од оне коју је првобитно намеравао. Ова техника се користи за крађу драгоцене робе која се доставља поштом.
Ова превара се може извести и ван мреже и на мрежи. Особље које носи пакете може се обратити и убедити да испоруку остави на другој локацији. Нападачи такође могу добити приступ систему за испоруку на мрежи. Они тада могу пресрести распоред испоруке и извршити измене у њему.
КСНУМКС Пхисхинг
Пецање је један од најпопуларнијих облика друштвеног инжењеринга. Преваре са пхисхинг-ом укључују е-пошту и текстуалне поруке које код жртава могу створити осећај радозналости, страха или хитности. Текст или имејл их подстичу да кликну на везе које би довеле до злонамерних веб локација или прилога који би инсталирали малвер на њихове уређаје.
На пример, корисници онлајн услуге могу да добију е-пошту у којој се тврди да је дошло до промене политике која захтева да одмах промене своје лозинке. Порука ће садржати везу ка илегалној веб страници која је идентична оригиналној веб локацији. Корисник ће затим унети своје акредитиве налога на ту веб локацију, сматрајући да је она легитимна. Након достављања њихових података, информације ће бити доступне криминалцу.
4. Спеар Пхисхинг
Ово је врста пхисхинг преваре која је више циљана на одређеног појединца или организацију. Нападач прилагођава своје поруке на основу радних места, карактеристика и уговора који се односе на жртву, тако да могу изгледати искреније. Спеар пхисхинг захтева више труда од стране криминалца и може потрајати много више времена од обичног пхисхинга. Међутим, теже их је идентификовати и имају бољу стопу успеха.
На пример, нападач који покушава да уведе пхисхинг на организацију послаће е-пошту запосленом који се представља као ИТ консултант компаније. Е-пошта ће бити уоквирена на начин који је потпуно сличан ономе како то ради консултант. Изгледаће довољно аутентично да превари примаоца. Е-пошта ће затражити од запосленог да промени своју лозинку тако што ће му пружити везу до злонамерне веб странице која ће снимити њихове информације и послати их нападачу.
5. Отвор за воду
Превара са испирањем воде користи предности поузданих веб локација које редовно посећује много људи. Криминалац ће прикупити информације о циљаној групи људи како би утврдио које веб странице често посећују. Ове веб странице ће затим бити тестиране на рањивости. Временом ће се један или више чланова ове групе заразити. Нападач ће тада моћи да приступи безбедном систему ових заражених корисника.
Назив потиче од аналогије о томе како животиње пију воду окупљајући се на својим поузданим местима када су жедне. Они не размишљају двапут о предузимању мера предострожности. Предатори су свесни тога, па чекају у близини, спремни да их нападну када им гард падне. Пробијање воде у дигиталном пејзажу може се искористити за неке од најразорнијих напада на групу рањивих корисника у исто време.
6. Баитинг
Као што је очигледно из имена, мамљење укључује употребу лажног обећања да би се изазвала радозналост или похлепа жртве. Жртва је намамљена у дигиталну замку која ће помоћи криминалцу да украде њихове личне податке или инсталира малвер у њихове системе.
Мамчење се може одвијати и путем онлајн и ван мреже. Као офлајн пример, криминалац може оставити мамац у облику флеш диска који је заражен малвером на упадљивим локацијама. Ово може бити лифт, купатило, паркинг, итд., циљане компаније. Флеш диск ће имати аутентичан изглед, што ће натерати жртву да га узме и убаци у свој радни или кућни рачунар. Флеш диск ће затим аутоматски извести злонамерни софтвер у систем.
Онлине облици мамљења могу бити у облику атрактивних и примамљивих реклама које би подстакле жртве да кликну на њих. Веза може да преузме злонамерне програме, који ће потом заразити њихов рачунар малвером.
7. Куид Про Куо
Напад куид про куо значи напад „нешто за нешто“. То је варијација технике мамцања. Уместо да мами жртве обећањем користи, напад куид про куо обећава услугу ако је одређена акција извршена. Нападач нуди лажну корист жртви у замену за приступ или информације.
Најчешћи облик овог напада је када се криминалац лажно представља као ИТ особље компаније. Криминалац тада контактира запослене у компанији и нуди им нови софтвер или надоградњу система. Од запосленог ће се тада тражити да онемогући свој антивирусни софтвер или инсталира злонамерни софтвер ако жели надоградњу.
8. Таилгатинг
Напад таилгатинг-а се такође назива пиггибацкинг. То укључује улазак криминалца на забрањену локацију која нема одговарајуће мере за аутентификацију. Криминалац може добити приступ тако што ће ући иза друге особе која је овлашћена да уђе у то подручје.
На пример, криминалац може да се лажно представља као возач достављача који има пуне руке посла. Чека да овлашћени радник уђе на врата. Достављач варалица тада тражи од запосленог да му придржи врата, чиме му дозвољава приступ без икаквог овлашћења.
9. Хонеитрап
Овај трик укључује криминалца који се претвара да је привлачна особа на мрежи. Особа се спријатељи са својим метама и лажира онлајн везу са њима. Криминалац затим користи ову везу да извуче личне податке својих жртава, позајми новац од њих или их натера да инсталирају малвер у своје рачунаре.
Назив 'медена замка' потиче од старе шпијунске тактике у којој су жене коришћене за гађање мушкараца.
10. Рогуе
Лажни софтвер се може појавити у облику лажног анти-малвера, лажног скенера, лажног сцареваре-а, анти-шпијунског софтвера итд. Ова врста рачунарског злонамерног софтвера наводи кориснике у заблуду да плате симулирани или лажни софтвер који је обећао да ће уклонити малвер. Лажни безбедносни софтвер је постао све већа брига последњих година. Корисник који ништа не сумња могао би лако постати плен таквог софтвера, који је доступан у изобиљу.
11. Злонамерни софтвер
Циљ напада малвера је да наведе жртву да инсталира малвер у своје системе. Нападач манипулише људским емоцијама како би натерао жртву да дозволи малверу у своје рачунаре. Ова техника укључује употребу тренутних порука, текстуалних порука, друштвених медија, е-поште итд., за слање пхисхинг порука. Ове поруке наводе жртву да кликне на везу која ће отворити веб локацију која садржи малвер.
За поруке се често користе тактике застрашивања. Они могу рећи да нешто није у реду са вашим налогом и да морате одмах да кликнете на дату везу да бисте се пријавили на свој налог. Веза ће вас затим натерати да преузмете датотеку преко које ће се малвер инсталирати на ваш рачунар.
Будите свесни, останите сигурни
Информисање је први корак ка заштити од напади социјалног инжењеринга. Основни савет је да игноришете све поруке које траже вашу лозинку или финансијске информације. Можете да користите филтере за нежељену пошту који долазе са вашим услугама е-поште да бисте означили такве е-поруке. Добијање поузданог антивирусног софтвера ће такође помоћи да додатно обезбедите ваш систем.
