Социальная инженерия: методы атаки и рекомендации по защите

Специалисты по информационной безопасности давно пришли к единому мнению, что какими бы прогрессивными средствами защиты информации не была оснащена инфраструктура компании, она уязвима. Вас все равно хакнут. И самым ненадежным звеном системы обеспечения информационной безопасности остается человек. Социальная инженерия один из наиболее эффективных методов, с помощью которого преступники могут получить доступ к персональным данным пользователям, украсть конфиденциальную информацию предприятия или же внедрить в системы вредоносные объекты. Основан этот метод на психологических приемах манипуляции, в результате чего пользователь сам предоставляет злоумышленнику доступ к желаемому объекту.

Самые распространенные техники социальной инженерии.

Фишинг. Несмотря на повсеместное распространение предупреждений об опасности фишинга, это остается одним из наиболее популярных и эффективных способов нелегального получения конфиденциальной информации. Пользователь получает электронное письмо, оформленное в виде официальной рассылки. Часто в тексте содержится обещание каких-либо бонусов за переход по ссылке и выполнение определенных действий. Письмо содержит ссылку на фальшивую страницу, вид которой также имитирует корпоративный сайт какой-нибудь известной организации. На этой странице от пользователя просят самостоятельно вести любые требуемые преступнику данные — от номера карты до серии и номера паспорта — и получить за это возможность поучаствовать в розыгрыше призов, например. Дополнительная опасность состоит в том, что пользователя могут вынудить участвовать в распространении вредоносной ссылки — разослать друзьям и знакомым, чтобы получить больше шансов на выигрыш. Согласитесь, немногие из нас усомнятся в легальности ссылки, если ее прислал нам приятель.

Троянский конь. Эта техника основана на любопытстве и жадности, присущим человеческой натуре. Осуществляется так же с помощью рассылок писем, смс и сообщений в мессенджерах. Пользователю предлагается скачать зараженный файл с якобы полезной информацией — коммерческое предложение, флаер на скидку, новое обновление приложения.

Дорожное яблоко. Метод, схожий с предыдущим, но вместо рассылки сообщений используются зараженные накопители информации — флешки и жесткие диски. Человек может найти накопитель в коридоре офиса или на крыльце здания. Одно только желание узнать имя хозяина и вернуть ему потерянную вещь может заставить сотрудника пренебречь элементарными правилами информационной безопасности и вставить флешку в рабочий компьютер или ноутбук.

Претекстинг. Обычно осуществляется по телефону. Его цель — с помощью заранее подготовленного сценария (претекста) заставить собеседника выдать необходимую информацию или совершить необходимое действие. Эта техника манипуляции, в отличие от предыдущих, требует предварительной подготовки, чтобы вызвать доверие у цели. Для этого подойдет различная информация, которую можно получить хотя бы из социальных сетей — ФИО, место работы, должность, имена людей, с которыми цель сотрудничает, даже названия конкретных проектов, над которыми человек работает.

Конечно, это далеко не все методы социальной инженерии, как и любое другое явление, они постоянно совершенствуются. Неизменным остается влияние на так называемый человеческий фактор. Чтобы обезопасить себя и компанию, есть несколько стандартных рекомендаций.

Прежде всего, проводите регулярное информирование сотрудников. Все работники организации должны иметь четкое представление с кем и о чем можно разговаривать, какая информация является конфиденциальной и разглашение каких данных может повлечь за собой дисциплинарную ответственность.

Внимательность. Фальшивые ссылки лишь имитируют официальные страницы, но не являются ими. Замена всего одного символа в адресе должна насторожить. Не переходите по ссылкам из писем и сообщений мессенджеров, лучше вбейте название организации из рассылки в поисковой системе и сравните написание адреса. Настоящие сайты компаний всегда будут в топе поисковых систем.

При разговоре с незнакомым человеком, представляющимся сотрудником вашей компании или компании-партнера не стесняйтесь задавать уточняющие вопросы, которые помогут удостовериться в личности собеседника.

Не используйте один и тот же пароль для входа в рабочие и личные аккаунты. Например, в пароль будет скомпрометирован в результате фишинга через социальные сети, но злоумышленник сможет использовать полученный пароль для входа в корпоративную сеть.

Никогда не присоединяйте к рабочему устройству незнакомые накопители, особенно без предварительной проверки антивирусом.

Как видите, методы простые и знакомые. К сожалению, мы часто забываем об элементарных правилах безопасности и становимся жертвами преступников.






Заказать обратный звонок

Вы можете заказать обратный звонок или позвонить
по телефону 8-800-200-7932






Я даю свое согласие Информационные системы и аутсорсинг (далее – isoit.ru) на обработку, с использованием средств автоматизации или без использования таких средств, моих персональных данных, представленных в настоящем обращении, включая сбор, запись, систематизацию, накопление, хранение, извлечение, использование, обезличивание, удаление и уничтожение персональных данных, в целях обработки настоящего электронного обращения, предоставления информации о результатах его рассмотрения и опросах сайта isoit.ru о качестве обслуживания.

Я согласен на предоставление мне информации посредством электронной почты, телефонных обращений, sms-сообщений, направления почтовой корреспонденции.

Согласие предоставляется с момента оформления настоящего обращения и действует в течение 5 (пяти) лет. Согласие может быть отозвано путем подачи в isoit.ru заявления об отзыве согласия.