Socialni inženiring je način zlorabe, pri katerem napadalec ne išče predvsem tehnične napake v sistemu, temveč poskuša vplivati na človeka. Uporablja zaupanje, strah, radovednost, občutek dolžnosti ali pritisk časa, da bi žrtev razkrila podatke, odprla dostop ali izvedla dejanje v njegovo korist. Zaradi tega so uspešni tudi napadi, pri katerih so naprave in programi sicer dobro zaščiteni.
V praksi socialni inženiring nastopa prek elektronske pošte, telefonskih klicev, družbenih omrežij, osebnih srečanj in lažnih spletnih obrazcev. Napadalec se lahko predstavi kot sodelavec, dostavna služba, banka, tehnična pomoč ali vodstvo podjetja. Njegova največja prednost je prepričljiva zgodba, zaradi katere se zahteva na prvi pogled zdi običajna in smiselna.
Izkoriščanje zaupanja
Napadalci si prizadevajo ustvariti občutek poznanstva ali avtoritete, zato uporabljajo imena sodelavcev, logotipe podjetij in podatke z družbenih omrežij. Sporočilo lahko vsebuje podrobnosti o našem delovnem mestu, trenutnem projektu ali poslovnem partnerju, kar mu daje videz pristnosti.
Več podatkov kot je javno dostopnih, lažje sestavijo zgodbo, ki ustreza resničnim okoliščinam. Zaupanje se gradi tudi postopoma, ne samo z enim samim sporočilom. Nekdo najprej vzpostavi neškodljiv stik, nato začne prositi za manjše informacije in šele pozneje zahteva občutljive podatke ali denar. Če se komunikacija nenadoma spremeni v nujno prošnjo, moramo identiteto pošiljatelja preveriti po drugem kanalu.
Pritisk na osebo in občutek nujnosti
Veliko prevar temelji na trditvi, da moramo ukrepati takoj. Sporočilo lahko omenja blokado računa, zamujeno dostavo, neplačan račun, varnostni incident ali navodilo nadrejenega. Namen pritiska je zmanjšati čas za premislek, saj človek pod stresom hitreje preskoči običajne postopke preverjanja.
Pri nenavadni zahtevi si vedno vzamemo nekaj časa, tudi kadar pošiljatelj poudarja nujnost. Resna organizacija dopušča preverjanje identitete in ne zahteva skrivnega nakazila, razkritja gesla ali posredovanja kode brez dodatnega postopka. Kratek klic na znano številko pogosto razkrije prevaro, še preden nastane škoda.
Lažno predstavljanje oseb
Napadalec se lahko predstavi kot direktor, računovodja, skrbnik sistema ali poslovni partner, pri tem pa prilagodi slog komunikacije posamezni osebi. V podjetjih so posebej nevarne zahteve za spremembo bančnega računa, nujno plačilo ali pošiljanje dokumentov z osebnimi podatki. Prepričljivost še poveča z uporabo pravega podpisa, fotografije ali ukradenega uporabniškega računa.
Imena in prikazane fotografije zato niso dovolj za potrditev identitete. Preveriti moramo celoten naslov pošiljatelja, način izražanja in smisel zahteve glede na običajen delovni postopek. Če sodelavec nenadoma zahteva nekaj nenavadnega, ga kontaktiramo prek že znane številke ali osebno, ne prek kontakta iz prejetega sporočila.
Zbiranje javnih podatkov
Družbena omrežja, poslovne strani in javni registri napadalcem ponujajo veliko informacij za pripravo ciljanega napada. Iz objav lahko ugotovijo, kdo vodi podjetje, kdo skrbi za finance, kdaj je nekdo na dopustu in s katerimi partnerji sodeluje organizacija. Posamezen podatek ni nujno nevaren, vendar kombinacija več virov omogoči zelo prepričljivo komunikacijo, zato moramo premisliti, katere poslovne in osebne informacije objavljamo javno.
Organizacijska struktura, neposredni kontakti zaposlenih in podrobnosti o notranjih postopkih niso vedno primerni za javno predstavitev. Pri podjetjih je smiselno določiti pravila objavljanja, zaposlene pa opozoriti, da tudi neškodljiva objava lahko pomaga pri pripravi učinkovite prevare.
Zaščita pred manipulacijo
Najboljša zaščita temelji na jasnih postopkih, saj posameznik pod pritiskom težje presoja brez vnaprej določenih pravil. Plačila nad določeno vrednostjo naj potrdi več oseb, spremembe bančnih podatkov pa preverimo prek znanega kontakta. Gesel, kod in prijavnih podatkov ne posredujemo po elektronski pošti ali telefonu, ne glede na položaj osebe, ki jih zahteva.
Pomembno je tudi razumevajoče okolje, v katerem zaposleni brez strahu prijavijo sumljivo sporočilo ali lasten napačen klik. Skrivanje napake napadalcu daje več časa, hiter odziv pa zmanjša posledice in prepreči širjenje napada. Redne vaje, resnični primeri in jasna navodila pomagajo, da previdnost postane običajen del dela, ne samo odziv po incidentu.
Comments are closed.