Atacuri de tip inginerie socială

O idee greșită despre atacatorii cibernetici este că aceștia folosesc doar instrumente și tehnici foarte avansate pentru a sparge computerele sau conturile oamenilor. Atacatorii cibernetici au învățat că cea mai ușoară modalitate de a vă fura informațiile, de a vă pirata conturile sau de a vă infecta computerul este să vă înșele print-o tehnică numită inginerie socială, să faceți dvs. aceste lucruri pentru ei. 

Ce este ingineria socială

Ingineria socială este un atac psihologic în care un atacator vă convinge să faceți ceva ce nu ar trebui să faceți prin diverse tehnici de manipulare. Gândiți-vă la escroci; este aceeași idee. Cu toate acestea, tehnologia de astăzi face mult mai ușor pentru orice atacator de oriunde din lume, să se prefacă că este orice sau oricine dorește și să vizeze pe oricine din întreaga lume, inclusiv pe dvs. Să ne uităm la două exemple din lumea reală:

1. Primiți un telefon de la cineva care pretinde că este de la guvern și care vă informează că nu v-ați achitat taxele și dacă nu o faceți imediat, veți fi amendat sau arestat. Apoi, vă presează să plătiți prin telefon cu un card de credit, un card cadou sau un transfer bancar, avertizându-vă că, dacă nu plătiți, puteți merge la închisoare. Apelantul de fapt nu este de la guvern, ci un atacator care încearcă să vă păcălească să-i dați bani.
2. Un alt exemplu este atacul pe e-mail numit phishing. Adică atunci când atacatorii creează un e-mail care încearcă să vă păcălească să luați o acțiune, cum ar fi deschiderea unui atașament infectat, clicul pe un link rău intenționat sau dezvăluirea unor informații confidențiale. Uneori, e-mailurile de phishing sunt generice și ușor de identificat, cum ar fi insinuarea că provin de la o bancă. Alteori, e-mailurile de phishing pot fi personalizate, deoarece atacatorii își analizează mai întâi țintele, cum ar fi un e-mail de phishing care pretinde că vine de la șeful sau colegul dvs.

Rețineți că astfel de atacuri de inginerie socială nu se limitează la apeluri telefonice sau e-mailuri; pot avea loc sub orice formă, inclusiv prin mesaje text, prin intermediul rețelelor sociale sau chiar în persoană. Cheia este să știți ce indicii trebuie să cautați.

Tehnici de inginerie socială

Spamul reprezintă orice formă de comunicare nesolicitată de destinatar, trimisă în masă. Cel mai adesea, spamul are forma mesajelor e-mail trimise unui număr cât mai mare posibil de utilizatori, dar poate fi și un mesaj livrat prin mesaje text, SMS sau social media. Spamul nu reprezintă o tehnică de inginerie socială în sine, dar unele dintre formele sale evoluate utilizează metode de inginerie socială precum phishing, spearphishing, vishing, smishing sau transmiterea de atașamente ori linkuri rău intenționate.

Phishingul este o formă de atac cibernetic în care infractorul imită o entitate de încredere pentru a solicita informații cu caracter confidențial victimei. Aceste tipuri de fraudă încearcă, de obicei, să creeze un sentiment de urgență sau folosesc tactici de constrângere pentru a determina victima să îndeplinească solicitările atacatorului. Campaniile de phishing pot viza un număr mare de utilizatori anonimi, ori o anumită victimă sau mai multe, vizate distinct.

Dar acestea nu sunt singure tehnici de inginerie socială folosite, utilizatorii ar trebui să fie atenți și la următoarele atacuri posibile:

Spearphishing-ul este o formă țintită de phishing în care atacatorul trimite mesaje foarte personalizate unui grup limitat de persoane sau chiar unei singure persoane, cu scopul de a colecta datele lor de acces la sisteme sau aplicații sau de a le manipula pentru a efectua acțiuni care le compromit securitatea conturilor sau datelor.

Vishing-ul și smishing-ul sunt tehnici de inginerie socială similare cu phishing-ul, dar efectuate prin alte mijloace decât e-mailul. Vishing-ul (phishing-ul vocal) folosește apeluri telefonice frauduloase, în timp ce smishing-ul (phishing-ul prin SMS) folosește mesaje text SMS care conțin linkuri sau conținut rău intenționat.

Impersonarea unei identități digitale în securitatea cibernetică se aseamănă cu echivalentul său din lumea reală. Infractorii cibernetici acționează în numele unei persoane de încredere și înșală victimele cu scopul de a le aduce un prejudiciu personal sau la nivel de business. Un exemplu obișnuit este un atacator ce se dă drept CEO-ul unei companii, atunci când CEO-ul are câteva zile libere, timp în care dă comenzi și aprobă tranzacții frauduloase.

Escrocheriile de asistență tehnică sunt de obicei reprezentate de apeluri telefonice false sau reclame web în care atacatorii oferă victimelor servicii de asistență tehnică nesolicitate. În realitate, infractorii cibernetici încearcă să câștige bani prin vânzarea de servicii false și prin eliminarea unor probleme inexistente.

Scareware-ul este un software care utilizează diverse tehnici de inducere a fricii pentru a manipula victimele în instalarea de coduri rău intenționate suplimentare pe dispozitivele lor, în timp ce extrage plăți, propunând soluții software salvatoare care sunt nefuncționale sau rău intenționate. Un exemplu tipic de scareware sunt falsele produse antivirus concepute pentru a înșela utilizatorii să creadă că dispozitivele lor au fost compromise și că trebuie să instaleze un software specific (de obicei dăunător sau inutil) pentru a elimina problema depistată.

Escrocheriile cibernetice sunt scheme frauduloase care folosesc adesea una sau chiar mai multe dintre tehnicile de inginerie socială descrise mai sus.

Indicii comune ale unui atac de inginerie socială

Din fericire, bunul simț este adesea cea mai bună apărare a dvs. Dacă ceva pare suspect sau în neregulă, poate fi un atac. Cele mai frecvente indicii includ:

• O senzație acută de urgență sau criză. Atacatorii încearcă să vă grăbească să greșiți. Cu cât senzația de urgență este mai mare, cu atât este mai probabil să fie vorba de un atac.
• Presiunea de a ocoli sau ignora politicile sau procedurile de securitate pe care trebuie să le urmați la locul de muncă.
• Solicitări de informații sensibile la care nu ar trebui să aibă acces sau pe care ar trebui să le cunoască deja, cum ar fi numere de cont.
• Un e-mail sau un mesaj de la un prieten sau coleg de serviciu, și al cărui ton nu sună ca de obicei – poate că formularea este ciudată sau semnătura nu este corectă.
• Un e-mail care pare a fi de la un coleg sau o companie legitimă, dar e-mailul este trimis utilizând o adresă personală, cum ar fi @ gmail.com.
• Incitarea curiozității sau ceva care pare prea bun pentru a fi adevărat. De exemplu, sunteți informat că pachetul dvs. are întârziere, chiar dacă nu ați comandat nici un pachet sau că ați câștigat un premiu într-un concurs la care nu ați participat.

Dacă bănuiți că cineva încearcă să vă înșele, nu mai comunicați cu persoana respectivă. Nu uitați, bunul simț este adesea cea mai bună apărare a dvs.

Recomandări:

1. Ghid de securitate cibernetică

2. Cybersecurity Guide

3. Ghidul siguranței datelor pe internet

4. Securitatea digitala a copiilor

5. Ghid de utilizare a dispozitivelor mobile cu Android, dedicat companiilor

SURSE: sans.org, blog.eset.ro, CERT-RO