Conţinut
- Ce este ingineria socială?
- Metode și tehnici de inginerie socială
- Phishing
- In asteptare
- În persoană
- Execuția calului troian
- Morcov sau Stick
- Cumpărați escrocherii
- Apărări împotriva ingineriei sociale
- Educaţie
- Aveți grijă să instalați software de pe site-uri terțe
- Certificate digitale EV
- Scăpați de parole
- Tehnologii de inginerie anti-socială
Varsha este un scriitor entuziast căruia îi place să facă cercetări ample pe teme de interes.
Ce este ingineria socială?
În lumea computerelor, ingineria socială poate fi descrisă ca înșelând pe cineva să facă ceva, adesea dăunător, pentru sine sau pentru alții. Ingineria socială este una dintre cele mai frecvente forme de hacking, deoarece are atât de des succes. Este adesea frustrant pentru victimă, deoarece nu poate fi prevenită folosind singură tehnologia.
Metode și tehnici de inginerie socială
Ingineria socială poate fi realizată în mai multe moduri, inclusiv prin intermediul unui computer, folosind un apel telefonic, în persoană sau utilizând poșta poștală tradițională. Există atât de multe moduri și varietăți de inginerie socială încât orice listă care pretinde să catalogheze toate modurile va pierde unele dintre metode. Când ingineria socială își are originea pe computer, se face de obicei folosind e-mail sau pe web (deși a fost făcută și folosind mesageria instantanee și aproape orice alt tip de program de computer).
Phishing
O țintă obișnuită de inginerie socială este de a captura datele de conectare ale unui utilizator, folosind ceea ce se numește phishing. E-mailurile sau site-urile web de phishing încearcă să păcălească utilizatorul să-și furnizeze acreditările legitime de autentificare, prezentându-se ca un site web legitim sau administrator pe care utilizatorul final îl cunoaște. Cel mai obișnuit truc de phishing este acela de a trimite un e-mail care se pretinde a fi de la un administrator de site-ul web prin care se pretinde că parola utilizatorului trebuie verificată sau că altfel accesul lor la site va fi întrerupt.
Pescuit cu sulita este un tip de încercare de phishing care este orientată în special împotriva unei anumite persoane sau grupuri care utilizează informații nepublică, cu care țintele ar fi familiarizate. Un exemplu de spearphishing este că managerului de proiect i se trimite un document într-un e-mail presupus de la un membru al proiectului care pretinde că este legat de un proiect la care lucrează și, atunci când deschid documentul, execută comenzi rău intenționate. Spearphishingul este adesea implicat în multe dintre cele mai înalte compromisuri corporative.
In asteptare
Escrocii pot apela, de asemenea, utilizatorii care pretind că sunt fie asistență tehnică, fie un furnizor popular, fie de la o agenție guvernamentală.
Una dintre cele mai populare escrocherii este atunci când utilizatorul este chemat de la cineva care pretinde că provine de la asistență tehnică care susține că un program malware a fost detectat pe computerul utilizatorului.
Apoi solicită utilizatorului să descarce un program „anti-malware”, care continuă, fără a fi surprinzător, să detecteze multe, multe programe malware. Apoi îi determină pe utilizator să descarce și să execute un program de acces la distanță, pe care persoana falsă de asistență tehnică îl folosește apoi pentru a se conecta la computerul victimei pentru a planta mai multe programe malware. Programul fals de asistență tehnică culminează atunci când victima cumpără un program fals anti-malware folosind numărul cardului de credit.
Escrocii prin telefon pot pretinde, de asemenea, că provin de la servicii de colectare a impozitelor, de aplicare a legii sau de la alte agenții guvernamentale, care doresc să fie plătiți, astfel încât utilizatorul final să evite pedepse severe sau închisoare.
În persoană
Unele dintre cele mai notorii escrocherii de inginerie socială sunt cele care au fost realizate în persoană chiar de către hacker. Inginerii fizici și sociali sunt bine cunoscuți pentru că intră în bănci și instalează dispozitive de keylogging pe bancomate și intră în bănci și instalează dispozitive de keylogging pe terminalele angajaților în timp ce se prezintă ca oameni care repară computerele. Oricât de neîncrezători sunt oamenii prin natura străinilor, aceștia sunt surprinzător de dezarmați dacă acel străin se întâmplă să fie o persoană reparatoare, mai ales dacă persoana de service spune ceva de genul: „Am auzit că computerul tău a acționat lent în ultima vreme”. Cine poate respinge această afirmație? Persoana care repară știe în mod evident despre problema continuă și este în cele din urmă aici pentru a o remedia.
Execuția calului troian
O altă strategie la fel de populară pentru ingineria socială este folosită pentru a determina utilizatorul final nebănuit să execute un program Trojan Horse. Se poate face prin e-mail, fie ca fișier atașat, fie într-un URL încorporat. Se face pe site-uri web la fel de frecvent. Adesea, un site web legitim este compromis și, atunci când un utilizator care are încredere în vizită încarcă pagina web, utilizatorul este instruit să execute un fișier. Fișierul poate fi un add-on terță parte „necesar”, un detector de antivirus fals sau un patch „necesar”. Site-ul web legitim poate fi compromis direct, sau este un alt element implicat independent, cum ar fi un serviciu de anunțuri banner terță parte. Oricum ar fi, utilizatorul, care de multe ori are încredere în site-ul web legitim după ani de vizite fără probleme, nu are niciun motiv să suspecteze că site-ul web de încredere a fost compromis.
Morcov sau Stick
Utilizatorul final este deseori amenințat cu o penalizare pentru că nu a făcut ceva sau i se promite o recompensă pentru că a făcut ceva. Ruse începe prin a pune victima sub constrângere, deoarece oamenii nu cântăresc riscul la fel de atent în timpul evenimentelor de stres. Trebuie fie să plătească o amendă, fie să meargă la închisoare. Trebuie să ruleze programul sau riscă ca computerul să rămână infectat și să le golească contul bancar. Trebuie să trimită bani sau altcineva la care țin, va rămâne într-o închisoare străină. Trebuie să schimbe parola șefului sau să aibă probleme cu șeful.
Cumpărați escrocherii
O altă înșelătorie predominantă este efectuată împotriva persoanelor care cumpără sau vând bunuri pe site-uri web, cum ar fi site-uri de licitații sau site-uri web similare Craigslist. Victima nevinovată fie cumpără, fie vinde ceva.
La cumpărarea escrocheriilor, cumpărătorul răspunde rapid, de obicei oferă plata întregului preț de achiziție plus transportul și solicită vânzătorului să le folosească
Agenți escrow „de încredere”. Apoi îi trimit victimei un cec fals pentru o sumă mai mare decât suma de achiziție convenită, pe care victima o depune în contul lor bancar. (Din păcate, băncile acceptă cu ușurință aceste cecuri false, dar în cele din urmă fac victima responsabilă pentru banii pierduți.) Cumpărătorul îi cere vânzătorului victimă să returneze banii „în plus” expeditorului sau agentului de garanție. Vânzătorul victimă este de obicei în afara cel puțin acelei sume la final.
În vânzarea de escrocherii, cumpărătorul victimă trimite fondurile, dar nu primește niciodată bunurile. Media escrocheriei de vânzare este de cel puțin o mie de dolari. Media escrocheriei de cumpărare poate fi de zeci de mii de dolari.
Apărări împotriva ingineriei sociale
Educaţie
Instruirea anti-socială în inginerie este una dintre cele mai bune, cele mai esențiale apărări împotriva ingineriei sociale. Instruirea trebuie să includă exemple ale celor mai frecvente tipuri de inginerie socială și modul în care potențialele victime pot detecta semnele ilegitimității.
Toți utilizatorii de computere trebuie să fie învățați despre tactica ingineriei sociale. Oamenii care cumpără și vând bunuri pe internet trebuie să fie educați cu privire la escrocheriile de cumpărare. Aceștia ar trebui să utilizeze doar servicii legitime de depunere în garanție și să respecte toate recomandările site-ului web pentru o tranzacție nepoluată.
Aveți grijă să instalați software de pe site-uri terțe
Utilizatorii ar trebui învățați să nu instaleze niciodată un program software direct de pe un site web pe care îl accesează, cu excepția cazului în care este site-ul web al furnizorului legitim care a creat software-ul. Dacă un site web spune că trebuie să instalați o parte din software-ul terț pentru a-l vizualiza în continuare și credeți că este o solicitare legitimă, părăsiți site-ul web și accesați site-ul web al furnizorului de software pentru al instala. Nu instalați niciodată software-ul altui furnizor de pe site-ul altcuiva. S-ar putea să fie de fapt software legitim, dar riscul este prea mare.
Certificate digitale EV
Navigatorii web ar trebui învățați să caute certificatele digitale de „validare extinsă” (EV) (https://en.wikipedia.org/wiki/Extended_Validation_Certificate) pe multe dintre cele mai populare site-uri web. Site-urile web EV sunt adesea evidențiate într-un fel (de obicei o bară de adrese verde sau un nume verde evidențiat) pentru a confirma utilizatorului că adresa URL și identitatea site-ului web au fost confirmate de către o terță parte de încredere.
Scăpați de parole
Phishingul de acreditare nu poate funcționa dacă angajatul nu își poate da datele de autentificare. Numele de autentificare simple cu parole dispar în favoarea autentificării cu doi factori (2FA), a certificatelor digitale, a dispozitivelor de autentificare, a autentificării în afara benzii și a altor metode de autentificare care nu pot fi phishing.
Tehnologii de inginerie anti-socială
Cele mai multe soluții anti-malware, software de filtrare web și soluții de e-mail anti-spam încearcă să minimizeze ingineria socială realizată cu ajutorul computerelor. Software-ul anti-malware va încerca să detecteze execuția fișierelor dăunătoare. Programul de filtrare web va încerca să identifice site-urile web dăunătoare pe măsură ce browserul vizitatorului încearcă să încarce pagina. Și soluțiile de e-mail anti-spam filtrează adesea e-mailurile de inginerie socială. Cu toate acestea, tehnologia nu va avea niciodată un succes complet, astfel încât instruirea utilizatorilor finali și alte metode trebuie utilizate împreună.
Ingineria socială este o metodă de hacking foarte reușită. Unii experți în securitate informatică vă vor spune că nu puteți face suficientă formare pentru a conștientiza cu succes toți angajații de tactica ingineriei sociale. Greșesc. O combinație de formare suficientă și tehnologiile potrivite poate reduce semnificativ riscul ingineriei sociale.
Acest articol este corect și fidel, după cunoștințele autorului. Conținutul are doar scop informativ sau de divertisment și nu înlocuiește consilierea personală sau sfatul profesional în probleme de afaceri, financiare, juridice sau tehnice.
