Легко взломать компьютер, но еще легче "взломать" человека
Основной задачей является получение доверия со стороны жертвы любыми способами, будь то интернет-мошенничество или же воздействие непосредственно на человека, например, личная встреча или разговор.
Существует несколько основных методов социальной инженерии:
- кардинг (мошеннические действия, связанные с реквизитами банковских карт )
- фишинг (рассылка вредоносных писем на электронную почту, либо направление человека на мошеннические сайты с целью завладевания вашими логинами и паролями от важных сайтов, аккаунтов, счетов в банке и т.д. )
- фарминг (скрытое перенаправление пользователя на ложный IP адрес)
- смс-атаки
- взлом социальных сетей
- психологические приемы
На практике очень много примеров психологического воздействия мошенников на других людей:
- Пример мошенничества в соц.сетях
- Десять примеров социальной инженерии
- Социальному инженеру может потребоваться доступ на территорию компании/предприятия, и для этого он изучит, как устроен ваш пропускной режим. Различная информация, такая как: расположение камер видео-наблюдения, количество и вид зоны общего доступа, есть ли возможность пройти без проверки документов, какие люди являются более лояльными и сговорчивыми. Для проникновения на территорию могут быть использованы самые безобидные, на первый взгляд, предлоги. Социальный инженер может сказать, что ему стало плохо, срочно требуется посетить дамскую комнату, позвонить ребенку и т. д. Это может быть группа лиц, один из которых будет отвлекать вахтера.
- Еще одно слабое место – приемная руководителя, где имеется возможность пообщаться с секретарем или же с посетителями, узнав при этом необходимую информацию, посмотреть, какие документы лежат на столе,
- Представившись кандидатом на определенную должность, злоумышленник может начать разговор с другими сотрудниками и узнавать о структуре и деятельности предприятия, будущих должностных обязанностях, может свободно ходить по территории, изучать названия кабинетов. Таким образом создается более доверительное отношение к человеку, который является потенциальным коллегой.
- Социальные инженеры разведывают информацию не только при личной встрече, они могут позвонить по телефону, представляясь специалистом технической поддержки/ сотрудником банка/ социологом т.д. и попытаться получить важные данные или обманом заставить сотрудника перейти по нужной ссылке, ввести пароль, скачать и запустить посторонний файл.
Что делать?
1) Определить информацию, уязвимую к атаке
Все сотрудники должны уметь классифицировать информацию по степени защищенности и понимать, раскрытие каких данных может причинить вред компании.
2) Повысить компетентность в вопросах информационной безопасности
Сотрудникам компании необходимо знать, каким атакам может быть подвержена та или иная информация, как поступать в подобных ситуациях.
3) Ограничить права доступа к информационным системам
Доступ на копирование, скачивание, изменение информации должны иметь только те сотрудники, которым это необходимо для выполнения должностных обязанностей. В некоторых компаниях целесообразно запретить использование съемных носителей.
4) Подготовить инструкции по обмену информацией
Все должны иметь четкие инструкции о том, в каких условиях они могут раскрыть важную для компании информацию. В инструкции можно указать, какие сведения можно передавать службам техподдержки, представителям контролирующих органов и т. п.
5) Обновить антивирусное ПО до актуальной версии
Благодаря этому можно снизить процент уязвимости к массовым фишинговым атакам.
Небольшое, но интересное видео о том, как защититься от социальной инженерии.
Источники:
Комментариев нет:
Отправить комментарий