Socijalni inženjering predstavlja niz tehnika pomoću kojih pojedinac utječe na drugog pojedinca kako bi ga naveo da učini nešto što nije u njegovom interesu, a čini to na način da iskorištava ljudske slabosti i pogreške. Najčešće se koristi za veliki spektar zlonamjernih aktivnosti, odnosno kako bi se otkrile povjerljive informacije ili pristupilo nekim drugim resursima do kojih napadač inače ne bi mogao doći. Korisnike se navodi da naprave sigurnosne pogreške kroz psihološku manipulaciju. Napadači obično žele prevariti korisnike kako bi im dali svoje lozinke, informacije o bankovnom računu ili pristup njihovom računalu kako bi u tajnosti instalirali zlonamjerni softver.
Kako izgleda socijalni inženjering?
Napadači se uvijek trude ostaviti dojam legitimnosti. U porukama često navode neki poznati podatak o korisniku kako bi iskoristili povjerenje ciljanih korisnika te kako bi korisnici učinili ono što napadači žele. Napadači se ponekad usmjere na prikupljanje detaljnih informacija o određenom korisniku umjesto da prikupljaju osnovne informacije većeg broja korisnika, a time si osiguravaju slanje osobnije poruke koja može biti vezana uz specifične interese korisnika, bliske ljude osobe i privatne informacije. Na taj način povećavaju dojam uvjerljivosti, ali i šansu za uspješno ostvarivanje kontakta sa žrtvom.
Kada napadač uspije izmanipulirati lozinku e-pošte jedne osobe, on dobiva pristup kontaktima te osobe, a ukoliko osoba koristi istu lozinku za više računa, tada napadač može pristupiti kontaktima te osobe i na svim društvenim mrežama na kojima koristi istu lozinku. Napadač tada preuzima kontrolu na tim računima, te šalje poruke svim kontaktima osobe.
Poruke socijalnog inženjeringa najčešće sadrže linkove, a kada dobijemo link od nekoga od svojih prijatelja, vrlo je lako povjerovati da to uistinu dolazi od njega te je lako nasjesti. U tom trenutku smo zaraženi zlonamjernim softverom te napadač može preuzeti kontrolu nad našim uređajem i prevariti naše kontakte baš kao što je prevario i nas. Osim linkova, poruke socijalnog inženjeringa često sadrže i preuzimanje dokumenata, glazbe i slika.
Koje su tehnike socijalnog inženjeringa?
- Phishing – Ovakvi napadi su poruke koje su usmjerene na stvaranje osjećaja hitnosti, straha ili znatiželje kod žrtava. Potiču žrtve da otkriju osjetljive informacije, da kliknu na poveznice koje ih zatim mogu voditi do zlonamjernih web stranica ili poveznice sadrže zlonamjerni softver.
- Pretexting – Ovakvi napadi obično započinju uspostavljanjem povjerenja s žrtvom gdje se napadač pretvara da je žrtvin kolega s posla, policajac, djelatnik banke i slično, te žrtvi postavlja pitanja koja su navodno potrebna kako bi se potvrdila identifikacija žrtve i na taj način prikuplja važne osobne podatke.
- Spear phishing – Kod ovakvog napada napadač odabire specifične pojedince ili tvrtke te prilagođava svoje poruke na temelju radnih pozicija, karakteristika i kontakata njihovih žrtava kako bi njihov napad bio manje upadljiv. Za ovakav napad potrebno je više truda te može potrajati i po nekoliko mjeseci. Primjer bi bio napadač koji se pretvara da je IT konzultant određene organizacije koji šalje e-poštu zaposlenicima (ili jednom zaposleniku). Poruka je obično oblikovana te potpisana točno na način na koji konzultant to obično sastavlja, te poruka često izgleda vrlo autentično. Poruka potiče primatelja da promijeni svoju lozinku te mu nudi poveznicu koja ga zatim preusmjerava na zlonamjernu stranicu gdje napadač uzima njegove podatke za prijavu.
- Scareware – Ovakvi napadi uključuju bombardiranje žrtava lažnim upozorenjima i prijetnjama. Korisnike se zavede kako bi mislili da je njihov sustav zaražen zlonamjernim softverom, potiče ih se da instaliraju softver koji za njih nema stvarne koristi (ali ima za počinitelja) ili je sam zlonamjerni softver. Jedan od primjera su pop-up baneri koji izgledaj legitimno te se pojavljuju u preglednicima i prikazuju tekst kako vaše računalo možda ima štetne programe za prisluškivanje te vam nude instalaciju alata koji su često zaraženi zlonamjernim softverom. Mogu vas i usmjeriti na zlonamjernu stranicu te na taj način zaraziti vaše računalo. Još jedan primjer su spam e-poruke koje dijele lažna upozorenja ili nude kupnju štetnih usluga.
- Iskušavanje – Ovakvi napadi privlače korisnika u zamku koja inficira njegove sustave zlonamjernim softverom ili krade njegove osobne podatke. Jedan od oblika je korištenje fizičkih medija kako bi se širio zlonamjerni softver. Na primjer, napadači mogu ostaviti mamac – zaraženi USB flash pogon – u kupaonici tvrtke (ili drugim uočljivim mjestima) te staviti naljepnicu da je na USB flash pogonu popis plaća tvrtke. Tada žrtve mogu uzeti USB flash pogon te ga umetnuti u računalo i automatski instalirati zlonamjerni softver na sustavu.
Kako se zaštiti?
Važno je da nikada nikome putem poruka ne odajete svoje financijske informacije ili lozinke, te općenito svoje osobne podatke. Zapamtite da vas pouzdane organizacije i tvrtke vjerojatno neće kontaktirati kako bi vam pružile pomoć (osim ako ju niste sami zatražili) niti tražiti osobne informacije putem poruka. Nemojte otvarati e-poruke i poveznice sumnjivih izvora. Ukoliko vam bliska osoba pošalje poveznicu, dobro je telefonski se čuti s osobom i provjeriti je li vam ta osoba uistinu poslala poveznicu. Adrese e-pošte se često krivotvore, stoga i e-pošta koja navodno dolazi od pouzdanog izvora zapravo može biti od strane napadača. Ukoliko vam nešto zvuči previše primamljivo, dobro razmislite o tome jer postoje velike šanse da se radi o prevari. Svakako je dobro i instalirati antivirusni program.
Posljedice uspješnog napada najčešće uključuju gubitak povjerljivih i privatnih informacija, korištenje podataka za daljnje napade, emocionalni pritisak, gubitak ugleda te materijalni gubitak, stoga je iznimno važno biti na oprezu.
Imate dodatnih pitanja o ovoj temi? Stručnjaci Centra za sigurniji Internet vam stoje na raspolaganju za sva pitanja i nedoumice na besplatnoj i anonimnoj liniji Centra dostupnoj na broju 0800 606 606, svaki radni dan od 08:00 do 16:00 sati.
Powered by A1 Hrvatska.