Czym jest socjotechnika?
Socjotechnika, nazywana również inżynierią społeczną (ang. Social engineering) to zespół skutecznych sposobów manipulowania ludzkimi zrachowaniami oraz wpływania na społeczeństwo w celu osiągnięcia określonych celów. To szerokie pojęcie i można je rozpatrywać zarówno jako naukę jaki i praktyczne działania indywidualne lub grupowe zmierzające do uzyskania pożądanego zachowania jednostek bądź całych grup społecznych. Niezależnie od tego, gdzie i w jakich sytuacjach są stosowane, zazwyczaj socjotechniki opierają się na jednym lub kilku z poniższych sposobów manipulacji:
- pozorny wybór – przedstawianie kilku punktów widzenia, ale tylko jeden przekonywujący;
- ośmieszanie –ośmieszanie nieodpowiadających idei;
- autorytet – powoływanie się na powszechnie akceptowany autorytet aby przekonać do swoich racji
- transfer – próba skojarzenia swojego przesłanie z pozytywnym pojęciem ugruntowanym wśród odbiorców,
- selekcja faktów – wybieranie faktów tylko wygodnych i pozwolenie odbiorcom na dostęp tylko do jego przekazu
- zamiana nazw (nowomowa) – tworzenie nowych pojęć, którym nadaje się silne tło emocjonalne, a potem wykorzystuje je masowo w konstruowaniu komunikatów przekazywanych manipulowanym osobom;
- zdanie większości – sprawianie wrażenia, że nasze zdanie podziela większość
- kłamstwo – kłamanie oraz łączenie kłamstw z faktami, aby je uprawdopodobnić
- slogany – specjalista od socjotechniki wymyśla slogan lub stereotyp, który stara się potem jak najbardziej rozpowszechnić;
- tło emocjonalne – inżynieria społeczna stara się swój przekaz skojarzyć z elementami budzącymi uczucia, mogą to być, w zależności od celu, pozytywne lub negatywne emocje .
Socjotechnika jest powszechnie wykorzystywana w wielu dziadzinach społecznych, w tym w polityce, biznesie ale również przez różnego rodzaju oszustów, również tych działających w cyber-przestrzeni.
Socjotechnika – co to jest w kontekście cyberbezpieczeństwa?
Socjotechnika opiera się na wywieraniu wpływu na osobę, za pomocą przekonywania do swoich racji lub często intensyfikacji lęku. Jest sztuką manipulacji, którą wykorystuje się w celu wyłudzenia wartościowych informacji, takich jak np. dane kont bankowych lub haseł chroniących dane firmy, a wszystko to bez zwrócenia na siebie uwagi przez poszkodowanego. Cyberoszuści podszywają się często pod pracowników banków, serwisów komputerowych lub innych instytucji, aby pozyskać poufne informacje i skłonić do przelania kwot na fałszywe konta bankowe.
Metody socjotechniczne do przeprowadzania ataków hakerskich
Przede wszystkim są to metody manipulacji, perswazji i intensyfikowania lęku. Mimo że skutki i przebieg “ataków” może się różnić, to wszystkie te metody sprowadzają się do wywierania silnego wpływu na potencjalnej ofierze. Głównym narzędziem perswazyjnym jest wykorzystywanie emocji u ofiary i zebranych wcześniej informacji do osiągnięcia swojego celu. Cyberprzestępcy mogą dokonać manipulować za pomocą social mediów, komunikatorów, wysyłania e-maili, telefonu, czy używając osobistych kontaktów. Bazują na różnego rodzaju podstępach i specyficznych okolicznościach, aby przyciągnąć uwagę ofiary.
Przykłady cyber-oszustw z wykorzystaniem metod socjotechnicznych
Socjotechnika w cyberprzestępczości występuje najczęściej w formach takich jak:
- Phishing – atak za pomocą poczty e-mail;
- Spoofing – podszywanie się pod instytucje takie jak na przykład banki, ZUS, Urząd Skarbowy;
- Atak na przynętę – podobny do phishingu, opierający się na korzyści dla zwabienia ofiary w zamian za podanie prywatnych danych;
- Atak typu „watering hole”- atakujący zastawiają pułapkę, naruszając bezpieczeństwo strony internetowej, która prawdopodobnie będzie odwiedzana przez określoną grupę osób, zamiast atakować tę grupę bezpośrednio. Przykładem są strony branżowe, które często wyświetlają pracownicy danego sektora, takiego jak energetyka czy usługi publiczne. Sprawcy ataku typu „watering hole” naruszają bezpieczeństwo strony internetowej, dążąc do złapania w pułapkę osoby z tej grupy docelowej. Prawdopodobnie przeprowadzą dalsze ataki, gdy docelowe ofiary trafią (najczęściej niezauważenie) na wspomnianą, zastawioną pułapkę;
- Quid pro quo – atakujący kontaktuje się z losowymi osobami w firmie, twierdząc, że dzwoni z uzasadnionego powodu. Jeśli znajdzie kogoś z prawdziwym problemem, kto będzie wdzięczny za proaktywną pomoc, spróbuje pozyskać poufne informacje od ofiary, pomagając jej w rozwiązaniu problemu.
Jak się chronić przed socjotechnicznymi metodami ataków hakerskich?
Jak ochronić siebie i firmę przed socjotechnicznymi metodami ataków? Z pewnością warto zwiększyć świadomość o istniejącym zagrożeniu wśród pracowników oraz zwrócić ich uwagę na weryfikację niepokojących wzorców. ASCO Cyber prowadzi szkolenia Security awarness dla firm, w których przedstawimy najnowsze metody oszustów oraz przydatne dobre praktyki. Niezwykle ważna jest umiejętność dostrzegania podchwytliwych sygnałów od niepewnych źródeł. Z tego powodu trzeba być wyczulonym na podejrzane rozmowy telefoniczne i pod żadnym warunkiem nie podawać swoich danych, nie mając uprzednio pewności o autentyczności źródła. Należy również zrozumieć popularne i pochodne im techniki manipulacji. Oprócz tego trzeba mieć pewność, że hasła wykorzystywane przez firmę, spełniają wymogi dotyczące liczby i rodzajów znaków, oraz są regularnie zmieniane. Powinno się także zabezpieczyć wieloma warstwami pocztę elektroniczną, aby zmniejszyć ryzyko ataków. Wszelkie incydenty związane z atakami należy zgłaszać do odpowiednich służb, by nie pozwolić na dalsze rozprzestrzenianie się zagrożenia.
Sposoby ochrony przed atakami socjotechnicznymi
Poniżej przedstawiamy podstawowe sposoby, które niejednokrotnie pomogą uchronić siebie i organizację przed poddaniem się atakom socjotechnicznym, są to m.in:
- Zachowanie czujności podczas rozmów telefonicznych – oszuści mogą podszywać się pod bank lub inne instytucje, usiłując wydobyć prywatne informacje od swojej ofiary. Aby zweryfikować autentyczność rozmówcy warto zapisać jego imię i nazwisko, oraz firmę której jest przedstawicielem. W przypadku wątpliwości najlepszym sposobem jest zakończenie rozmowy i wykonanie samodzielnego połączenia do placówki instytucji, czy też banku, która uprzednio rzekomo się z nami skontaktowała.
- Ochrona danych – dane do logowania do bankowości internetowej, e-tożsamości, skrzynki e-mail ani dane kart kredytowych nie powinny być nikomu przekazywane, nawet jeśli prosi o to znajomy przez portal społecznościowy. Należy się z nim skontaktować osobiście lub telefonicznie, aby upewnić się, że jego konto nie zostało zhakowane.
- Ignorowanie niechcianych ofert – nie należy akceptować i otwierać niechcianych ofert, nawet po namowach drugiej strony, może to doprowadzić do naruszenia bezpieczeństwa w wyniku zainfekowanego pliku z ofertą.
- Unikanie podejrzanych linków w e-mailach – kliknięcie linku zawartego w niezweryfikowanym e-mailu, niesie za sobą wysokie ryzyko zainfekowania urządzenia, a nawet całej sieci urządzeń, do której podłączony jest sprzęt poddany atakowi.
- Wielowarstwowa ochrona sieci, ochrona urządzeń, kopie bezpieczeństwa i wsparcie ds. cyberbezpieczeństwa – tak kompleksowe podejście do kwestii bezpieczeństwa pozwala na uniknięcie bądź neutralizację większości ataków.
Pamiętajmy, że ludzie zawsze będą podatni na manipulacje i oszustwa i nie możemy uniknąć takich sytuacji; możemy natomiast mieć skuteczne narzędzia, które ochronią nasze informację nawet w przypadku popełnienia błędu przez człowieka.
Źródła:
https://www.gov.pl/web/baza-wiedzy/socjotechnika–dlaczego-cyberprzestepcy-sa-skuteczni
https://www.barracuda.com/support/glossary/social-engineering
