Me kaikki tiedämme hyökkääjien tyypin, joka hyödyntää teknistä asiantuntemustaan tunkeutuakseen suojattuihin tietokonejärjestelmiin ja vaarantaa arkaluonteisia tietoja. Tämä pahantahtoisten näyttelijöiden rotu tuottaa jatkuvasti uutisia ja kannustaa meitä torjumaan heidän hyväksikäytönsä investoimalla uusiin tekniikoihin, jotka vahvistavat verkostomme puolustusta.

On kuitenkin olemassa myös toinen hyökkääjä, joka käyttää erilaisia taktiikoita hameen saamiseksi. työkalumme ja ratkaisumme. Heitä kutsutaan ”yhteiskunnallisiksi insinööreiksi”, koska he käyttävät hyväkseen yhtä heikkoutta, joka löytyy jokaisesta organisaatiosta: ihmispsykologiasta. Nämä hyökkääjät huijaavat ihmisiä puhelupalveluiden ja muun median avulla luovuttamaan pääsyn organisaation arkaluontoisiin tietoihin.

Sosiaalinen suunnittelu on termi, joka kattaa laajan kirjon haitallista toimintaa. Tässä artikkelissa keskitytään viiteen yleisimpään hyökkäystyyppiin, joita sosiaaliset insinöörit käyttävät uhrien kohdentamiseen. Näitä ovat tietojenkalastelu, tekosyöt, syötti, quid pro quo ja tailgating.

Tietojenkalastelu

Tietojenkalastelu on yleisin sosiaalisen suunnittelun hyökkäystyyppi, jota tänään esiintyy. Mutta mikä se on? Korkealla tasolla useimmat tietojenkalasteluyritykset yrittävät saavuttaa kolme asiaa:

• Hanki henkilökohtaisia tietoja, kuten nimet, osoitteet ja sosiaaliturvatunnukset.
• Käytä lyhennettyjä tai harhaanjohtavia linkkejä, jotka ohjaavat käyttäjät epäilyttäville verkkosivustoille, jotka isännöivät tietojenkalastelusivuja.
• Sisällytä t uhkaukset, pelko ja kiireellisyys yrittäessään manipuloida käyttäjää vastaamaan nopeasti.

Ei kahta samanlaista tietojenkalasteluviestiä. Tietokalasteluhyökkäyksiä on oikeastaan vähintään kuusi erilaista alaluokkaa. Lisäksi me kaikki tiedämme, että jotkut ovat huonosti muotoiltuja siinä määrin, että heidän viestinsä kärsivät kirjoitus- ja kieliopivirheistä. Silti näillä sähköposteilla on yleensä sama tavoite käyttää väärennettyjä verkkosivustoja tai lomakkeita käyttäjien kirjautumistietojen ja muiden henkilötietojen varastamiseen.

Äskettäisessä tietojenkalastelukampanjassa käytettiin vaarantunutta sähköpostitiliä hyökkäysviestien lähettämiseen. Nämä viestit pyysivät vastaanottajia tarkistamaan ehdotetun asiakirjan napsauttamalla upotettua URL-osoitetta. Symantecin napsautusajan URL-suojauksen mukana tämä haitallinen URL-osoite ohjasi vastaanottajat vaarantuneelle SharePoint-tilille, joka toimitti toisen haitallisen URL-osoitteen upotettuna OneNote-asiakirjaan. Kyseinen URL puolestaan ohjasi käyttäjät tietojenkalastelusivulle, joka esiintyi Microsoft Office 365 -kirjautumisportaalina.

Pretexting

Pretexting on toinen sosiaalisen suunnittelun muoto, jossa hyökkääjät keskittyvät hyvän tekosivun luomiseen. tai valheellinen skenaario, jota he yrittävät varastaa uhriensa henkilökohtaiset tiedot. Tämän tyyppisissä hyökkäyksissä huijari sanoo yleensä tarvitsevansa tiettyjä bittiä kohteestaan vahvistaakseen henkilöllisyytensä. Tosiasiassa he varastavat kyseisen tiedon ja käyttävät sitä henkilöllisyysvarkauksien tekemiseen tai toissijaisten hyökkäysten toteuttamiseen.

Kehittyneemmät hyökkäykset yrittävät joskus huijata kohteitaan tekemään jotain, mikä väärin organisaation digitaalisia ja / tai fyysisiä heikkouksia. Hyökkääjä voi esimerkiksi esiintyä ulkoisena IT-palvelujen tarkastajana, jotta he voivat puhua kohdeyrityksen fyysisen turvallisuuden tiimille päästämään heidät rakennukseen.

Tietojenkalasteluhyökkäykset hyödyntävät pääasiassa pelkoa ja kiireellisyyttä, tekosyynä hyökkäykset perustuvat väärän luottamuksen rakentamiseen uhrin kanssa. Tämä edellyttää, että hyökkääjä rakentaa uskottavan tarinan, joka jättää vähän epäilyksiä kohteensa kohdalta.

Ennakkotekniikalla voi olla erilaisia muotoja. Silti monet uhkatoimijat, jotka omaksuvat tämän hyökkäystyypin, päättävät naamioida henkilöstöhenkilöstön tai työntekijöiden rahoituskehityksessä. Nämä peitteet antavat heille mahdollisuuden kohdistaa C-tason johtajia, kuten Verizon totesi vuoden 2019 DBIR-raportissaan.

Syöttäminen

Syötti on monella tapaa samanlainen kuin tietojenkalasteluhyökkäykset. Mikä erottaa heidät muunlaisesta sosiaalisesta suunnittelusta, on lupa tuotteesta tai tuotteesta, jota haitalliset toimijat käyttävät houkuttelemaan uhreja. Baiters voi hyödyntää ilmaisen musiikin tai elokuvien lataustarjousta esimerkiksi houkutellakseen käyttäjät luovuttamaan kirjautumistunnuksensa.

Syöttihyökkäykset eivät rajoitu myöskään online-järjestelmiin. Hyökkääjät voivat keskittyä myös ihmisten uteliaisuuden hyödyntämiseen fyysisen median avulla.

Esimerkiksi KrebsOnSecurity kertoi heinäkuussa 2018 Yhdysvaltojen osavaltio- ja paikallishallinnon virastoihin kohdistuneesta hyökkäyskampanjasta. Toimenpide lähetti kiinalaisia postileimattuja kirjekuoria, jotka sisälsivät sekavan kirjeen sekä CD-levyn. Tarkoituksena oli herättää vastaanottajien uteliaisuutta, jotta he lataavat CD-levyn ja siten tahattomasti tartuttavat tietokoneensa haittaohjelmilla.

Quid Pro Quo

Samanlainen kuin syötti, quid pro quo -hyökkäykset lupaavat etu vastineeksi tiedoista. Tämä etu on yleensä palvelun muoto, kun taas syötit ovat yleensä tavaroita.

Yksi yleisimmistä quid pro quo -hyökkäyksistä, joka on tullut viime vuosina esiin, on se, kun huijarit esiintyvät Yhdysvaltain sosiaaliturvalaitoksena (SSA). Nämä väärennetyt SSA-henkilöstö ottavat yhteyttä satunnaisiin henkilöihin, ilmoittavat heille, että heidän tietokoneessaan on ollut ongelma tietokoneessa, ja pyytävät kyseisiä henkilöitä vahvistamaan henkilötunnuksensa henkilöllisyysvarkauksien tekemiseksi. Muissa liittovaltion kauppakomission (FTC) havaitsemissa tapauksissa haitalliset toimijat perustavat väärennettyjä SSA-verkkosivustoja, jotka sanovat voivansa auttaa käyttäjiä hakemaan uusia sosiaaliturvakortteja, mutta yksinkertaisesti varastamaan henkilökohtaisia tietojaan.

On tärkeää Huomaa kuitenkin, että hyökkääjät voivat käyttää quid pro quo -tarjouksia, jotka ovat paljon vähemmän kehittyneempiä kuin SSA-aiheiset ruusut. Kuten aikaisemmat hyökkäykset ovat osoittaneet, toimistotyöntekijät ovat enemmän kuin halukkaita antamaan salasanansa halvalla kynällä tai jopa suklaapatukalla.

Tailgating

Viimeinen sosiaalisen suunnittelun hyökkäystyyppi päivä tunnetaan tailgating tai ”piggybacking”. Tämän tyyppisissä hyökkäyksissä joku, jolla ei ole asianmukaista todennusta, seuraa todennettua työntekijää rajoitetulle alueelle. Hyökkääjä saattaa esiintyä toimituskuljettajana ja odottaa rakennuksen ulkopuolella aloittaakseen asiat. Kun työntekijä saa turvallisuuden hyväksynnän ja avaa oven, hyökkääjä pyytää työntekijää pitämään ovea, jolloin pääsee rakennukseen.

Takaluukku ei toimi kaikissa yritysympäristöissä, kuten suurissa yrityksissä, joiden sisäänkäynnit edellyttävät avainkortin käyttöä. Keskisuurissa yrityksissä , hyökkääjät voivat käydä keskusteluja työntekijöiden kanssa ja käyttää tätä tuntemusta osoittaakseen ohituksen vastaanotosta.

Itse asiassa Colin Greenless, Siemens Enterprise Communicationsin tietoturvakonsultti, käytti näitä taktiikoita saadakseen pääsyn useisiin kerrokset ja datahuone FTSE: n listalla olevalla finanssiyhtiöllä. Hän pystyi jopa perustamaan myymälän kolmannen kerroksen kokoustilaan ja työskentelemään siellä useita päiviä.

Sosiaalitekniikan suositukset

M vihamieliset toimijat, jotka harjoittavat sosiaalista suunnittelua, hyökkäävät ihmisen psykologian ja uteliaisuuden kohteiden tietojen vaarantamiseksi. Kun otetaan huomioon tämä ihmislähtöinen painopiste, organisaatioiden on autettava työntekijöitään torjumaan tämäntyyppisiä hyökkäyksiä.

Tässä on muutamia vinkkejä, jotka organisaatiot voivat sisällyttää tietoturvatietoisuusohjelmiinsa, jotka auttavat käyttäjiä välttää sosiaalisen suunnittelun järjestelmiä:

• Älä avaa sähköposteja epäluotettavista lähteistä. Ota yhteyttä ystävään tai perheenjäseneen henkilökohtaisesti tai puhelimitse, jos saat heiltä epäilyttävän sähköpostiviestin.
• Älä anna vieraiden tarjoamia epäilyksiä. Jos ne näyttävät liian hyviltä ollakseen totta, ne todennäköisesti ovatkin.
• Lukitse kannettava tietokone aina, kun olet poissa työasemastasi.
• Osta virustorjuntaohjelmisto. Mikään AV-ratkaisu ei voi puolustautua kaikilta uhilta, jotka pyrkivät vaarantamaan käyttäjien tiedot, mutta ne voivat kuitenkin auttaa suojautumaan joiltakin.
• Lue yrityksesi tietosuojakäytäntö ymmärtääksesi, missä olosuhteissa voit tai sinun pitäisi päästää muukalainen rakennus.