Социальная инженерия представляет собой серьезную, но часто игнорируемую угрозу для бизнеса. В то время как большинство компаний концентрируют свои усилия по обеспечению безопасности на технических уязвимостях, человеческий фактор остается самым слабым звеном. Раз за разом происходят инциденты, которые показывают, что просто позвонить сотруднику или отправить искусно составленное электронное письмо - это все, что нужно хакерам, чтобы проникнуть даже в самые надежные сети.
В этой статье мы расскажем о социальной инженерии и о том, почему осознание этого критического риска крайне необходимо в вашей организации.
Социальная инженерия - это методы манипуляции людьми для получения доступа к конфиденциальной информации. Основной целью социальной инженерии является обман человека для получения ценных данных или вынуждения его совершить действия, на которые этот человек обычно не пошел бы. Выгоду получает лишь манипулятор.
Почему социальная инженерия так распространена? Это форма психологического манипулирования, которая опирается на человеческую природу и желание нравиться, вызывать доверие или быть полезным.
Термин "социальная инженерия" был впервые введен в 1960-х годах группой социологов, изучавших способы воздействия на людей с целью изменения их поведения. Однако сама концепция социальной инженерии существует гораздо дольше, ведь ее можно отнести к древним грекам и римлянам, которые использовали риторику и убеждение, чтобы влиять на поведение своих последователей и простых людей.
В начале XX века социальная инженерия стала использоваться правительствами и бизнесом для продвижения собственных целей. Это может быть как очень умелая правительственная пропаганда, так и маркетинговые ходы.
В 1950-х и 1960-х годах социальные инженеры нанимались компаниями для разработки маркетинговых кампаний, которые бы обращались к эмоциям и желаниям потребителей. Именно таким образом многие компании сумели завоевать доверие потребителей и даже изменить их мнение.
Уже в 1970-х годах социальная инженерия стала использоваться в преступных целях. Преступники использовали манипулятивные методы, чтобы обманом заставить людей отдать им деньги или личную информацию. Этот вид социальной инженерии известен сегодня как "фишинг".
В 1990-х годах социальная инженерия стала еще более распространенной с появлением Интернета. Поддельные веб-сайты и электронные письма, которые выглядели законными, усыпляли бдительность новоиспеченных пользователей глобальной сетью и заставляли поступиться мерами безопасности. Этот вид социальной инженерии известен как "спуфинг".
В наше время техники социальной инженерии стали более развитыми. Злоумышленники нередко выдают себя за техподдержку компаний, чтобы получить доступ к учетным записям или системам. Также распространен давно известный фишинг - метод мошенничества, когда пользователю отправляют поддельные электронные письма от банка или интернет-магазина для кражи данных.
В современном мире социальная инженерия стала одним из основных рисков для корпоративной и личной безопасности. Ее методы постоянно совершенствуются, поэтому необходима большая осведомленность о таких угрозах.
Социальная инженерия работает, используя человеческую природу.
Существует множество различных методов социальной инженерии, которые ограничиваются лишь изобретательностью тех, кто ее использует. Однако можно выделить основные:
Статистика атак ежегодно показывает, сколько миллионов теряют граждане и организации из-за социальной инженерии. Например, атаки, связанные с компрометацией деловой электронной почты, в 2022 году обойдутся американским жертвам более чем в 2,7 миллиарда долларов.
Никто не защищен от атаки, однако при несоблюдении правил безопасности сотрудниками компаний атака может принести непоправимый ущерб намного большему количеству людей.
В 2014 году группа, известная как "Guardians of Peace" (GOP), атаковала компанию Sony Pictures Entertainment с помощью фишинговых писем, маскирующихся под официальные сообщения от надежных источников. GOP обманом заставила сотрудников Sony раскрыть свои учетные данные и перейти по вредоносным ссылкам, которые открывали доступ к системам компании.
Проникнув внутрь, хакеры оставались незамеченными как минимум два месяца, в течение которых они установили прослушивающий имплант, бэкдор, прокси-сервер, инструмент для уничтожения жесткого диска и инструмент для очистки, чтобы избавиться от следов атаки. Впоследствии они слили огромное количество конфиденциальных данных, включая невыпущенные фильмы ("Annie", "Fury" и "The Interview"), конфиденциальные деловые документы, записи сотрудников и частные разговоры по электронной почте.
Утечка электронных писем также была особенно губительна, поскольку в них раскрывались нефильтрованные разговоры между руководителями и другими деятелями индустрии, откровенные мнения о знаменитостях, актерах и деловых партнерах.
Кто стоит за GOP, остается неизвестным.
В случае с Sony Pictures Entertainment можно однозначно говорить о финансовом ущербе компании и некоторой потере репутации. Однако случай с Google Drive привел к возникновению жертв среди рядовых пользователей.
В 2020 году, используя баг в Google Drive, мошенники рассылали кажущиеся подлинными push-уведомления и электронные письма от Google, побуждая пользователей Gmail нажать на кнопку "Открыть в Docs". После этого пользователи попадали на подлинную страницу Google, где их просили дать разрешение легитимному на первый взгляд сервису под названием "Google Docs" на доступ к данным их почтового аккаунта.
После предоставления разрешения, мошенники получали доступ к учетной записи электронной почты, контактам и онлайн-документам жертвы. Затем вредоносная программа автоматически отправляла электронные письма всем, кто был в списке контактов жертвы, чтобы распространить себя дальше.
Получив сообщения от жертв, компания Google незамедлительно удалила документы, использовавшиеся в мошенничестве, и устранила недостаток в системе безопасности.
Крупные случаи атак социальной инженерии быстро распространяются в Интернете и заставляют другие компании задуматься о мерах безопасности. Однако не менее уязвимы и обычные люди.
Обучение сотрудников - важнейшая часть программы безопасности любой организации. Сотрудники должны быть осведомлены о том, как распознавать атаки социальной инженерии и как на них реагировать. Понимание важности защиты своей личной информации и конфиденциальных данных компании не менее критичный фактор защиты.
Обучение по вопросам безопасности должно проводиться регулярно, чтобы сотрудники были в курсе последних угроз. Помимо обучения, организациям также следует развивать культуру безопасности путем доведения до сведения сотрудников политики и процедур безопасности организации, поощрения сотрудников сообщать об инцидентах безопасности и наложения дисциплинарных взысканий на сотрудников, нарушающих политику безопасности.
Также необходимы технологические средства защиты, которые могут предотвратить атаки социальной инженерии на сеть и данные компании. Однако важно отметить: ни одна защита не является на 100% эффективной, что подтверждает необходимость использования комбинации защитных средств.
Серверные технологии, такие как брандмауэры, системы обнаружения/предотвращения вторжений, помогают блокировать вредоносный трафик и обнаруживать подозрительную активность из неавторизованных источников.
Виртуальные частные сети (VPN) создают зашифрованный туннель для всех видов использования Интернета, скрывая реальный IP-адрес и местоположение пользователя.
Как серверные технологии и VPN способны минимизировать риски:
Защита от киберпреступности - это надежный пароль, следование передовым методам обеспечения безопасности электронной почты, шифрование трафика, осведомленность сотрудников и использование защитных технологий. Простое следование этим правилам во многих может решить, взломают вас или нет.
По мере того как изощренность злоумышленников росла, росли и технологии, используемые для борьбы с ними. Системы обнаружения вторжений и межсетевые экраны с поддержкой искусственного интеллекта занимают передовые позиции в защите от современных киберугроз. Они способны анализировать огромные объемы данных, обнаруживая аномалии, закономерности и нарушения в режиме реального времени.
Однако, какими бы грозными ни были эти технологии, они не могут в одиночку защитить нас от изобретательных преступников. Именно поэтому необходимо уделять первостепенное внимание образованности сотрудников компании и создавать надежный "человеческий" брандмауэр.