Что такое социальная инженерия
Социальная инженерия — это совокупность психологических приёмов и методов манипулирования людьми, цель которых, заставить человека совершить определённые действия или раскрыть конфиденциальную информацию. В отличие от технических взломов, социальная инженерия направлена не на программное обеспечение, а на самого уязвимого элемента любой системы безопасности — человека.
Представьте, что надёжная система защиты — это замок с десятками кодов и камер. И тут приходит человек, звонит в домофон и просто просит его открыть. Именно так работает социальная инженерия: если нельзя взломать или обойти средства защиты технически, можно воздействовать на людей.
Направления социоинженерной деятельности
В рамках социоинженерной деятельности как научно-практической сферы выделяются следующие направления:
- Социоинженерные исследования — анализ, диагностика и экспертиза социальных систем;
- Социальное конструирование — проектирование, программирование и планирование социальных процессов;
- Организационно-технологическая деятельность — внедрение разработанных решений;
- Управленческое консультирование — сопровождение организаций в процессе изменений.
В качестве объектов социальной инженерии выступают три основных типа социальных систем, отличающиеся уровнем сложности и образующие три уровня социальной инженерии: от малых групп до общества в целом.
Социальная инженерия в кибербезопасности
Наиболее широкую известность термин получил в сфере информационной безопасности. Социальная инженерия остаётся одним из самых популярных направлений кибератак — её методы применяются почти в 70% случаев. Мошенники в интернете всё чаще делают акцент не на технических уязвимостях, а на психологии жертвы.
Основные методы атак
- Фишинг, массовая рассылка поддельных писем, имитирующих сообщения банков, госорганов или известных сервисов;
- Вишинг, голосовой фишинг через телефонные звонки, в т.ч. с использованием автоматизированных систем IVR;
- Претекстинг, создание вымышленной легенды (например, звонок «из службы безопасности банка»);
- Бейтинг — использование «приманки», например заражённого USB-носителя;
- Квид про кво — предложение услуги в обмен на информацию.
Психологические рычаги
Мы все подвержены эмоциям: страх перед угрозами, радость от неожиданной выгоды, доверие к авторитетам. Именно эти слабости используют злоумышленники:
- Срочность, «ваш счёт будет заблокирован через час»;
- Авторитет — «звонит сотрудник полиции / Центробанка»;
- Жадность, «вы выиграли приз, оплатите только комиссию»;
- Доверие — использование утекших персональных данных для убедительности.
Известные примеры
Одним из первых громких дел с применением social engineering стало дело Кевина Митника, который проникал в защищённые системы, просто обманывая сотрудников компаний. Его начинания продолжили другие злоумышленники. Атаки с использованием социальной инженерии редко бывают случайными — они тщательно готовятся, а использование таких методов не требует больших денежных затрат.
Области применения
- Киберпреступность — кража денег, данных банковских карт, учётных записей;
- Промышленный шпионаж — получение коммерческой тайны, информации о перспективных сотрудниках с целью их переманивания;
- Пентестинг, легальная оценка безопасности компании через общение с сотрудниками и анализ их действий;
- Социальное управление, конструирование и планирование социальных процессов в обществе.
Как защититься
Для защиты крупных компаний и их сотрудников применяются комплексные многоуровневые системы безопасности:
- Технические средства — антивирусные программы, межсетевые экраны, антишпионское ПО, DLP-системы;
- Контроль удалённых рабочих мест и применение средств защиты информации;
- Обучение персонала — регулярные тренинги и тестовые фишинговые рассылки;
- Критическое мышление — проверка любых запросов через официальные каналы связи.
Простые правила для каждого
- Никогда не сообщайте коды из SMS, пароли и данные карт по телефону;
- Перезванивайте в организацию по официальному номеру с сайта;
- Не переходите по подозрительным ссылкам в письмах и сообщениях;
- Помните: настоящие сотрудники банка никогда не просят перевести деньги на «безопасный счёт».
Социальная инженерия — это двойственная область: с одной стороны, научно-практическая дисциплина по проектированию социальных систем, с другой — опасный инструмент мошенников. Понимание её методов и психологических механизмов, лучшая защита. Будьте бдительны: самый надёжный замок бессилен, если дверь открывает сам человек.