Социальная инженерия — это совокупность методов и тактик воздействия, основанных на психологическом манипулировании, с целью контроля поведения человека и доступа к конфиденциальной информации. В отличие от классического взлома, здесь атакуется не техника, а человек. Санкт-Петербург, как крупный финансовый, научный и деловой центр России, сталкивается с этой угрозой особенно остро.

Что такое социальная инженерия

Согласно кандидату философских наук А. В. Веселову, социальная инженерия — это междисциплинарная научно-практическая деятельность субъекта, связанная с формированием и изменением социальных структур. В контексте информационной безопасности термин означает метод несанкционированного доступа к информации или системам хранения данных без использования технических средств, исключительно за счёт обмана, доверия и психологического давления.

Тема активно изучается и в петербургской научной среде. Так, в Вестнике Санкт-Петербургского государственного университета технологии и дизайна опубликована работа Дайнеко А. С., Кюнер А. П. и Чечулина А. А. «Социальная инженерия. Характеристики атакующего и схема атаки», а в 2015 году в Петербурге были выпущены методические указания по дисциплине «Социальная инженерия» для специальности 21.05.04, охватывающие оценку уязвимости инфраструктуры, тестирование на проникновение (пентест) и рекомендации по устранению уязвимостей.

Почему Петербург в зоне риска

• Концентрация банков и финансовых организаций. По данным экспертов, главный вектор проникновения в инфраструктуру кредитно-финансовых организаций — именно социальная инженерия. Клиенты российских банков уязвимы также по причине неосторожного обращения с персональными данными.
• Большое число крупных компаний и госучреждений, сотрудники которых становятся целью целевых атак.
• Развитая цифровая среда: жители города активно пользуются онлайн-банкингом, госуслугами и мессенджерами, что расширяет «поверхность атаки».

Основные методы атак

Фишинг

Рассылка поддельных писем и сообщений, имитирующих банки, маркетплейсы или госорганы. Жертве предлагается перейти по ссылке и ввести данные карты или пароль.

Вишинг (голосовой фишинг)

Звонки «из службы безопасности банка», «из полиции» или «из Центробанка». Мошенник создаёт стрессовую ситуацию («ваши деньги в опасности») и вынуждает назвать коды из SMS или перевести средства на «безопасный счёт».

Претекстинг

Злоумышленник заранее создаёт правдоподобную легенду: представляется сотрудником техподдержки, курьером, коллегой из другого филиала — и под этим предлогом выманивает информацию.

Инсайд, направленный на сотрудников

Атаки на персонал компаний: поддельные письма «от руководства», просьбы срочно оплатить счёт или прислать базу клиентов.

Физические методы

Проникновение в офис под видом ремонтника или курьера, поиск информации в открытых источниках и даже в мусорных контейнерах (трашинг).

Цели злоумышленников

1. Кража денежных средств с банковских карт и счетов.
2. Получение доступа к корпоративным системам и коммерческой тайне.
3. Кража персональных данных для последующих атак или продажи.
4. Компрометация инфраструктуры компании для шантажа или шпионажа.

Как защититься: рекомендации для петербуржцев

• Никогда не сообщайте коды из SMS, CVV-код и пароли — настоящий банк их не запрашивает.
• Кладите трубку и перезванивайте по официальному номеру организации, указанному на сайте или на обороте карты.
• Проверяйте адреса сайтов и отправителей писем, не переходите по ссылкам из подозрительных сообщений.
• Включите двухфакторную аутентификацию во всех важных сервисах.
• Будьте осторожны в соцсетях: избыток публичной информации о себе облегчает мошенникам подготовку убедительной легенды.
• Компаниям рекомендуется регулярно обучать сотрудников, проводить тестовые фишинг-рассылки и пентесты с элементами социальной инженерии.

Куда обращаться при инциденте

Если вы стали жертвой мошенников в Санкт-Петербурге:

• Немедленно заблокируйте карту, позвонив в свой банк по официальному номеру.
• Обратитесь в полицию по телефону * или в ближайшее отделение (адреса отделений по районам города можно уточнить на официальном сайте МВД: г. Санкт-Петербург, ул. Суворовская, д. ).
• Сообщите об инциденте в ФинЦЕРТ Банка России через официальный сайт.

Социальная инженерия остаётся одной из главных угроз как для жителей Санкт-Петербурга, так и для городских компаний. Технические средства защиты бессильны, если человек сам открывает дверь злоумышленнику. Главное оружие против манипуляторов — критическое мышление, внимательность и знание типовых схем обмана. Помните: любая срочность, давление и просьбы о конфиденциальных данных — тревожные сигналы, при которых стоит остановиться и перепроверить информацию.