Social engineering - what it is and how to deal with it

computerra.ru

4 min

Millennial digital technology has changed the way we think about security and privacy.

By relying on developers to create tools that help prevent a large number of network vulnerabilities, we forget that the person himself is the biggest enemy of security, or rather, the mistakes he makes. These are the very mistakes that social engineering uses to get hold of valuable data, and the worst part is that criminals receive this information with our own consent.

What is Social Engineering?

Social engineering is the acquisition of valuable information in the course of interaction with a person and abuse of his trust. Criminals speculate on human psychology, forcing victims to make mistakes, neglecting basic security rules, as a result of which classified information falls into the hands of fraudsters.

Before launching a psychological attack, the perpetrator collects information. Then he / she moves on to the second stage - it is necessary to gain confidence in the victim. And having achieved this, with the help of various manipulations, the criminal receives all the information he needs - the goal is achieved! Thus, the whole process of social engineering attack is based on human error.

Social engineering techniques

Social engineering is very often used by criminals to infiltrate the organization they need. Once they gain access to protected data, cybercriminals can freely penetrate the file systems of companies without leaving any traces. The possibility of such an attack exists wherever there is a chance of human error or human involvement. Social engineering techniques can be divided into four main types.

Lures

During such attacks, criminals use character traits against their victims, most often - greed and the desire for easy money. The attacker lures the victim into a trap, promising mountains of gold, but in the end, the person loses control over their credentials or the system becomes infected with malware.

Falling into such a trap is much easier than it seems at first glance. Lures can be of two types - physical bait and internet bait. In the first case, the perpetrator uses an infected flash drive, leaving it in a visible place. After the victim connects the USB flash drive to his office or home computer, a malicious program is automatically installed that destroys the computer system.

In the case of the online option, the user downloads malware from a website. Various methods are used to trick you into downloading a file, such as email messages, a fake website, or advertisements that direct you to a malicious site.

Pretexting

Another technique used by cybercriminals is called pre-texting. To get hold of the information, a criminal impersonates a person you know who supposedly needs your information to perform an important task.

This person can be a friend, family member, or acquaintance. Most often, however, criminals play the role of officials - police officers, tax officials and others with the authority to ask confidential questions. To be more convincing, the perpetrator often asks the victim to first confirm the identity.

With this type of attack, you can get hold of any important and valuable information, including identification numbers, insurance codes, addresses, phone numbers and even bank accounts.

Phishing

Phishing is one of the most well-known types of psychological attacks. The perpetrator attacks the victim via e-mail messages or fake Internet sites. In most cases, phishing schemes are organized on behalf of organizations known or familiar to the victim.

Let's say you've received an email from a company you know, so it doesn't occur to you to check the sender's email address. You just open the letter, read that the company's privacy policy has changed, and you need to follow the link provided in the message and change your password. You are doing everything as stated in the letter and ... congratulations! You are caught. The criminals have thought through your every step, which is why they manage to get people to do what they want.

Fake antivirus

Fake antivirus is a type of application, by installing which, the user receives messages about the "infection" of a computer or mobile device. The victim thinks that the computer has been attacked or infected with a virus, and the program offers to download software that should remove this virus. Naturally, the downloaded software does not solve the problem, but even more destroys the computer.

A common example of a fake antivirus is pop-up windows that say "Your computer is infected, please follow the link to remove the virus." Even if you do not download the proposed file, you will be redirected to an infected site, which will automatically download malicious code into your system. The bogus virus also spreads through e-mail messages that advertise fake threats and force users to buy useless services.

How to defend against attacks

There are many ways to prevent you from falling victim to social engineering attacks. First of all, in any situation it is necessary to maintain a presence of mind and composure, and also remember that:

It is illegal to request confidential information by email. If you receive such an email, please check the address before replying. If you do not know the sender, delete the message immediately.
It is necessary to increase the level of anti-spam filters settings. All email providers provide the ability to customize filters.
Protection for all operating devices is always a plus. Don't forget about antivirus software for any platform, be it Android, Windows, Mac or Linux. Installing such programs also helps protect against viruses.
It is recommended that the operating system be updated. Almost all operating systems release updates from time to time that eliminate security vulnerabilities.

***

Соціальна інженерія – що це таке і як із цим боротися

За

computerra.ru

4 хв

Переглянути оригінал

Цифрові технології епохи міленіуму змінили наші уявлення про безпеку та конфіденційність. Покладаючись на розробників, що створюють інструменти, які допомагають запобігти велику кількість вразливостей мережі, ми забуваємо про те, що найбільшим ворогом безпеки залишається сама людина, точніше, помилки, що допускаються. Саме ці помилки використовує соціальна інженерія, щоб заволодіти цінними даними, причому найжахливіше полягає в тому, що злочинці отримують цю інформацію за нашою ж згодою.

Що таке соціальна інженерія?

Соціальна інженерія є добування цінної інформації під час взаємодії з людиною і зловживання її довірою. Злочинці спекулюють на людській психології, змушуючи жертв припускатися помилок, нехтуючи елементарними правилами безпеки, внаслідок чого секретна інформація потрапляє до рук шахраїв.

Перед тим, як запустити психологічну атаку, злочинець збирає інформацію. Потім він переходить до другого етапу – необхідно увійти в довіру до жертви. А досягши цього, за допомогою різних маніпуляцій злочинець отримує всю необхідну йому інформацію – мети досягнуто! Таким чином, весь процес атаки соціальної інженерії ґрунтується на людських помилках.

Техніки соціальної інженерії

Соціальна інженерія часто-густо використовується злочинцями запровадження потрібну їм організацію. Оволодівши доступом до захищених даних, кіберзлочинці можуть вільно поникати у файлові системи компаній, не залишаючи жодних слідів. Можливість такої атаки існує скрізь, де є шанс людської помилки чи участі людини. Техніки соціальної інженерії можна поділити на чотири основні види.

Приманки

У ході таких атак злочинці використовують проти своїх жертв якості їхнього характеру, найчастіше — жадібність та бажання легкої наживи. Зловмисник заманює жертву в пастку, обіцяючи золоті гори, однак у результаті людина втрачає контроль над своїми обліковими даними або система виявляється інфікованою шкідливим ПЗ.

Потрапити в таку пастку набагато легше, ніж здається на перший погляд. Приманки можуть бути двох видів – фізична приманка та інтернет-приманка. У першому випадку злочинець використовує інфікований флеш-накопичувач, залишивши його на чільному місці. Після того, як жертва підключає флешку до офісного або домашнього комп'ютера, відбувається автоматичне встановлення шкідливої програми, що руйнує комп'ютерну систему.

У випадку з онлайн-варіантом користувач завантажує зловмисне програмне забезпечення з інтернет-сайту. Щоб змусити вас завантажити файл, використовуються різні методи – повідомлення електронної пошти, фейковий інтернет-сайт або рекламні оголошення, що спрямовують на шкідливий сайт.

Привід

Ще один прийом, якого вдаються кіберзлочинці, називається претекстинг. Щоб оволодіти інформацією, злочинець видає себе за відому вам особу, якій нібито потрібна ваша інформація для виконання важливого завдання.

Як така особа може виступати ваш друг, член сім'ї або знайомий. Проте найчастіше злочинці відіграють роль посадових осіб — поліцейських, представників податкових органів та інших людей, які мають повноваження ставити конфіденційні питання. Щоб бути переконливішим, злочинець часто просить жертву попередньо підтвердити особистість.

За допомогою цього виду атак можна опанувати будь-яку важливу та цінну інформацію, включаючи ідентифікаційні номери, страхові коди, адреси, номери телефонів і навіть банківські рахунки.

Фішинг

Фішинг є одним із найвідоміших видів психологічних атак. Злочинець атакує жертву через повідомлення електронної пошти чи фейкові інтернет-сайти. Фішингові схеми здебільшого організуються від імені відомих чи знайомих жертві організацій.

Припустимо, ви отримали електронний лист від відомої вам компанії, тому вам не спадає на думку перевірити електронну адресу відправника. Ви просто відкриваєте лист, читаєте про те, що політика конфіденційності компанії змінилася, і вам необхідно пройти за посиланням, що надається в повідомленні, і змінити свій пароль. Ви все робите так, як сказано у листі та… вітаємо вас! Ви попались. Злочинці продумали кожен ваш крок, тому їм вдається змушувати людей робити те, що вони хочуть.

Хибний антивірус

Неправдивий антивірус є видом програми, встановивши яке, користувач отримує повідомлення про «зараження» комп'ютера або мобільного пристрою. Жертва думає, що комп'ютер зазнав атаки або інфікований вірусом, а програма пропонує завантажити програмне забезпечення, яке має видалити цей вірус. Звичайно, завантажене ПЗ проблеми не вирішує, а ще більше руйнує комп'ютер.

Найпоширенішим прикладом фіктивного антивірусу є спливаючі вікна, що містять написи типу «Ваш комп'ютер заражений, щоб видалити вірус, пройдіть посилання». Навіть якщо ви не завантажуватимете пропонований файл, вас перенаправлять на інфікований сайт, який автоматично завантажить шкідливий код у вашу систему. Фіктивний вірус також поширюється через повідомлення електронної пошти, що сповіщають про фейкові загрози і змушують купувати марні послуги.

Як захиститися від атак

Існує безліч способів, які не дозволять стати жертвою атак соціальної інженерії. Насамперед, у будь-якій ситуації необхідно зберігати присутність духу та холоднокровність, а також пам'ятати, що:

Запитувати конфіденційну інформацію електронною поштою незаконно. Якщо ви отримали такий лист перед тим, як відповідати, перевірте адресу. Якщо відправник невідомий, негайно видаліть повідомлення.
Необхідно підвищити рівень налаштування фільтрів антиспаму. Можливість налаштування фільтрів надають усі провайдери електронної пошти.
Захист усіх операційних пристроїв завжди плюс. Не варто забувати про антивірусні програми для будь-яких платформ, будь то Android, Windows, Mac або Linux. Встановлення таких програм також допомагає захиститись від вірусів.
Операційну систему рекомендується оновлювати. Майже всі ОС іноді випускають оновлення, що усувають уразливості захисту.

***

Социальная инженерия – что это такое и как с этим бороться

computerra.ru

4 min

View Original

Цифровые технологии эпохи миллениума изменили наши представления о безопасности и конфиденциальности. Полагаясь на разработчиков, создающих инструменты, которые помогают предотвратить большое количество уязвимостей сети, мы забываем о том, что самым большим врагом безопасности остается сам человек, точнее, допускаемые им ошибки. Именно эти ошибки использует социальная инженерия, чтобы завладеть ценными данными, причем самое ужасное заключается в том, что преступники получают эту информацию с нашего же согласия.

Что такое социальная инженерия?

Социальная инженерия представляет собой добывание ценной информации в ходе взаимодействия с человеком и злоупотребления его доверием. Преступники спекулируют на человеческой психологии, вынуждая жертв допускать ошибки, пренебрегая элементарными правилами безопасности, в результате чего секретная информация попадает в руки мошенников.

Перед тем как запустить психологическую атаку, преступник собирает информацию. Затем он/она переходит ко второму этапу – необходимо войти в доверие к жертве. А добившись этого, при помощи различных манипуляций преступник получает всю необходимую ему информацию – цель достигнута! Таким образом, весь процесс атаки социальной инженерии основан на человеческих ошибках.

Техники социальной инженерии

Социальная инженерия очень часто используется преступниками для внедрения в нужную им организацию. Завладев доступом к защищенным данным, киберпреступники могут свободно поникать в файловые системы компаний, не оставляя никаких следов. Возможность такой атаки существует везде, где есть шанс человеческой ошибки или участия человека. Техники социальной инженерии можно разделить на четыре основных вида.

Приманки

В ходе таких атак преступники используют против своих жертв качества их характера, чаще всего — жадность и желание легкой наживы. Злоумышленник заманивает жертву в ловушку, обещая золотые горы, однако в итоге человек теряет контроль над своими учетными данными или система оказывается инфицированной вредоносным ПО.

Попасть в такую ловушку намного легче, чем кажется на первый взгляд. Приманки могут быть двух видов – физическая приманка и интернет-приманка. В первом случае преступник использует инфицированный флеш-накопитель, оставив его на видном месте. После того, как жертва подключает флешку к офисному или домашнему компьютеру, происходит автоматическая установка вредоносной программы, разрушающей компьютерную систему.

В случае с онлайн-вариантом пользователь загружает вредоносное ПО с интернет-сайта. Чтобы заставить вас загрузить файл, используются разные методы – сообщения электронной почты, фейковый интернет-сайт или рекламные объявления, направляющие на вредоносный сайт.

Претекстинг

Еще один прием, к которому прибегают киберпреступники, называется претекстинг. Чтобы завладеть информацией, преступник выдает себя за известное вам лицо, которому якобы необходима ваша информация для выполнения важной задачи.

В качестве такого лица может выступать ваш друг, член семьи или знакомый. Однако чаще всего преступники играют роль должностных лиц — полицейских, представителей налоговых органов и других людей, обладающих полномочиями задавать конфиденциальные вопросы. Чтобы быть убедительнее, преступник часто просит жертву предварительно подтвердить личность.

При помощи этого вида атак можно завладеть любой важной и ценной информацией, включая идентификационные номера, страховые коды, адреса, номера телефонов и даже банковские счета.

Фишинг

Фишинг является одним из самых известных видов психологических атак. Преступник атакует жертву через сообщения электронной почты или фейковые интернет-сайты. Фишинговые схемы в большинстве случаев организуются от имени известных или знакомых жертве организаций.

Предположим, вы получили электронное письмо от известной вам компании, поэтому вам не приходит в голову проверить электронный адрес отправителя. Вы просто открываете письмо, читаете о том, что политика конфиденциальности компании изменилась, и вам необходимо пройти по предоставленной в сообщении ссылке и изменить свой пароль. Вы все делаете так, как сказано в письме и… поздравляем вас! Вы попались. Преступники продумали каждый ваш шаг, именно поэтому им удается заставлять людей делать то, что они хотят.

Ложный антивирус

Ложный антивирус представляет собой вид приложения, установив которое, пользователь получает сообщения о «заражении» компьютера или мобильного устройства. Жертва думает, что компьютер подвергся атаке или инфицирован вирусом, а программа предлагает загрузить ПО, которое должно удалить этот вирус. Естественно, загруженное ПО проблемы не решает, а еще больше разрушает компьютер.

Распространенным примером фиктивного антивируса являются всплывающие окна, содержащие надписи типа «Ваш компьютер заражен, чтобы удалить вирус, пройдите по ссылке». Даже если вы не будете загружать предлагаемый файл, вас перенаправят на инфицированный сайт, который автоматически загрузит вредоносный код в вашу систему. Фиктивный вирус также распространяется через сообщения электронной почты, извещающих о фейковых угрозах и вынуждающих покупать бесполезные сервисы.

Как защититься от атак

Существует множество способов, которые не позволят вам стать жертвой атак социальной инженерии. Прежде всего, в любой ситуации необходимо сохранять присутствие духа и хладнокровие, а также помнить, что:

Запрашивать конфиденциальную информацию по электронной почте незаконно. Если вы получили такое письмо, прежде чем отвечать, проверьте адрес. Если отправитель вам неизвестен, немедленно удалите сообщение.
Необходимо повысить уровень настройки фильтров антиспама. Возможность настройки фильтров предоставляют все провайдеры электронной почты.
Защита всех операционных устройств – всегда плюс. Не стоит забывать об антивирусных программах для любых платформ, будь то Android, Windows, Mac или Linux. Установка таких программ также помогает защититься от вирусов.
Операционную систему рекомендуется обновлять. Практически все ОС время от времени выпускают обновления, устраняющие уязвимости зашиты.

Click to expand

Просмотры:

Шукати в цьому блозі

Розслідування, osint розвідка, osint Україна, osint open source intelligence.