Социальная инженерия. Взлом человеческого сознания

21.05.18 в 13:31 Other 13742

Будем откровенны: социнженерия — про методы взлома и те самые хакерские атаки, против которых отделы безопасности крупнейших компаний пытаются выстроить мощную защиту. Речь не только о компьютерной безопасности: используя социальные сети или телефон, хакер может получить любые данные.

Методы «классического» хакинга меняются вслед за системами безопасности, но, какую бы мощную систему вы ни выстроили, в ней всегда останется «слабое звено» — человеческий мозг.

Проиллюстрировать атаку «социального инженера» можно на примере классической схемы мошенничества.

Жертве звонит злоумышленник. Представившись сотрудником банка, он говорит, что необходимо проверить уровень безопасности в интернет-банкинге, и просит прислать логин и пароль, а затем — SMS-код, который пришел жертве сразу после того, как та назвала пароль и логин. Злоумышленник благодарит и отключается. Через некоторое время жертва заходит в интернет-банк или пытается снять деньги с карты и обнаруживает, что они пропали. В банке разводят руками, в полиции рассказывают о мошенничестве.

Все, что нужно мошеннику, чтобы узнать ваши данные и получить доступ к счетам, — уточнить банк, в котором вы держите карту, и сыграть на доверии. На эту ловушку попадаются все, кто мало пользуется или вообще не пользуется интернет-банком.

Ловля на живца

Если в описанном выше случае потенциальных жертв спасет широкая огласка схемы мошенничества, то с методами, применяемыми для проникновения к базам данных организаций, бороться намного сложнее. Как бы тщательно вы ни защищали свои данные, подвести вас могут все сотрудники. И не только сотрудники — жертвами становятся и руководители.

Хакеру необязательно предпринимать активные действия. Достаточно расставить ловушки и ждать жертву. Характерный пример — фальшивая техподдержка.

Заглянув на ресепшен в офис крупной фирмы и дождавшись, когда сотрудник удалится, хакер наклеивает стикер с номером техподдержки, которая якобы сотрудничает с компанией. Стикер может быть даже на компьютере сотрудника. На новую наклейку никто не обратит внимания, если их много, а обман никто не заподозрит, особенно если за компьютером работают несколько человек.

Когда с компьютером возникнут проблемы, сотрудник наберет номер фальшивой техподдержки со стикера и позвонит. Хакеру останется узнать необходимую информацию. Конечно, рядовой сотрудник вряд ли даст доступ к счетам компании, но свой кусочек данных злоумышленник получит, а значит, сможет перейти на следующий этап.

Все, что нужно хакеру, — несколько секунд на то, чтобы наклеить стикер. Остальное — дело техники.

Классический фишинг

Банальная подмена адреса сайта или страницы — и хакер получает в свое распоряжение логин и пароль жертвы. Создавать фишинговые сайты не просто, а очень просто: достаточно скопировать дизайн и «натянуть» его на любую подходящую CMS. Остается распространить ссылку. Пользователи редко смотрят на адрес страницы и не обращают внимания на подмену одной или двух букв. Попав на фишинговый сайт, они спокойно вводят свои данные.

Фишинговые приемы используют как для проникновения в корпоративные сети, так и для взлома аккаунтов в социальных сетях. «Зачем взламывать аккаунт, если доступ к нему просто восстановить?» — спросят обычные пользователи. И окажутся неправы. Получив доступ, мошенник начнет писать друзьям пользователя и просить денег «в долг».

Как бороться с социальной инженерией?

Методы социальной инженерии должны знать не только специалисты по компьютерной безопасности. О самых распространенных приемах, методах, которые могут использовать злоумышленники, нужно рассказывать пользователям сайтов и сотрудникам компании, проводить тренинги. Только так можно защитить данные от кражи.

Дополнительно можно использовать и другие методы. В компаниях могут сработать:

  • четкое разграничение уровней доступа к той или иной информации;
  • общение через мессенджеры с видеосвязью;
  • передача важных данных только в рамках корпоративной сети или портала;
  • максимальное удаление компьютеров, сотрудников, занимающихся важной работой, от посетителей.

Увы, ни технически, ни правилами, ни постоянными тренингами защитить данные от атак методами социнженерии не получится. «Взломать» можно любую, самую защищенную систему (и не только компьютерную), вопрос лишь во времени и цене.

Важно! Наша компания не рекомендует заниматься незаконной деятельностью и призывает соблюдать установленные законы.

Комментарии

Войдите, чтобы оставить комментарий
Популярные

Вместе с широкими возможностями Интернет несет в себе и ряд опасностей. Решить данные проблемы можно с помощью технологии OpenVPN, которая предлагает несколько действенных способов скрыть трафик.

Изначально всемирная Сеть задумывалась как пространство без границ, где можно получить абсолютно любую информацию на анонимных началах. Сегодня в разных странах запрещены различные ресурсы.

В современном мире становится сложнее сохранить личные и корпоративные данные в тайне, поэтому вопрос информационной безопасности стоит все острее с каждым днём.

В далеком, по меркам темпов развития информационных технологий, 2015 году компания Google смогла создать искусственный интеллект, способный анализировать состояние вокруг него и делать выводы. Прозвали это чудо DQN, и оно тренировалось в аркадных игра (Пакман, Теннис, Спейс Инвейдерс, Боксинг и прочей классике). Результаты оказались таковы: DQN превзошло в 22 из 49 игр успехи лучших игроков мира!

Самыми распространенными методами организовать сетевую анонимность являются браузер Tor и технологии VPN. С их помощью скрывается реальный IP-адрес, обходится интернет-цензура и преодолеваются международные ограничения.

Новые

Получение больших объемов данных с веб-сайтов для их последующего анализа играет значительную роль для многих проектов. Анализ структуры целевого ресурса и скрейпинг интересующей информации зачастую сопряжены с проблемой блокировки или ограничения доступа со стороны администрации веб-сайта.

Если вы ищете пакет резидентских или мобильных прокси с возможностью работы с определенной страной или ISP, лучшим решением станет пакет Exclusive mix. С ним вы можете скачать список, содержащий прокси только выбранных вами стран и операторов, гибко фильтруя его под свои нужды.

С чего начать скрейпинг данных в Сети, используя Python? Такой вопрос возникает у многих начинающих специалистов. На начальном уровне этот процесс довольно простой и любой желающий может быстро начать реализовывать свой проект. Однако, для качественной работы над подобной задачей нужно помнить о большом количестве нюансов, в которых не так просто разобраться сразу.

Знаете ли вы, что большая часть экспертов в области Интернет-маркетинга и электронной коммерции использует специализированные браузеры? Этот инструмент давно завоевал популярность при выполнении задач, требующих высокого уровня анонимности в Интернете.

Прокси сервер — что это такое. Основные преимущества работы через виртуального "посредника" — анонимность в сети, обход бана, защита от атак, охрана интеллектуальной собственности

Есть вопросы?

Нажмите сюда и мы с радостью на них ответим

Trustpilot 4.5