Социальная инженерия — методы, виды атак, защита

Атаки можно классифицировать по каналу воздействия:

Онлайн-атаки

• Фишинг — поддельные письма и сайты;
• Целевой фишинг — персонализированные письма;
• Атаки в соцсетях — взлом аккаунтов, поддельные профили;
• Атаки в мессенджерах — сообщения от имени знакомых.

Офлайн-атаки

• Телефонный спам — звонки «из банка», «из полиции»;
• Проникновение в офис — под видом курьера, сантехника;
• Социальная разведка — сбор информации через разговоры;
• Приманка — оставление заражённых устройств.

По цели

• Кража данных — пароли, финансовая информация;
• Кража денег — переводы, оформление кредитов;
• Проникновение в систему — для дальнейших атак;
• Вымогательство — угрозы, шантаж.

Злоумышленники используют базовые человеческие инстинкты и эмоции:

• Страх — «Ваш аккаунт заблокирован!», «Вы должны заплатить штраф!»;
• Доверие к авторитетам — «Я из службы безопасности банка»;
• Желание помочь — «Помогите, я потерял телефон», «Срочно нужна ваша помощь»;
• Жадность — «Вы выиграли приз!», «Легкий заработок»;
• Любопытство — «Вы участвовали в скандале?», «Срочно откройте»;
• Срочность — «Сделайте прямо сейчас, иначе…»;
• Взаимность — «Я помог вам, теперь помогите мне»;
• Социальное доказательство — «Так уже сделали все ваши коллеги».

Пример 1. Атака на сотрудника

Злоумышленник звонит сотруднику компании, представляясь сотрудником IT-отдела, и говорит, что нужно срочно обновить пароль. Сотрудник называет новый пароль, который используется для входа в систему.

Пример 2. Атака через соцсети

Злоумышленник создаёт поддельный профиль от имени руководителя компании и просит бухгалтера срочно перевести деньги на указанный счёт.

Пример 3. Физическое проникновение

Злоумышленник входит в здание следом за сотрудником (хвостинг), поднимается в офис и подключает к сети закладное устройство.

Пример 4. Взлом через техподдержку

Злоумышленник звонит в техподдержку, представляясь сотрудником, и просит сбросить пароль «для проверки системы».

Основные меры защиты от социальной инженерии:

Для частных лиц

• Не сообщайте личные данные по телефону или в письмах;
• Проверяйте информацию — перезванивайте по официальным номерам;
• Не переходите по подозрительным ссылкам;
• Не открывайте вложения из незнакомых писем;
• Включите двухфакторную аутентификацию;
• Ограничьте личную информацию в соцсетях.

Для организаций

• Регулярное обучение сотрудников — тренинги по социальной инженерии;
• Фишинговые симуляции — тестовые атаки для проверки бдительности;
• Строгие процедуры — проверка личности при запросах;
• Политика открытых дверей — запрет на хвостинг;
• Контроль физического доступа — СКУД, видеонаблюдение;
• Четкая политика безопасности — регламенты работы с данными.

⚠️ Важно: Тренинги по социальной инженерии должны проходить все сотрудники, а не только специалисты по ИБ. Самая слабая точка в системе безопасности — это человек.