Kybernetická bezpečnost: sociální inženýrství

Sociální inženýrství

Sociální inženýrství je strategie spočívající v manipulaci a klamání, jejímž prostřednictvím se jednotlivci nebo skupiny snaží lidi přimět, aby odhalili citlivé informace nebo aby podnikli kroky, kterými ohrozí vlastní bezpečnost. Jeho východiskem nejsou zvláštní dovednosti v oblasti moderních technologií, nýbrž znalosti psychologie a lidského chování.

Taktika sociálního inženýrství spočívá často v tom, že se útočník vydává za hodnověrnou osobu nebo zdroj, aby si získal důvěru oběti. Útočník se tak například při útoku vydává za někoho jiného a snaží se přesvědčováním nebo lstí dostat k cenným informacím, jako jsou:

• hesla
• finanční údaje
• přístup k systémům a sítím

Útoky využívající sociálního inženýrství mohou mít různé podoby. Strategie útočníků je založena na zneužívání lidské zranitelnosti k dosažení konkrétních cílů, ať už se jedná o získání neoprávněného přístupu, krádež dat, nebo krádež peněz.

Různé techniky používané v sociálním inženýrství

Phishing

Útočníci rozesílají klamavé e-maily, zprávy nebo odkazy na zdánlivě legitimní internetové stránky a snaží se příjemce přimět k tomu, aby kliknutím odhalili citlivé informace, jako hesla, čísla kreditních karet nebo osobní údaje.

Spear phishing

Velmi konkrétně cílená forma phishingu. Útočníci zvyšují svou přesvědčivost pomocí zpráv formulovaných na základě konkrétních informací o zamýšlené oběti.

Baiting

Útočníci přicházejí s nějakou lákavou nabídkou, kdy například výměnou za osobní informace či přístup k systému nabízejí možnost bezplatného stažení určitého softwaru. Ten pak může navíc obsahovat infikované soubory nebo odkazy.

Pretexting

Útočníci získávají informace za pomoci vykonstruovaného scénáře nebo falešné záminky. Často se přitom vydávají za někoho důvěryhodného, například za kolegu nebo za pracovníka banky.

Vishing

Forma phishingu využívající hlasové komunikace, obvykle telefonních hovorů. Útočníci se vydávají za důvěryhodné subjekty a přesvědčují oběti, aby jim sdělily citlivé informace.

Vydávání se za jinou osobu

Útočníci se vydávají za někoho jiného, ať již on-line, nebo osobně, a snaží se tak získat důvěru zamýšlené oběti a zmanipulovat ji, aby jim poskytla důvěrné informace nebo jednala určitým způsobem.

Angler phishing

Útočníci se zaměřují především na uživatele sociálních sítí a svým klamavým zprávám mnohdy dodávají na zdánlivé relevantnosti a věrohodnosti tím, že reagují na populární témata a trendy.

Ransomware a vydírání

Útočníci vyhrožují zveřejněním citlivých informací nebo narušením systémů, nebude-li zaplaceno výkupné. Vyvolávají v obětech strach, aby je přiměli k poslušnosti.

Ochrana před útoky tohoto typu

Buďte ve střehu

Mějte se na pozoru a všímejte si podezřelých signálů. Pokud něco vypadá podivně nebo naopak až příliš dobře, může se jednat o podvod.

Klikejte s rozvahou

Neklikejte na neznámé odkazy a neotvírejte e-maily z neznámých zdrojů.

Hlídejte si soukromé údaje

Nesdělujte nikdy a nikomu ve zprávách ani e-mailech citlivé informace, jako jsou hesla, čísla kreditních karet nebo osobní údaje.

Používejte silná hesla

Používejte pro různé účty různá, silná hesla.

Používejte vícefaktorové ověřování

Je-li to možné, používejte vždy vícefaktorové ověřování, které vašim on-line účtům zajistí dodatečnou úroveň zabezpečení.

Ověřte si totožnost volajícího

Kontaktuje-li vás někdo, kdo vystupuje jako zástupce určité společnosti či organizace, požádejte ho, ať doloží svoji totožnost, nebo se přímo obraťte na danou organizaci, abyste si příslušné informace ověřili.

Buďte v obraze

Průběžně se informujte o nových druzích a technikách podvodů.

Používejte věrohodné zdroje

Stahujte soubory z věrohodných zdrojů, a vyhnete se napadení malwarem.

Jste-li obětí útoku

• informujte příslušné orgány
• změňte svá hesla
• aktivujte si vícefaktorové ověřování
• zkontrolujte, zda vaše zařízení neobsahují malware
• upozorněte přátele a kolegy, že se k vašim účtům dostala neoprávněná osoba

• Evropský měsíc kybernetické bezpečnosti (kampaň Agentury Evropské unie pro kybernetickou bezpečnost)

Další informace