Cyberbezpieczeństwo: inżynieria społeczna

Inżynieria społeczna

Inżynieria społeczna to strategia stosowana przez osoby lub grupy, aby manipulować ludźmi lub wprowadzać ich w błąd i w ten sposób skłaniać ich do ujawnienia poufnych informacji lub wykonania działań zmniejszających ich bezpieczeństwo. Bazuje na psychologii i na ludzkich zachowaniach, nie na wiedzy technicznej.

Atakujący, chcąc zdobyć zaufanie ofiary, często podaje się za wiarygodną osobę bądź źródło. Stosuje taktykę taką jak podszywanie się pod innych, perswazja lub oszustwo. Chce w ten sposób uzyskać cenne informacje, takie jak:

hasła
dane finansowe
dostęp do systemów i sieci.

Ataki mogą mieć różną formę. Chodzi o wykorzystywanie ludzkich słabości, aby osiągnąć założony cel: bezprawnie uzyskać do czegoś dostęp, ukraść dane lub pieniądze.

Techniki inżynierii społecznej

Phishing

Atakujący wysyła wprowadzające w błąd mejle, wiadomości lub linki do wiarygodnie wyglądających stron. Chce w ten sposób skłonić odbiorców do kliknięcia i ujawnienia poufnych informacji, np. haseł, numerów kart kredytowych czy danych osobowych.

Spear phishing

Podobny do phishingu, ale dokładnie ukierunkowany. Aby wydać się bardziej przekonującym, atakujący dostosowuje wiadomości do konkretnych informacji o wybranej osobie.

Nęcenie

Atakujący oferuje coś atrakcyjnego, np. darmowe pliki, w zamian za dane osobowe lub dostęp do systemu. Pliki lub linki mogą być zainfekowane.

Pozorowanie

Atakujący tworzy fałszywy scenariusz lub pretekst do pozyskania informacji. Często podaje się za kogoś wiarygodnego, na przykład kolegę lub pracownika banku.

Vishing

Forma phishingu występująca w komunikacji głosowej, zwykle telefonicznej. Atakujący podaje się za przedstawiciela wiarygodnej instytucji i przekonuje ofiarę do ujawnienia poufnych informacji.

Podszywanie się

Atakujący udaje kogoś innego (w internecie lub w rzeczywistości), aby zdobyć zaufanie i skłonić wybraną osobę do ujawnienia poufnych informacji lub do podjęcia konkretnych działań.

Phishing społecznościowy

Atakujący obiera za cel głównie użytkowników mediów społecznościowych i tworzy oszukańcze, choć pozornie ważne i wiarygodne wiadomości często na popularne lub modne tematy.

Szantaż i wymuszenie

Atakujący grozi ujawnieniem poufnych informacji lub sparaliżowaniem systemu, jeśli nie otrzyma okupu. Wzbudza w ofierze strach, aby zmusić ją do konkretnych działań.

Ochrona przed atakami

Zachowaj czujność

Zwracaj uwagę na sygnały ostrzegawcze. Jeśli coś wygląda dziwnie lub zbyt idealnie, może to być oszustwo.

Pomyśl, zanim klikniesz

Nie klikaj na linki ani nie otwieraj mejli z nieznanych źródeł.

Chroń informacje o sobie

Nigdy nie udostępniaj poufnych danych (np. haseł, numerów kart kredytowych, danych osobowych) w wiadomościach lub mejlach, bez względu na to, kto o nie prosi.

Ustaw silne hasła

Używaj niepowtarzalnych, silnych haseł do różnych kont.

Stosuj uwierzytelnianie wieloskładnikowe

Symbol uwierzytelniania wieloskładnikowego.

Jeśli to możliwe, włącz uwierzytelnianie wieloskładnikowe: zwiększa ono bezpieczeństwo twoich kont internetowych.

Sprawdzaj, kto dzwoni

Jeśli skontaktuje się z tobą ktoś, kto twierdzi, że jest pracownikiem firmy lub organizacji, poproś, żeby udowodnił swoją tożsamość, lub skontaktuj się bezpośrednio z organizacją, żeby to sprawdzić.