Ενώ πολλοί ανησυχούν για τους ιούς, το κακόβουλο λογισμικό και τους χάκερ, συχνά ξεχνάμε ότι η μεγαλύτερη ευπάθεια βρίσκεται στους εαυτούς μας: στους ανθρώπους.

Η κοινωνική μηχανική βασίζεται στην ψυχολογική χειραγώγηση για να σας εξαπατήσει ώστε να αποκαλύψετε εμπιστευτικές πληροφορίες ή να προβείτε σε ενέργειες που θέτουν σε κίνδυνο την ασφάλεια της εταιρείας σας.

Τι είναι η κοινωνική μηχανική και πώς να την αναγνωρίσετε;

Η κοινωνική μηχανική δεν είναι καινούργια, αλλά έχει εξελιχθεί με την τεχνολογία.

Φανταστείτε έναν χάκερ που δεν χρειάζεται να σπάει κώδικες ή να εισβάλλει σε συστήματα. Αντ' αυτού, χειραγωγεί τους υπαλλήλους μιας εταιρείας για να αποκτήσει πρόσβαση σε ευαίσθητες πληροφορίες.

Η προσέγγιση αυτή εκμεταλλεύεται την εμπιστοσύνη, την περιέργεια ή ακόμη και το φόβο.

Μπορείτε να αναγνωρίσετε μια απόπειρα κοινωνικής μηχανικής όταν κάποιος σας ζητά ευαίσθητες πληροφορίες ή σας καλεί να κάνετε κλικ σε έναν ύποπτο σύνδεσμο με ψευδείς προφάσεις.

Τα ηλεκτρονικά μηνύματα ηλεκτρονικού "ψαρέματος", οι τηλεφωνικές κλήσεις απάτης και οι αναρτήσεις στα μέσα κοινωνικής δικτύωσης είναι συνήθεις μέθοδοι.

Για να προστατέψετε τον εαυτό σας και την εταιρεία σας, είναι σημαντικό να είστε πάντα σε εγρήγορση, να επαληθεύετε πάντα τα αιτήματα για πληροφορίες και να μην μοιράζεστε ποτέ ευαίσθητα δεδομένα χωρίς να είστε απολύτως βέβαιοι για τη γνησιότητα του αιτούντος.

Περιπτώσεις τρωτών σημείων σε εταιρείες

1. Phishing με στόχο τους υπαλλήλους: Μια μεγάλη εταιρεία δέχθηκε επίθεση όταν ένας χάκερ έστειλε ένα email σε αρκετούς υπαλλήλους υποδυόμενος τον διευθυντή πληροφορικής. Το email ζητούσε από τους υπαλλήλους να αλλάξουν τους κωδικούς πρόσβασης σε έναν ψεύτικο ιστότοπο, ο οποίος επέτρεπε στον χάκερ να αποκτήσει πρόσβαση στους λογαριασμούς της εταιρείας.

2. Επίθεση PhishingΣε μια άλλη εταιρεία, ένας χάκερ εμφανίστηκε ως τακτικός προμηθευτής της εταιρείας και ζήτησε αλλαγή τραπεζικού λογαριασμού για τις πληρωμές. Η εταιρεία μετέφερε ένα μεγάλο χρηματικό ποσό στο λογαριασμό του χάκερ πριν αντιληφθεί την απάτη.

3. Κοινωνική μηχανική μέσω κοινωνικών δικτύων: Ένας εργαζόμενος μοιράστηκε λεπτομέρειες για την εργασία του και τα συστήματα που χρησιμοποιούσε στα μέσα κοινωνικής δικτύωσης. Ένας χάκερ χρησιμοποίησε αυτές τις πληροφορίες για να ξεγελάσει το τμήμα τεχνικής υποστήριξης της εταιρείας και να αποκτήσει πρόσβαση στους λογαριασμούς του υπαλλήλου.

Ιστορίες επιτυχίας εταιρειών που απέτρεψαν επιθέσεις κοινωνικής μηχανικής

1. Απόπειρα phishing σταμάτησε με την ευαισθητοποίηση του προσωπικού

Τι προσπάθησαν οι χάκερ: Μια ομάδα κυβερνοεγκληματιών επιχείρησε να επιτεθεί σε μια εταιρεία χρηματοπιστωτικών υπηρεσιών στέλνοντας μηνύματα ηλεκτρονικού "ψαρέματος" σε αρκετούς υπαλλήλους. Τα μηνύματα ηλεκτρονικού ταχυδρομείου εμφανίζονταν να προέρχονται από τον οικονομικό διευθυντή της εταιρείας και ζητούσαν από τους υπαλλήλους να εισάγουν τα διαπιστευτήριά τους σε έναν ιστότοπο που μιμούνταν τη σελίδα σύνδεσης της εταιρείας. Ο στόχος ήταν να αποκτήσουν πρόσβαση σε λογαριασμούς εργαζομένων και να θέσουν σε κίνδυνο τα εσωτερικά συστήματα.

Πώς το απέφυγαν: Χάρη σε ένα συνεχιζόμενο πρόγραμμα κατάρτισης για την ασφάλεια στον κυβερνοχώρο, ένας από τους υπαλλήλους αναγνώρισε το μήνυμα ηλεκτρονικού ταχυδρομείου ως ύποπτο. Αντί να κάνει κλικ στον σύνδεσμο, ενημέρωσε την ομάδα ασφαλείας της εταιρείας. Η ομάδα αυτή μπόρεσε να αναλύσει το μήνυμα ηλεκτρονικού ταχυδρομείου και να επιβεβαιώσει ότι επρόκειτο για απόπειρα ηλεκτρονικού "ψαρέματος". Στη συνέχεια ειδοποίησαν ολόκληρο τον οργανισμό και ενίσχυσαν τα μέτρα ασφαλείας, αποτρέποντας την επιτυχία της επίθεσης.

2. Αποτροπή της πλαστοπροσωπίας με αυστηρή επαλήθευση

Τι προσπάθησαν οι χάκερ: Σε μια άλλη περίπτωση, ένας χάκερ προσποιήθηκε τον τακτικό προμηθευτή μιας κατασκευαστικής εταιρείας και έστειλε μήνυμα ηλεκτρονικού ταχυδρομείου στο τμήμα πληρωτέων λογαριασμών ζητώντας αλλαγή του τραπεζικού λογαριασμού στον οποίο γίνονταν οι πληρωμές. Το σχέδιο του χάκερ ήταν να εκτρέψει ένα μεγάλο χρηματικό ποσό σε έναν λογαριασμό που ελεγχόταν από τους ίδιους.

Πώς το απέφυγαν: Η πολιτική της εταιρείας προέβλεπε ότι κάθε αίτημα για αλλαγή των στοιχείων πληρωμής έπρεπε να επαληθεύεται με απευθείας τηλεφωνική κλήση στον προμηθευτή. Κατά την προσπάθεια επαλήθευσης του αιτήματος, το τμήμα πληρωτέων λογαριασμών επικοινώνησε με τον πραγματικό προμηθευτή, ο οποίος αρνήθηκε ότι ζήτησε την αλλαγή. Αυτό σήμανε κόκκινο πανί και η απόπειρα πλαστοπροσωπίας αποτράπηκε πριν μεταφερθούν χρήματα.

3. Η κοινωνική μηχανική μέσω κοινωνικών δικτύων διακόπτεται από την προληπτική παρακολούθηση

Τι προσπάθησαν οι χάκερ: Σε μια απόπειρα διείσδυσης, οι χάκερς εντόπισαν έναν υπάλληλο μιας εταιρείας τεχνολογίας μέσω των κοινωνικών του δικτύων. Στη συνέχεια χρησιμοποίησαν τις πληροφορίες που είχε αναρτήσει ο υπάλληλος για να δημιουργήσουν ένα ψεύτικο προφίλ και να τον υποδυθούν. Το σχέδιο ήταν να επικοινωνήσουν με την τεχνική υποστήριξη της εταιρείας και να ζητήσουν επαναφορά του κωδικού πρόσβασης, επικαλούμενοι προβλήματα πρόσβασης.

Πώς το απέφυγαν: Η εταιρεία διέθετε ένα προληπτικό σύστημα παρακολούθησης των μέσων κοινωνικής δικτύωσης, σχεδιασμένο για τον εντοπισμό πιθανών κινδύνων ασφαλείας που σχετίζονται με την κοινωνική μηχανική. Μόλις αντιλήφθηκε τη δημιουργία του ψεύτικου προφίλ, η ομάδα ασφαλείας ανέλαβε άμεσα δράση για την προστασία των λογαριασμών του υπαλλήλου και ενημέρωσε το προσωπικό τεχνικής υποστήριξης για την απόπειρα φάρσας. Ως αποτέλεσμα, ο χάκερ δεν απέκτησε πρόσβαση σε κανέναν λογαριασμό και η ασφάλεια της εταιρείας παρέμεινε άθικτη.

Οι περιπτώσεις αυτές δείχνουν πώς η προετοιμασία, η κατάρτιση και οι σαφείς πολιτικές μπορούν να κάνουν τη διαφορά στην αποτροπή μιας επιτυχημένης επίθεσης κοινωνικής μηχανικής. Το κλειδί είναι να παραμένετε σε εγρήγορση και να έχετε πάντα ένα ισχυρό πρωτόκολλο ασφαλείας.

Περίληψη

Η κοινωνική μηχανική είναι μια πολύπλοκη πρόκληση, επειδή δεν βασίζεται στην τεχνολογία, αλλά στον ανθρώπινο χειρισμό. Οι εταιρείες πρέπει να εκπαιδεύουν τους υπαλλήλους τους ώστε να αναγνωρίζουν τα σημάδια μιας πιθανής επίθεσης και να θεσπίζουν σαφείς διαδικασίες για τον χειρισμό των αιτημάτων για πληροφορίες. Ένας συνδυασμός ευαισθητοποίησης, κατάρτισης και πρωτοκόλλων ασφαλείας μπορεί να είναι το κλειδί για την προστασία από αυτές τις απειλές.