Kuigi paljud muretsevad viiruste, pahavara ja häkkerite pärast, unustatakse sageli, et suurim haavatavus on meie ise: inimesed.

Sotsiaaltehnoloogia põhineb psühholoogilisel manipulatsioonil, mille eesmärk on sundida teid avaldama konfidentsiaalset teavet või võtma meetmeid, mis ohustavad teie ettevõtte turvalisust.

Mis on sotsiaalne insenerlus ja kuidas seda ära tunda?

Sotsiaaltehnoloogia ei ole uus, kuid see on arenenud koos tehnoloogiaga.

Kujutage ette häkkerit, kes ei pea murdma koode või häkkima süsteeme. Selle asemel manipuleerib ta ettevõtte töötajaid, et saada juurdepääs tundlikule teabele.

Selline lähenemine kasutab ära usaldust, uudishimu või isegi hirmu.

Sotsiaaltehnoloogilise infosüsteemide kasutamise katse on võimalik ära tunda, kui keegi küsib teilt tundlikku teavet või kutsub teid valel ettekäändel kahtlasele lingile klõpsama.

Tavalised meetodid on andmepüügiga seotud e-kirjad, petukõned ja postitused sotsiaalmeedias.

Enda ja oma ettevõtte kaitsmiseks on oluline olla alati valvsad, alati kontrollida teabenõudeid ja mitte kunagi jagada tundlikke andmeid, ilma et oleksite täiesti kindel päringu esitaja autentsuses.

Ettevõtete haavatavuse juhtumid

1. Töötajatele suunatud andmepüük: Suurt ettevõtet rünnati, kui häkker saatis mitmele töötajale e-kirja, milles ta esines IT-direktorina. E-kirjas paluti töötajatel muuta oma paroole võltsitud veebilehel, mis võimaldas häkkeril ligi pääseda ettevõtte kontodele.

2. Phishing rünnakÜhes teises ettevõttes esines häkker ettevõtte tavalise tarnijana ja nõudis maksete tegemiseks pangakonto muutmist. Ettevõte kandis suure summa raha häkkeri kontole, enne kui pettusest aru sai.

3. Sotsiaalne insenerlus sotsiaalsete võrgustike kaudu: Üks töötaja jagas sotsiaalmeedias üksikasju oma töö ja kasutatud süsteemide kohta. Häkker kasutas seda teavet, et petta ettevõtte tehnilise toe osakonda ja saada juurdepääs töötaja kontodele.

Edulood ettevõtetest, kes on ära hoidnud sotsiaalse inseneri rünnakud

1. Phishing-katse peatati töötajate teadlikkuse tõstmise abil

Mida häkkerid proovisid: Küberkurjategijate rühm üritas rünnata finantsteenuste ettevõtet, saates mitmetele töötajatele andmepüügi e-kirju. E-kirjad näisid tulevat ettevõtte finantsjuhilt ja palusid töötajatel sisestada oma andmed veebisaidil, mis jäljendas ettevõtte sisselogimislehte. Eesmärgiks oli saada juurdepääs töötajate kontodele ja ohustada sisesüsteeme.

Kuidas nad seda vältisid: Tänu käimasolevale küberturvalisuse koolitusprogrammile tundis üks töötajatest e-kirja kahtlasena ära. Selle asemel, et lingile klõpsata, teavitas ta ettevõtte turvameeskonda. Meeskond suutis e-kirja analüüsida ja kinnitada, et tegemist oli andmepüügikatsega. Seejärel hoiatasid nad kogu organisatsiooni ja tugevdasid turvameetmeid, mis takistas rünnaku õnnestumist.

2. Isikupuute vältimine range kontrollimisega

Mida häkkerid proovisid: Ühel teisel juhul andis häkker end tootmisettevõtte tavalise tarnijana välja ja saatis raamatupidamisarvestuse osakonnale e-kirja, milles palus muuta pangakontot, mille kaudu maksed tehti. Häkkeri plaan oli suunata suur summa raha enda kontrollitavale kontole.

Kuidas nad seda vältisid: Ettevõtte poliitika nõudis, et iga makseteabe muutmise taotlust tuleb kontrollida otsekõne teel tarnijale. Püüdes taotlust kontrollida, võttis raamatupidamisarvestuse osakond ühendust tegeliku tarnijaga, kes eitas, et ta oleks taotlenud muudatust. See tõi esile punase lipukese ja võltsimiskatse nurjati enne raha ülekandmist.

3. Sotsiaalsete võrgustike kaudu toimuv sotsiaalne insenerlus, mida ennetav jälgimine häirib.

Mida häkkerid proovisid: Infiltreerimiskatse käigus tuvastasid häkkerid ühe tehnoloogiaettevõtte töötaja tema suhtlusvõrgustike kaudu. Seejärel kasutasid nad töötaja postitatud teavet, et luua võltsprofiil ja kehastuda temaks. Plaan oli võtta ühendust ettevõtte tehnilise toega ja taotleda parooli lähtestamist, väites, et neil on juurdepääsuprobleemid.

Kuidas nad seda vältisid: Ettevõttel oli kasutusel ennetav sotsiaalmeedia seiresüsteem, mis oli loodud selleks, et tuvastada võimalikke sotsiaaltehnoloogiaga seotud turvariske. Kui turvarühm märkas võltsprofiili loomist, võttis ta kohe meetmeid, et kaitsta töötaja kontosid, ning teavitas tehnilist tuge pettusekatsest. Selle tulemusena ei saanud häkker juurdepääsu ühelegi kontole ja ettevõtte turvalisus jäi puutumata.

Need juhtumid näitavad, kuidas ettevalmistus, koolitus ja selged eeskirjad võivad teha kõik, et vältida edukat sotsiaalset insenerirünnakut. Oluline on jääda valvsaks ja kehtestada alati kindel turvaprotokoll.

Kokkuvõte

Sotsiaaltehnoloogia on keeruline väljakutse, sest see ei tugine tehnoloogiale, vaid inimlikule manipuleerimisele. Ettevõtted peavad koolitama oma töötajaid, et nad tunneksid ära võimaliku rünnaku tunnused, ja kehtestama selge korra teabepäringute käsitlemiseks. Teadlikkuse, koolituse ja turvaprotokollide kombinatsioon võib olla võti nende ohtude eest kaitsmiseks.