Hoci sa mnohí obávajú vírusov, škodlivého softvéru a hackerov, často sa zabúda, že najväčšiu zraniteľnosť máme my sami: ľudia.

Sociálne inžinierstvo je založené na psychologickej manipulácii s cieľom prinútiť vás prezradiť dôverné informácie alebo vykonať kroky, ktoré ohrozujú bezpečnosť vašej spoločnosti.

Čo je sociálne inžinierstvo a ako ho rozpoznať?

Sociálne inžinierstvo nie je nové, ale vyvinulo sa spolu s technológiou.

Predstavte si hackera, ktorý nepotrebuje prelamovať kódy ani sa nabúrať do systémov. Namiesto toho manipuluje so zamestnancami spoločnosti, aby získal prístup k citlivým informáciám.

Tento prístup využíva dôveru, zvedavosť alebo dokonca strach.

Pokus o sociálne inžinierstvo spoznáte, keď vás niekto požiada o citlivé informácie alebo vás vyzve, aby ste pod falošnou zámienkou klikli na podozrivé prepojenie.

Bežnými metódami sú podvodné e-maily, podvodné telefonáty a príspevky v sociálnych médiách.

Ak chcete chrániť seba a svoju spoločnosť, je nevyhnutné byť vždy ostražitý, vždy overovať žiadosti o informácie a nikdy nezdieľať citlivé údaje bez toho, aby ste si boli úplne istí pravosťou žiadateľa.

Prípady zraniteľnosti v spoločnostiach

1. Phishing zameraný na zamestnancov: Veľká spoločnosť bola napadnutá, keď hacker poslal e-mail niekoľkým zamestnancom a vydával sa za riaditeľa IT. E-mail žiadal zamestnancov, aby si zmenili heslá na falošnej stránke, čo hackerovi umožnilo prístup k účtom spoločnosti.

2. Phishingový útokV inej spoločnosti sa hacker vydával za bežného dodávateľa spoločnosti a požiadal o zmenu bankového účtu pre platby. Spoločnosť previedla na účet hackera veľkú sumu peňazí skôr, ako si podvod uvedomila.

3. Sociálne inžinierstvo prostredníctvom sociálnych sietí: Zamestnanec sa podelil o podrobnosti o svojej práci a systémoch, ktoré používal, na sociálnych sieťach. Hacker tieto informácie použil na oklamanie oddelenia technickej podpory spoločnosti a získal prístup k účtom zamestnanca.

Úspešné príbehy spoločností, ktoré zabránili útokom sociálneho inžinierstva

1. Pokus o phishing zastavený vďaka informovanosti zamestnancov

O čo sa hackeri pokúsili: Skupina kyberzločincov sa pokúsila zaútočiť na spoločnosť poskytujúcu finančné služby zaslaním podvodných e-mailov niekoľkým zamestnancom. E-maily vyzerali, že pochádzajú od finančného riaditeľa spoločnosti, a žiadali zamestnancov, aby zadali svoje prihlasovacie údaje na webovej stránke, ktorá imitovala prihlasovaciu stránku spoločnosti. Cieľom bolo získať prístup k účtom zamestnancov a kompromitovať interné systémy.

Ako sa tomu vyhli: Vďaka prebiehajúcemu programu školení o kybernetickej bezpečnosti jeden zo zamestnancov rozpoznal, že e-mail je podozrivý. Namiesto kliknutia na odkaz informoval bezpečnostný tím spoločnosti. Tento tím dokázal e-mail analyzovať a potvrdil, že ide o pokus o phishing. Potom upozornili celú organizáciu a posilnili bezpečnostné opatrenia, čím zabránili úspešnému útoku.

2. Dôsledným overovaním sa zabráni vydávaniu sa za niekoho iného

O čo sa hackeri pokúsili: V inom prípade sa hacker vydával za bežného dodávateľa výrobnej spoločnosti a poslal e-mail oddeleniu záväzkov so žiadosťou o zmenu bankového účtu, na ktorom sa vykonávali platby. Plánom hackera bolo presmerovať veľkú sumu peňazí na ním kontrolovaný účet.

Ako sa tomu vyhli: Zásady spoločnosti vyžadovali, aby sa každá žiadosť o zmenu platobných údajov overila priamym telefonátom s dodávateľom. Po pokuse o overenie žiadosti oddelenie záväzkov kontaktovalo skutočného dodávateľa, ktorý poprel, že by o zmenu požiadal. To vyvolalo varovanie a pokus o vydávanie sa za dodávateľa bol zmarený skôr, ako boli prevedené akékoľvek peniaze.

3. Sociálne inžinierstvo prostredníctvom sociálnych médií narušené proaktívnym monitorovaním

O čo sa hackeri pokúsili: Pri pokuse o infiltráciu hackeri identifikovali zamestnanca technologickej spoločnosti prostredníctvom jeho sociálnych sietí. Potom použili informácie zverejnené zamestnancom na vytvorenie falošného profilu a vydávali sa za neho. V pláne bolo kontaktovať technickú podporu spoločnosti a požiadať o obnovenie hesla, pričom tvrdili, že majú problémy s prístupom.

Ako sa tomu vyhli: Spoločnosť mala zavedený proaktívny systém monitorovania sociálnych médií, ktorý bol navrhnutý tak, aby odhalil potenciálne bezpečnostné riziká súvisiace so sociálnym inžinierstvom. Po zistení vytvorenia falošného profilu bezpečnostný tím okamžite prijal opatrenia na ochranu účtov zamestnancov a informoval pracovníkov technickej podpory o pokuse o podvod. Výsledkom bolo, že hacker nezískal prístup k žiadnym účtom a bezpečnosť spoločnosti zostala nedotknutá.

Tieto prípady ukazujú, že príprava, školenie a jasné zásady môžu mať zásadný vplyv na zabránenie úspešnému útoku sociálneho inžinierstva. Kľúčom k úspechu je zostať ostražitý a vždy mať zavedený spoľahlivý bezpečnostný protokol.

Zhrnutie

Sociálne inžinierstvo je zložitá výzva, pretože sa nespolieha na technológiu, ale na manipuláciu s ľuďmi. Spoločnosti musia vzdelávať svojich zamestnancov, aby dokázali rozpoznať príznaky potenciálneho útoku, a stanoviť jasné postupy na spracovanie žiadostí o informácie. Kľúčom k ochrane pred týmito hrozbami môže byť kombinácia informovanosti, školení a bezpečnostných protokolov.