Аферы социальной инженерии зависят от уязвимости человеческой природы, считает ДАН ТОРНТОН, генеральный директор компании GoldPhish, специализирующейся на кибербезопасности.
В основе каждой успешной кибератаки лежит человеческая ошибка. Человеческое поведение, как социального существа, хорошо предсказуемо — наши уязвимости к обману и мошенничеству хорошо известны и легко используются. Мы склонны думать о киберпреступлениях как о преступлениях, в основе которых лежат плохие парни, использующие свои технические навыки для взлома компьютерных систем, но реальность такова, что почти все кибератаки включают манипулирование людьми.
Стремление нравиться другим и склонность к доверию — это качества, воспитанные в нас социализацией. На рабочем месте эти склонности часто признаются как ценные навыки межличностного общения и отличительные черты эффективного командного игрока. Однако именно они могут заставить нас бездумно кликнуть на фишинговое письмо, предоставить свои данные для входа в систему и выдать всю клиентскую базу или цепочку поставок нашей компании теневому синдикату киберпреступников.
Атаки с использованием социальной инженерии относятся к киберпреступлениям, которые используют типичное поведение человека и злоупотребляют им, и они вносят значительный вклад в миллиарды долларов упущенной выгоды по всему миру каждый год.
Социальная инженерия — это искусство манипулирования людьми с целью заставить их выдать конфиденциальную информацию или совершить действия, которые они не должны совершать. Преступники используют тактику социальной инженерии, потому что использовать естественную склонность человека к доверию гораздо легче, чем найти способ взломать программное обеспечение компании. Людей круглосуточно бомбардируют сообщениями. Стремясь к максимальной эффективности, мы без колебаний отвечаем на сообщения и предпринимаем действия как можно быстрее, чтобы перейти к следующей задаче.
Кроме того, мы приучены быть максимально полезными, особенно на рабочем месте, поэтому, когда коллега или руководитель просит нас о чем-то, мы без раздумий соглашаемся помочь. Мы не задумываемся и не проверяем, действительно ли письмо в нашем почтовом ящике с просьбой предоставить данные для входа в систему пришло от ИТ-отдела нашей компании или это мошенничество с использованием их личных данных.
Хорошо организованные преступные синдикаты осуществляют различные формы атак с использованием социальной инженерии в зависимости от их цели. Обычная фишинговая кампания, которая часто имеет низкий процент успеха, нацелена на огромную аудиторию потенциальных жертв в попытке обманом заставить их предоставить конфиденциальные данные. Гораздо более опасной является атака «Spear Phishing», которая направлена на человека, изученного с помощью Интернета и социальных сетей, что позволяет киберпреступнику составить максимально убедительное сообщение, чтобы убедить жертву поддаться на уловку.
Подготовка таких кампаний может занять несколько недель, но они имеют высокий процент успеха. Киберпреступные синдикаты также преследуют конкретные бизнес-цели, а не отдельных людей, используя тактику Spear Phishing, чтобы получить доступ к системам компании, заразить их сети программой Ransomware или обманом заставить сотрудников перевести деньги на свои счета.
По данным глобальной исследовательской группы ThoughtLab, опубликовавшей отчет «Решения по кибербезопасности для более рискованного мира в 2022 году», кибератаки на компании и государства не только растут в геометрической прогрессии, но и становятся все более изощренными.
Это подчеркивает необходимость повышения осведомленности о кибербезопасности на всех уровнях бизнеса. Вы не сможете эффективно защитить свои системы и данные, просто внедрив программные решения. Из полученных данных мы знаем, что человеческий фактор имеет решающее значение. Сотрудники должны понимать методы социальной инженерии и психологию, которая позволяет киберпреступникам манипулировать людьми.
Социальные инженеры умело создают предлог, под которым им можно доверять, а затем постепенно укрепляют это доверие. Социально-инженерная атака может произойти не просто потому, что человек оказался более доверчивым, чем следовало бы, а потому, что им в значительной степени психологически манипулировали. В конечном итоге, защита вашего бизнеса подразумевает наличие киберподготовленного персонала.
Здравствуйте. Можно ли с помощью ЛНПА снизить эффект социальной инженерии? Ведь технические средства имеют воздействие только до определённого уровня? Какие ЛНПА лучше вводить в организации?
Что касается ЛНПА, то это Инструкция или Политика информационной безопасности компании, доводимая сотрудникам под роспись для ознакомления. Чтобы в случае инцидента было, куда «ткнуть носом» и нерадивый сотрудник не сказал, что «он ничего не знал и оно само».
Что касается реальных эффективных мер защиты от социальной инженерии, то это тренинги и обучение сотрудников на реальных примерах фишинговых писем, регулярное проведение фишинговых учений (рассылка поддельных фишинговых писем службой ИБ компании или через стороннего вендора типа Kaspersky ASAP или Antiphish.ru).
Еще необходимо внедрить план реагирования сотрудников при получении фишингового письма (уведомление ИБ, анализ письма, рассылка предупреждения в компании, чтобы держали ушки на макушке) и в ситуации, если сотрудник все-таки нажал на ссылку и чего-то там скачал и запустил.