Sztuczki socjotechniczne (Inżynieria społeczna) – jest to nic innego jak manipulowanie i używanie środków psychologicznych, mających na celu przekazanie lub wyłudzenie informacji czy nakłonienie do realizacji określonych działań.
Cyberprzestępcy starają się dostać do naszych aktywów w przeróżny sposób. Wykorzystują do tego celu niewiedzę lub łatwowierność użytkowników, którzy z reguły są najsłabszym elementem zabezpieczeń naszych sieci.
Prawnie:
Stosowanie socjotechnik w celu uzyskania dostępu do danych w sposób nieuprawniony jest karalne. Tyczy się to również podszywania pod inną osobę.
Na naszym blogu pisaliśmy już nie jednokrotnie, na co należy zwracać uwagę i jak skutecznie chronić się przed tego typu wyłudzeniami. Tym razem zostawiamy notkę o strategii, w której hakerzy “irytują” użytkowników.
Irytowanie jako metoda inżynierii społecznej
Atakujący spamują monity dotyczące uwierzytelniania wieloczynnikowego (MFA), próbując zirytować użytkowników do zatwierdzenia logowania – donosi serwis Ars Technica. Technikę tę wykorzystują zarówno podmioty przestępcze, jak i państwowe.
Badacze z firmy Mandiant zaobserwowali, jak sponsorowany przez państwo rosyjskie aktor Cozy Bear uruchamiał powtarzające się monity MFA, dopóki użytkownik nie zaakceptował prośby.
Ars Technica cytuje badaczy firmy Mandiant, którzy twierdzą, że “wielu dostawców usług MFA pozwala użytkownikom zaakceptować powiadomienie push z aplikacji telefonicznej lub odebrać połączenie telefoniczne i nacisnąć klawisz jako drugi czynnik.
Aktor [Nobelium] wykorzystał to i wysyłał wiele żądań MFA do legalnego urządzenia użytkownika końcowego, dopóki użytkownik nie zaakceptował uwierzytelnienia, co pozwoliło mu ostatecznie uzyskać dostęp do konta.”
Z metody tej korzysta również grupa przestępcza Lapsus$. Jeden z członków Lapsus$ powiedział na kanale Telegram grupy, że technika ta jest szczególnie skuteczna późno w nocy.
“Nie ma ograniczeń co do liczby wykonywanych połączeń” – powiedział. “Zadzwoń do pracownika 100 razy o 1 w nocy, gdy ten próbuje zasnąć, a on najprawdopodobniej to zaakceptuje.
Gdy pracownik zaakceptuje pierwsze połączenie, można przejść do portalu rejestracji MFA i zarejestrować kolejne urządzenie”.
Kilka wariantów tego podejścia:
– Wysyłanie mnóstwa żądań MFA i liczenie na to, że cel w końcu zaakceptuje jedno z nich, aby hałas ucichł.
– Wysyłanie jednego lub dwóch monitów dziennie. Ta metoda często przyciąga mniej uwagi, ale “nadal istnieje duża szansa, że cel zaakceptuje prośbę MFA.
– Dzwonienie do celu, udawanie, że jest się pracownikiem firmy i informowanie go, że musi wysłać żądanie MFA w ramach procesu firmowego.
Profilaktyka
Coraz to nowsze sztuczki socjotechniczne zmuszają nas do ciągłej aktualizacji naszej wiedzy i wprowadzania przeciw nim działań prewencyjnych, najważniejsze to znać zagrożenie.
Ostatnią linią obrony przed atakami phishingowymi są Twoi użytkownicy. Dlatego najważniejszym krokiem, jaki możesz podjąć w celu zapobiegania atakom, jest program szkoleniowy w zakresie świadomości bezpieczeństwa połączony z regularnymi symulowanymi testami phishingowymi.
Poniżej przedstawiamy 10 najważniejszych wskazówek dotyczących zapobiegania, którymi warto podzielić się z użytkownikami, aby zapewnić im bezpieczeństwo w każdym miejscu:
- Bądź na bieżąco z socjotechnikami
- Pomyśl, zanim klikniesz!
- Zainstaluj narzędzia antyphishingowe
- Sprawdź, czy dana witryna jest bezpieczna
- Regularnie sprawdzaj swoje konta internetowe
- Aktualizuj swoją przeglądarkę
- Korzystaj z zapór sieciowych
- Zachowaj ostrożność w przypadku pop-up’ów
- Nigdy nie podawaj danych osobowych, w nie pewnych miejscach
- Korzystaj z oprogramowania antywirusowego
Zachęcamy do edukowania siebie, jak i swoich współpracowników. Na naszej stronie poza specjalistycznymi szkoleniami oraz materiałami edukacyjnymi, znajdziecie szkolenia z zakresu zwiększenia bezpieczeństwa i świadomości ryzyka w sieci.
Źródła: https://blog.knowbe4.com/being-annoying-as-a-social-engineering-approach
https://pl.wikipedia.org/wiki/In%C5%BCynieria_spo%C5%82eczna_(informatyka)
