Социальная инженерия — это тактика, при которой злоумышленник обманывает пользователя, рассказывая ему ложную историю в попытке воспользоваться его доверчивостью, жадностью, любопытством и другими человеческими качествами.
Содержание
Жертва добровольно передает злоумышленнику закрытую информацию — персональную (например, имя, адрес электронной почты) или финансовую (например, номер карты или криптокошелька) — или устанавливает вредоносное ПО или бэкдоры в своей системе.
Современные атаки можно разделить на две большие категории по типу мишени: атаки на оборудование и атаки на пользователя. Об атаках на оборудование впервые заговорили еще в 1996 году, в исторической статье Smashing the Stack for Fun and Profit (Переполнение стека ради забавы и прибыли). Однако и раньше, и сейчас преобладают атаки на человека, то есть социальная инженерия. Все известные атаки, не основанные на уязвимостях, содержат элемент социальной инженерии, в котором злоумышленник пытается убедить жертву сделать что-то, что нанесет ей вред.
Типы угроз социальной инженерии
В этом списке перечислены некоторые основные типы атак с применением социальной инженерии:
Фишинг
Фишинг — один из наиболее распространенных типов атак с применением социальной инженерии. С помощью электронных писем и текстовых сообщений злоумышленники заставляют жертв открывать вредоносные вложения или переходить по ссылкам на вредоносные веб-сайты.
Приманка
В этой атаке злоумышленники дают ложные обещания, пробуждая в жертве жадность или интерес. Обманутые жертвы раскрывают чувствительную информацию или загружают вредоносное ПО. Один из распространенных примеров — оставить зараженную флешку в общественном месте. Заинтересованная жертва вставляет флешку в свое устройство, устанавливая вредоносное ПО.
Претекстинг
В ходе этой атаки злоумышленник обманывает жертву, чтобы получить доступ к данным. Например, злоумышленник может притвориться, что ему нужны финансовые или персональные данные для подтверждения личности жертвы.
Поддельный антивирус
Поддельный антивирус пугает жертву ложными сообщениями об угрозах. Пользователи думают, будто их система заражена вредоносным ПО, и устанавливают предлагаемое программное обеспечение, которое как раз и является вредоносным, например вирус или шпионское ПО. Типичными примерами являются всплывающие баннеры в браузере с текстом: «Ваш компьютер может быть заражен». Пользователю предлагается установить исправление или перейти на сайт, который оказывается вредоносным.
Целевой фишинг и уэйлинг
При целевом фишинге атака направлена на конкретное лицо или организацию. Уэйлинг нацелен на высокопоставленных сотрудников — генерального директора и других руководителей высшего звена.
Проход «паровозиком»
При этом методе злоумышленник входит в охраняемое здание или офис, следуя за пользователем с картой доступа. Остальные предполагают, что у злоумышленника есть разрешение присутствовать на территории.
Мошенничество с применением ИИ
Злоумышленники обманывают жертв с помощью искусственного интеллекта. Распространенные схемы:
Текст, сгенерированный ИИ: обманные текстовые сообщения, генерируемые ИИ, для фишинга или распространения вредоносных программ.
Изображения, сгенерированные ИИ: поддельные изображения, созданные с помощью ИИ, для манипуляций и обмана.
Голосовые сообщения, сгенерированные ИИ: мошеннические голосовые сообщения якобы от представителей настоящих организаций.
Видео, сгенерированные ИИ: манипуляции с дипфейковыми видео для распространения дезинформации или атак.
Посетите страницу с описанием двенадцати типов атак с применением социальной инженерии, чтобы узнать больше.
Как распознать атаки с применением социальной инженерии
Поскольку атаки принимают разные формы и масштаб и полагаются на человеческие слабости, выявлять их довольно сложно. Тем не менее, если вы заметите перечисленные ниже признаки, возможно, кто-то пытается вас обмануть с помощью социальной инженерии:
Неожиданное электронное письмо или текстовое сообщение от незнакомого человека.
Сообщение якобы очень срочное.
От вас требуют нажать на ссылку или открыть вложение.
Сообщение содержит множество опечаток и грамматических ошибок.
Или вам звонит незнакомец.
Он пытается выудить у вас личную информацию.
Звонящий просит вас что-то скачать.
Звонящий напирает на срочность и даже проявляет агрессию.
Лучшая защита от социальной инженерии — осведомленность о многочисленных способах обмана, которыми пользуются современные киберпреступники. Помимо обычных последствий, таких как спам, фишинг или заражение вредоносными программами, главная угроза заключается в краже данных.
Следите за перечисленными тревожными признаками, а также соблюдайте следующие рекомендации:
Устанавливайте последние обновления операционной системы и программного обеспечения по кибербезопасности.
Используйте многофакторную аутентификацию и/или диспетчер паролей.
Не открывайте электронные письма и вложения из неизвестных источников.
Установите высокий уровень спам-фильтров.
Удаляйте и игнорируйте запросы финансовой информации или паролей.
Если у вас возникли подозрения, сохраняйте спокойствие и не торопитесь.
Поищите информацию о сайте, компании и человеке.
Следите за тем, что публикуете в социальных сетях, — установите настройки конфиденциальности.
Если вы являетесь сотрудником компании, изучите ее политики безопасности.
Примеры социальной инженерии
В погоне за прибылью киберпреступники значительно усовершенствовали свои методы получения чувствительной информации.
В большинстве стран в январе начинается налоговый сезон, и это любимый месяц киберпреступников. Киберпреступники выманивают у жертв много денег, применяя социальную инженерию в связи с известными событиями, государственными праздниками и популярными новостями. Граждане США получали спам якобы от Налоговой службы.
Нажмите здесь, чтобы узнать больше об атаках в налоговый сезон.
Новость о безвременной кончине Робина Уильямса 12 августа 2014 года потрясла людей по всему миру. Спамеры и киберпреступники тут же стали распространять спам-сообщения с именем актера в теме письма. В сообщении получателям предлагалось загрузить «шокирующее» видео о смерти Уильямса, но при нажатии на ссылку загружался исполняемый файл WORM_GAMARUE.WSTQ.
Нажмите здесь, чтобы узнать больше об атаках со сплетнями о знаменитостях.
Когда новости о пандемии лихорадки Эбола наводнили интернет, киберпреступники воспользовались этой возможностью и с помощью распространенных сообщений пытались заставить ничего не подозревающих жертв открывать поддельные электронные письма. Эти фишинговые электронные письма имели целью украсть информацию и учетные данные жертвы.
Нажмите здесь, чтобы узнать больше об атаках с применением фальшивых писем.
В 2008 году наблюдалось резкое распространение социальных атак с целью саботажа и получения прибыли. Масштабные атаки были направлены на отдельных пользователей, малый бизнес и крупные организации, а целью злоумышленников была кража денег и интеллектуальной собственности. Онлайн-мошенники придумывают разные способы атаковать пользователей в социальных сетях, таких как Facebook и Twitter.
В 2008 году пользователи Facebook стали мишенями атаки с применением сетевого червя KOOBFACE. В 2009 году Twitter стал золотой жилой для киберпреступников, распространяющих вредоносные ссылки, содержащие троянов.
Будущее атак с применением социальной инженерии
Атаку с применением социальной инженерией можно разложить на несколько компонентов:
- Средство для установления связи с жертвой: телефон, электронная почта, социальная сеть, текстовое сообщение и т. д.
- Ложь, с помощью которой злоумышленник пытается убедить жертву что-то сделать в заданное время. Часто жертве внушается ощущение срочности.
- Запрос, то есть действия, которые должна предпринять жертва, например предоставить учетные данные, запустить вредоносный файл, инвестировать в определенную криптосхему или отправить деньги.
Давайте приведем стандартный пример, с которым вы наверняка знакомы — типичную схему мошенничества с электронным письмом:
Рис. 1. Атака с применением социальной инженерии — средство, ложь, запрос
По состоянию на 2024 год преступники обманывают жертв по всем каналам коммуникаций. Они выдумывают самые разные истории. Их цели, как правило, одинаковы: раскрытие пароля, установка вредоносного ПО или получение персональных данных.
На протяжении многих лет мы видели множество различных схем, и, казалось бы, мы знаем их все. Тем не менее каждый год злоумышленники придумывают новые методы социальной инженерии. В этом разделе мы рассмотрим новые методы в области социальной инженерии, которые злоумышленники могут использовать в будущем для обмана пользователей. Меняя средство, ложь или запрос, злоумышленники могут легко придумать новые мошеннические схемы.
Какие новые элементы ожидать в будущем? Какие новые изменения в старой схеме можно предсказать? Какое влияние окажут новые технологии?
Изменения средства
По мере появления новых технологий злоумышленники находят все больше способов связаться с потенциальными жертвами. Сюда входят инструменты ИИ, устройства виртуальной реальности, такие как Apple Vision Pro, броши Humane, очки Ray-Ban и любые новые устройства, которые появятся в будущем.
Использование носимых устройств в качестве средства
На рынке ежегодно появляются новые устройства, что расширяет поверхность атаки для киберпреступников. Носимые устройства особенно интересны, потому что они всегда включены и пользователи полностью им доверяют. Схемы с применением носимых устройств имеют высокие шансы на успех. Злоумышленники могут получать доступ к носимым устройствам. Они часто не предназначены для развертывания инструментов безопасности или даже регулярной аутентификации и не защищены обычными средствами контроля.
Рис. 2. Потенциальный сценарий использования носимых устройств в качестве средства для атак с применением социальной инженерии
Чат-боты как средство
Чат-боты на базе ИИ также могут использоваться в качестве средства связи с пользователем. Идея в том, чтобы передать чат-боту ложную информацию и заставить пользователя действовать. Отравить данные чат-бота можно разными способами, например передать ему неправильную информацию, взломать обучающие данные или внедрить новые команды.
Новые атаки с применением электронной почты
Новый способ использовать классическое средство, то есть электронную почту и мессенджеры, — бот на базе большой языковой модели (LLM) для повышения эффективности атаки с компрометацией деловой электронной корреспонденции (BEC). Злоумышленник может с помощью LLM сгенерировать историю предыдущих сообщений между жертвой и генеральным директором. Затем бот продолжит разговор в этом надежном канале, выдавая себя за генерального директора и используя его стиль письма, чтобы убедить жертву перевести деньги. Этот метод уже применяется вручную, но ИИ поможет автоматизировать этот процесс.
Изменение лжи
Главная технология, которая поможет сделать ложь более правдоподобной, — ИИ. Выдуманная история зависит от времени года, страны и демографической группы, но ее можно быстро менять благодаря масштабируемости и гибкости, которые предлагает ИИ. Генеративный ИИ создает качественные изображения, аудио и видео. Кроме того, он обрабатывает большие объемы текста и генерирует правдоподобный текстовый контент. Подобная масштабируемость открывает множество путей для придумывания новой лжи.
Новая тема, которую злоумышленники могут использовать для создания лжи, — это сама технология ИИ. Например, ложь о ChatGPT или виртуальной реальности может быть эффективной из-за того интереса, который они вызывают. Кроме того, злоумышленники могут создавать поддельные инструменты, связанные с ИИ, которые на самом деле являются вредоносными программами. Графические дизайнеры обычно интересуются созданием дипфейковых изображений и видео. Они с готовностью могут загрузить инструмент для их создания, предложенный злоумышленниками. Сами дипфейковые изображения и видео при использовании в существующих успешных схемах повышают их достоверность. Эта стратегия явно набирает популярность. Мы считаем, что дипфейки могут произвести настоящую революцию в сфере социальной инженерии и в ближайшем будущем злоумышленники будут активно их использовать.
Рис. 3. Как можно улучшить мошенничество с применением голосовой связи с помощью дипфейков
- Нажмите здесь, чтобы узнать больше о Будущем социальной инженерии.
Платформа Trend Micro Vision One™
Trend Vision One — это платформа кибербезопасности, которая упрощает подход к безопасности и помогает предприятиям быстрее обнаруживать и останавливать угрозы благодаря консолидации нескольких возможностей, обеспечения более эффективного контроля над поверхностью атаки предприятия и обеспечения полной прозрачности киберрисков.
Облачная платформа использует ИИ и аналитические данные об угрозах с 250 млн датчиков и из 16 центров по исследованию угроз по всему миру, чтобы предоставлять всестороннюю информацию о рисках, ранее обнаруженных угрозах и автоматизированных вариантах реагирования на риски и угрозы в одном решении.
Предотвращение атак с применением социальной инженерии