Социальная инженерия примеры. Социальный инжиниринг. Что за личность, этот социальный инженер

Как социальная инженерия связана с мошенничеством? Социальная инженерия как средство добычи запретной информации. Рассмотрим социальную инженерию с этих двух точек зрения. Возможно, вы заметили, что во время экономического мошенники всегда особенно активируются. В наш век технологий, они становятся всё более подготовленными и обученными. На их службе психология, соц инженерия, ИТ технологии и многие другие специальные знания, которые помогают управлять действиями людей. Все их трюки изучать, конечно, не хватит времени, но основным принципам уловок и технологий, которые они используют, всё же уделить внимание полезно, чтобы не попасть в расставленные сети.

Какие люди чаще всего становятся ? Как быть жертвой людей и обстоятельств? ? Как на нас ? Об этом и не только, мы уже писали на нашем сайте. Сейчас вкратце об особой науке — знания из которой используют «продвинутые» мошенники — социальные инженеры.

Что такое социальная инженерия?

Социальная инженерия — это достаточно молодая наука, которая включает в себя знания психологии людей и их поведения в критических ситуациях. Социальную инженерию также можно назвать «копилкой человеческих ошибок», так как эта наука вбирает в себя всё, что связано с человеческим фактором и его использованием.

Такие знания позволяют предугадывать возможные варианты поведения человека и конструировать различные ситуации с целью его выведения на определенную реакцию. Спровоцированная мошенником — социальным инженером — реакция приводит человека к тем действиям, которые изначально и были целью мошенника. Что может быть его целью? Конечно же, выведать информацию или проникнуть на чужую территорию или просто получить ваши деньги. В связи с этим социальных инженеров, еще называют социальными хакерами.

Что за личность, этот социальный инженер?

Социальный инженер, что это за человек? Эта личность обладающая и умело использующий знания из социальной инженерии. Это психолог, учитывающий комплексы, слабости, предрассудки, привычки, рефлексы и т.д. людей.

Кевин Митник, который раньше был социальным хакером, а сейчас консультирует по вопросам безопасности, высказался, что гораздо проще выманить нужную информацию с помощью уловок, чем придумывать различные программы по взлому.

Как защититься от «социальных хакеров»? Примеры успешных атак.

Это бывает очень сложно, практически невозможно, если о них ничего не знать. И, даже зная их уловки, можно попасть на удочку, ведь это знатоки ваших спонтанных реакций, рефлексов, автоматизмов и так далее. Будьте осторожны!

Так, совсем недавно, в январе этого года, интернет буквально пестрел такими новостями:

Расчет хакеров был прост — получатели рассылки выполнят просьбу мошенников от имени руководства, дабы избежать от этого руководства выговора. Так и вышло. Согласно инструкции социальных хакеров банковские служащие бельгийского банка Crelan совершили необходимые мошенникам действия без дополнительных проверок. Сообщение от хакеров на электронную почту содержало просьбу о срочном завершении транзакции. Выглядело оно достаточно правдоподобно, так как преступники использовали копии логотипов компаний и известных доменов.

Психологи проводили подобные эксперименты и до ситуации с бельгийским банком. Так исследователи из Англии отправили сотрудникам крупной корпорации сообщения от имени системного администратора их компании. Сообщение содержало просьбу отправить пароли, в связи с плановой проверкой оборудования. Результат был печальным — большая часть сотрудников (75 %) выполнила инструкции злоумышленников.

Как видим, человеческие действия достаточно легко программируются. Причем, попадаться на удочку мошенников могут вполне умные, образованные и высоко интеллектуальные люди. Ничего странного здесь нет, если учесть, что есть другие люди, изучающие поступки, автоматизмы, реакции всяких разных людей. В том числе и очень умных.

ЕЩЁ ПРИМЕР

Один социальный инженер описывает как он пробрался в место с закрытым доступом используя стереотипы мышления людей. Охранники ведь, тоже люди! Этот человек (социальный инженер) понаблюдал, какие бейджи у сотрудников нужной ему компании, сделал себе такой же, распечатав на компьютере и пошёл через задний ход вместе с сотрудниками заведения.

Конечно, у него не было чипа от дверей, но он применил метод «паровозик». Суть его проста. Когда перед дверью накапливается кучка людей, она до конца не закрывается и идущие впереди придерживают дверь для тех, кто следуют за ним. Обычная вежливость. Ведь они по бейджу видят, что это тоже сотрудник. Охранники видят кучку людей с одинаковыми бейджами и не обращают на них особого внимания. Причём на стене крупными буквами висит даже не объявление, а плакат, предупреждающий, что каждый должен проходить по одному. Нельзя придерживать дверь идущему позади в целях общей безопасности! Но, разве компания знакомых будет это делать? Кто из этой компании скажет одному из людей: «А вы, пожалуйста, выйдите, и зайдите снова со своим ключом (чипом), потому, что я вас не знаю». Вероятность этого очень мала. Но делать нужно именно так.

Вот и выходит, что сотрудники с завидным постоянством нарушают требования безопасности, а аферисты, с тем же постоянством используют вышеописанные автоматизмы. Люди идущие на поводу аферистов, будут всегда, сколько бы их не предупреждали и не учили. Социальные инженеры хорошо это знают и поэтому сильно не заморачиваются, какой трюк придумать. Они с просто пользуются одними и теми же методами. Ведь и автоматизмы у людей особо не меняются, на то они и автоматизмы. Будьте оригинальным. Не мыслите стереотипно! Всегда с осторожностью относитесь к неожиданным или пугающим сообщениям. Обращайте внимание на предупреждающие объявления.

Наиболее используемые приемы социальных инженеров основаны на таких человеческих слабостях, как жалость, страх и желание быстро обогатиться. Если говорить о жалости, то хакеры используют эту черту людей самыми разными способами. Например, отправляют сообщения по телефону или через соцсети с просьбой о помощи от имени ваших друзей или родственников.

Методы социальных инженеров/ социальный инжиниринг

Все методы социальной инженерии основаны на человеческом факторе, то есть на особенностях психике людей: поддаваться панике, одинаково реагировать в определённых обстоятельствах, терять бдительность, уставать, сочувствовать, испытывать страх и многое другое. Для примера приведём лишь некоторые приёмы, а вы постарайтесь самостоятельно определить, какую особенность психики использовал здесь социальный инженер:

Один из сюжетов может быть такой: друг оказался за городом, сам сейчас позвонить не может — серьезная проблема, срочно нужны деньги. Просит выслать на счет или номер банковской карты. Пусть положительно отреагируют далеко не все, а только какой-то процент респондентов, хакер знает, что так будет. Это его не заботит, ведь запрограммированные им сообщения отправляет машина. Находятся те, кто срочно помогают, не проверяя откуда эти смс. Ведь друг в беде.. А в связи со срочностью многие и не проверяют источник.
С этим же расчетом некоторое время назад многим женщинам отправлялись смс от сына, который попал в беду. Сам он, конечно, перезвонить не может, пока мама не пришлет денег для решения этой проблемы. И мамы присылали, неизвестно куда и кому. Ничего не перепроверяя (так сын просил).
Также, от имени друзей выманивают личную информацию, рассылают вредоносные ссылки с комментариями. Например: «привет, хочешь посмеяться? Пройди по этой ссылке и ты сможешь прослушать любой интересующий тебя телефонный разговор (или смс-переписку)». Или что-то в этом роде, главное чтобы вы нажали на ссылку.
Есть в арсенале социальных инженеров и вариант, когда они «работают» под покупателя. Многие пользователи выставляют на продажу свои вещи, например на Авито. Такой «покупатель» ищет что подороже (автомобили, дома и т.п), связывается с настоящим продавцом и заявляет о своем желании купить вашу не дешевую вещь. Конечно, продавец рад. Надо же, как быстро, не успел выставить, как все продалось. В уме уже подсчитывает доход. Правда, покупатель с огорчением сообщает, что заехать сможет за вещью только через два или три дня. Ну, а чтобы вы не продали кому-то другому эту ценную вещь, он просит снять с Авито объявление и для гарантии готов прямо сегодня оплатить половину или даже 75% стоимости. «Конечно!»,- думаете вы, — «С удовольствием! Пусть платит!». «Покупатель» спрашивает на какую карту, он мог бы перевести вам деньги. И вы сообщаете этому незнакомцу все данные карты. Только вместо приобретения его денег, вы теряете все свои сбережения. Также он может попросить, сообщить ему код, который придет вам на телефон.

Если говорить о о такой черте, как желание быстро и без особых усилий разбогатеть, то это такой порок, используя который социальные инженеры могут еще очень долгое время изобретать и изобретать. Ведь люди сами ищут этих «приключений» и, даже, готовы наступать на одни и те же грабли. Поэтому и продолжают аферисты изображать: то известный бренд, дарящий сумасшедшие подарки; то компанию обещающую заманчивые скидки; то банк предлагающий взять кредит с мизерным процентом; то работодателя, который поможет легко заработать интернете или другом месте… Только, чтобы получить что-либо из этого, нужно сначала сообщить данные карты… Ведь, должен же новоявленный работодатель или добрый банк куда-то перечислить вам деньги… Сообщили данные карты незнакомому лицу, можете распрощаться с её содержимым.

Почему об этом нужно знать?

В последнее время интерес к социальной инженерии становится очень высоким. Это видно из популярности данного запроса в интернет. Значит, количество хакеров и спрос на программы по защите от их атак, будет только расти. Да и не только хакеры, аферисты любого толка используют методы социальной инженерии в своих целях.

Чтобы быть информированными, значит вооруженными, можете прочитать литературу по этой теме:

Социальная инженерия и социальные хакеры». Максим Кузнецов, Игорь Симдянов.

Будьте осторожными! Не позволяйте себя обманывать.

Социальная инженерия использует знания психологии и человеческого фактора. Будьте предельно осторожны, социальные хакеры знают вас очень хорошо.

Еще интересно было бы узнать, знали ли вы о социальной инженерии и хитрых приемах используемых теми людьми, которые за ней стоят?

С уважением, сайт Если хотите получать новые статьи, подпишитесь на нашу рассылку.

(Visited 6 277 times, 2 visits today)

Социальная инженерия – способ получения доступа к конфидециальной информации, паролям, банковским и другим защищенным данным и системам.
Киберпреступники используют социальную инженерию для проведения таргетированных атак (атаки на инфраструктуру компаний или государственных структур). Они заранее тщательно изучают средства защиты этой организации.

Публикация данной статьи на портале www.. Ни редакция сайта, ни автор статьи не несут ответственности за ненадлежащее использование полученной из статьи информации!

Социальная инженерия

Считается, что социальная инженерия - самый опасный и разрушительный вид атак на организации. Но к сожалению на конференциях по информационной безопасности этому вопросу практически не отводится внимания.

При этом большинство кейсов в русскоговорящем сегменте интернета приводится из иностранных источников и книги . Я не утверждаю, что в Рунете таких случаев мало, просто о них почему-то не говорят. Я решил разобраться в том, насколько в реальности опасна социальная инженерия, и прикинуть, какими могут быть последствия ее массового применения.

Социальная инженерия в информационной безопасности и пентестинге обычно ассоциируется с точечной атакой на конкретную организацию. В этой подборке кейсов я хочу рассмотреть несколько примеров применения социальной инженерии, когда «атаки» производились массово (без разбора) или массово-таргетированно (по организациям определенной сферы).

Давайте определимся с понятиями, чтобы всем было ясно, что я имею в виду. В статье я буду использовать термин «социальная инженерия» в следующем значении: «совокупность методов достижения цели, основанная на использовании слабостей человека». Не всегда это что-то криминальное, но это определенно имеет негативный окрас и ассоциируется с , мошенничеством, манипулированием и тому подобными вещами. А вот всякие психологические штучки по выбиванию скидки в магазине - это не социальная инженерия.

В данной сфере я буду выступать лишь как исследователь, никаких вредоносных сайтов и файлов я не создавал. Если кому-то приходило письмо от меня со ссылкой на сайт, то этот сайт был безопасен. Самое страшное, что там могло быть, - это отслеживание пользователя счетчиком «Яндекс.Метрики».

Примеры социальной инженерии

Наверняка вы слышали про спам с «актами выполненных работ» или договорами, в которые вшиты трояны. Такой рассылкой бухгалтеров уже не удивишь. Или всплывающие окна с «рекомендациями» скачать плагин для просмотра видео - это уже скучно. Я разработал несколько менее очевидных сценариев и представляю их здесь в качестве пищи для размышлений. Надеюсь, что они не станут руководством к действию, а, наоборот, помогут сделать Рунет безопаснее.

Верифицированный отправитель

Иногда администраторы сайтов по недосмотру не включают фильтрацию поля «Имя» в форме регистрации (скажем, при подписке на рассылку или при отправке какой-нибудь заявки). Вместо имени можно вставить текст (иногда килобайты текста) и ссылку на вредоносный сайт. В поле email вставляем адрес жертвы. После регистрации этому человеку придет письмо от сервиса: «Здравствуйте, уважаемый…», а дальше - наш текст и ссылка. Сообщение от сервиса будет в самом низу.

Как это превратить в оружие массового поражения?

Элементарно. Вот один случай из моей практики. В одном из поисковиков в декабре 2017 года была обнаружена возможность отправки сообщений через форму привязки запасного email. До того как я выслал отчет по программе bug bounty, имелась возможность отправлять 150 тысяч сообщений в сутки - нужно было только немного автоматизировать заполнение формы.

Этот трюк позволяет отправлять мошеннические письма с настоящего адреса техподдержки сайта, со всеми цифровыми подписями, шифрованием и так далее. Вот только вся верхняя часть оказывается написанной злоумышленником. Такие письма приходили и мне, причем не только от крупных компаний вроде booking.com или paypal.com, но и от менее именитых сайтов.

А вот «тренд» апреля 2018-го.

Письма с Google Analytics

Расскажу о совсем новом случае - за апрель 2018 года. С почты Google Analytics на несколько моих адресов начал приходить спам. Немного разобравшись, я нашел способ, которым его отправляют.

Примеры социальной инженерии. Метод «Верифицированный отправитель»

«Как это применить?» - подумал я. И вот что пришло на ум: мошенник может сделать, например, такой текст.

Примеры социальной инженерии. Метод «Верифицированный отправитель»

Такой сбор паролей можно провести не только адресно, но и массово, нужно лишь немного автоматизировать процесс сбора доменов с Google Analytics и парсинга email с этих сайтов.

Любопытство

Этот метод заставить человека перейти по ссылке требует некоторой подготовки. Создается сайт фейковой компании с уникальным названием, которое сразу привлекает внимание. Ну, например, ООО «ЗагибалиВыгибали». Ждем, пока поисковики его проиндексируют.

Теперь придумываем какой-нибудь повод разослать поздравления от имени этой компании. Получатели тут же начнут его гуглить и найдут наш сайт. Конечно, лучше и само поздравление сделать необычным, чтобы получатели не смахнули письмо в папку со спамом. Проведя небольшой тест, я легко заработал более тысячи переходов.

Фейковая подписка на рассылку

А что это там написано?

Чтобы заманить людей с какого-нибудь форума или сайта с открытыми комментариями, не нужно выдумывать заманчивые тексты - достаточно всего лишь запостить картинку. Просто выберите что-нибудь попривлекательнее (какой-нибудь мем) и ужмите так, чтобы различить текст было невозможно. Любопытство неизменно заставляет пользователей кликать по картинке. Я в своих исследованиях провел эксперимент и получил таким примитивным способом около 10k переходов. Этим же способом злоумышлении когда-то доставляли трояны через ЖЖ (живой журнал).

Как вас зовут?

Заставить пользователя открыть файл или даже документ с макросом не так сложно, даже несмотря на то, что многие слышали о подстерегающих опасностях. При массовой рассылке даже просто знание имени человека серьезно повышает шансы на успех.

Например, мы можем отправить письмо с текстом «Этот email еще активен?» или «Напишите, пожалуйста, адрес вашего сайта». В ответе как минимум в 10–20% случаев придет имя отправителя (чаще это встречается в крупных компаниях). А через какое-то время пишем «Алёна, здравствуйте. Что такое с вашим сайтом (фото приложил)?» Или «Борис, добрый день. Никак не разберусь с прайсом. Мне 24-я позиция нужна. Прайс прикладываю». Ну а в прайсе - банальная фраза «Для просмотра содержимого включите макросы…», со всеми вытекающими последствиями.

В общем, персонально адресованные сообщения открываются и обрабатываются на порядок чаще.

Массовая разведка

Этот сценарий - не столько атака, сколько подготовка к ней. Предположим, мы хотим узнать имя какого-то из важных сотрудников - например, бухгалтера или руководителя службы безопасности. Это несложно сделать, если отправить кому-то из сотрудников, которые могут обладать этой информацией, письмо следующего содержания: «Подскажите, пожалуйста, отчество директора и график работы офиса. Нужно отправить курьера».

Время работы спрашиваем, чтобы замылить глаза, а спрашивать отчество - это трюк, который позволяет не выдавать, что мы не знаем имени и фамилии. И то и другое, скорее всего, будет содержаться в ответе жертвы: ФИО чаще всего пишут целиком. Мне в ходе исследования удалось таким образом собрать ФИО более чем двух тысяч директоров.

Если нужно узнать почту начальства, то можно смело писать секретарю: «Здравствуйте. Давно не общался с Андреем Борисовичем, его адрес еще рабочий? А то ответ не получил от него. Роман Геннадьевич». Секретарь видит email, выдуманный на основе настоящих ФИО директора и содержащий сайт компании, и дает настоящий адрес Андрея Борисовича.

В любой большой или даже маленькой организации есть в защите информации слабые места. Даже если на всех компьютерах компании стоит наилучшее программное обеспечение, пароли всех сотрудников являются наисложнейшими, а за всеми компьютерами следят самые умные администраторы — все равно можно найти слабое место. И одним, самым главным, “слабым местом” являются люди, которые работают в компании, имеют доступ к компьютерным системам и являются в большей или меньшей степени носителем информации об организации. Людям собирающимся украсть информацию или иными словами взломщикам, только на руку человеческий фактор. И именно на людях они пробуют различные способы влияния называющиеся социальным инжинирингом. О нем то я и попробую сегодня рассказать в статье и о том какую опасность он несет для для обычных пользователей, и для организаций.

Давайте для начала поймем, что такое социальный инжиниринг — это термин, который используют взломщики и хакеры, обозначающий несанкционированный доступ к информации, но совершенно противоположный взлому программного обозначения. Цель не взломать, а обхитрить людей так, что бы они сами дали пороли или иную информацию, которая в дальнейшем сможет помочь хакерам нарушить безопасность системы. Такое мошенничество включает в себя звонки по телефону в организацию и выявление тех сотрудников, которые владеют нужной информацией, а затем звонок выявленному администратору от несуществующего сотрудника, который якобы имеет проблемы доступа к системе.

Социальный инжиниринг напрямую связан с психологией, но развивается как отдельная его часть. В наше время подход инжиниринга используется очень часто, особенно для незаметной работы взломщика по краже документов. Этим способом обучают шпионов и тайных агентов, для тайного проникновения без оставления следов.

Человек способен думать, рассуждать, приходить к тому или иному выводу, но не всегда выводы могут оказаться настоящими, собственными, а не навязанные извне, такие какие они нужны кому то другому. Но самое интересное и главное помогающее мошенникам, что человек может не замечать, что его умозаключения ложные. Он до последнего момента может думать, что все он решил сам. Именно этой особенностью пользуются люди практикующие социальный инжиниринг.

Смысл социального инжиниринга является кража информации. Люди занимающиеся этим стараются без лишнего внимания украсть информацию, а потом распорядится ею по своему усмотрению: продать или шантажировать первичного владельца. По статистике очень часто оказывается, что подобные проделки происходят по заказу конкурирующей фирмы.

А теперь давайте рассмотрим способы социального инжиниринга.

Human denial of service (HDoS)

Суть этой атаки заключается в том, что бы незаметно заставить человека не реагировать на те или иные ситуации.

Например, отвлекающем маневром служит симуляция атаки на какой нибудь порт. Системный администратор отвлекается на ошибки, а в это время без проблем проникают на сервер и берут ту информацию, которая нужна. Но администратор может быть уверенным, что в этом порту ошибок быть не может и тогда проникновение хакера моментально будет замечено. Вся суть этого способа заключается в том, что взломщик должен знать психологию и уровень знаний системного администратора. Без этих знаний проникновение на сервер не возможен.

Способ “звонок”.

Под этим способом подразумевается телефонный звонок так называемой “жертве”. Мошенник звонит жертве и с помощью правильно поставленной речи и психологически правильно заданных вопросов вводит ее в заблуждение и выведывает всю нужную информацию.

Например: звонит мошенник и сообщает, что он по просьбе администратора проверяетт работоспособность системы безопасности. Затем он просит назвать пароль и имя пользователя, а после этого вся нужная ему информация у него в кармане.

Визуальный контакт.

Самый сложный способ. Справится с ней под силу только профессионально подготовленным людям. Смысл этого способа заключается в том, что обязательно надо найти подход к жертве. После того, как подход найден можно будет с его помощью понравится жертве, втереться ей в доверие. А уже после этого жертва сама выложит всю нужную информацию и ей будет казаться, что она ничего важного не рассказывает. Только вот делать такое может только профессионал.

Электронная почта.

Это самый распространенный у взломщиков способ вытягивания информации. В большинстве случаев взломщики отправляют письмо жертве от якобы знакомого ей человека. Самое сложное в этом способе — это скопировать манеру и стиль письма этого знакомого. Если жертва поверит в обман, то здесь уже можно вытягивать всю информацию, какая только может понадобится взломщику.