Τι είναι η Κοινωνική Μηχανική; Ορισμός & Τύποι

⚡ Έξυπνη Σύνοψη

Η κοινωνική μηχανική είναι η τέχνη της χειραγώγησης ανθρώπων με σκοπό την αποκάλυψη εμπιστευτικών πληροφοριών ή την παροχή πρόσβασης και αυτή η σελίδα εξηγεί πώς σκηνοθετούνται αυτές οι επιθέσεις, τις τεχνικές που προτιμούν οι επιτιθέμενοι και τα αντίμετρα που τις σταματούν.

🎯 Ανθρώπινος στόχος: Η κοινωνική μηχανική επιτίθεται σε ανθρώπους και όχι σε λογισμικό, εκμεταλλευόμενη την εμπιστοσύνη, τον φόβο, την περιέργεια και την απληστία.
🔄 Κύκλος επίθεσης: Οι επιτιθέμενοι συλλέγουν πληροφορίες, σχεδιάζουν, αποκτούν εργαλεία, επιτίθενται και στη συνέχεια επαναχρησιμοποιούν ό,τι μαθαίνουν.
🎭 Βασικές τεχνικές: Η εξοικείωση, ο εκφοβισμός, το ηλεκτρονικό ψάρεμα (phishing), η απάτη, η περιέργεια και η απληστία αποτελούν τα κύρια αίτια των αναφερόμενων περιστατικών.
️ Προσωπική άμυνα: Ο έλεγχος ταυτότητας πολλαπλών παραγόντων, ένας διαχειριστής κωδικών πρόσβασης και τα επαληθευμένα αιτήματα εμποδίζουν τις περισσότερες απόπειρες.
🏢 Οργανωτική άμυνα: Οι πολιτικές ασφαλείας και η επαναλαμβανόμενη εκπαίδευση ευαισθητοποίησης μετατρέπουν τους εργαζομένους σε επίπεδο ανίχνευσης.
🤖 Κίνδυνος στην εποχή της Τεχνητής Νοημοσύνης: Η πλαστοπροσωπία φωνής και βίντεο σε βάθος κλιμακώνεται πλέον σε αυτές τις επιθέσεις πολύ πέρα από τα email.

Περισσότερα

Τι είναι η Κοινωνική Μηχανική;

Η κοινωνική μηχανική είναι η τέχνη της χειραγώγησης των χρηστών ενός υπολογιστικού συστήματος, ώστε να αποκαλύψουν εμπιστευτικές πληροφορίες που μπορούν να χρησιμοποιηθούν για την απόκτηση μη εξουσιοδοτημένης πρόσβασης σε αυτό το σύστημα. Ο όρος καλύπτει επίσης την εκμετάλλευση της ανθρώπινης καλοσύνης, της απληστίας και της περιέργειας για την είσοδο σε περιορισμένα κτίρια ή για την πειστικότητα των χρηστών να εγκαταστήσουν λογισμικό backdoor.

Η γνώση των κόλπων που χρησιμοποιούν οι εισβολείς για να πείσουν τους ανθρώπους να μην αποκαλύψουν τα στοιχεία σύνδεσης είναι θεμελιώδης για την προστασία των συστημάτων υπολογιστών. Επειδή ο στόχος είναι ένα άτομο και όχι ένας διακομιστής, κανένα τείχος προστασίας από μόνο του δεν μπορεί να καλύψει το κενό.

Σε αυτό το άρθρο, θα μάθετε τις συνήθεις τεχνικές κοινωνικής μηχανικής και τα μέτρα ασφαλείας που τις αντιμετωπίζουν.

Πώς λειτουργεί η Κοινωνική Μηχανική;

Μια επίθεση κοινωνικής μηχανικής ακολουθεί έναν επαναλήψιμο κύκλο. Το παρακάτω διάγραμμα δείχνει τα πέντε στάδια από τα οποία περνάει ένας εισβολέας.

ΕΔΩ,

Συγκεντρώστε πληροφορίεςΣε αυτό το πρώτο στάδιο, ο εισβολέας μαθαίνει όσο το δυνατόν περισσότερα για το θύμα-στόχο. Οι πληροφορίες προέρχονται από ιστοσελίδες εταιρειών, δημόσιες καταχωρίσεις, μέσα κοινωνικής δικτύωσης και απλές συζητήσεις με χρήστες.
Σχέδιο επίθεσηςΟ επιτιθέμενος περιγράφει πώς θα εκτελεστεί η επίθεση και ποιος θα προσεγγιστεί πρώτος.
Αποκτήστε εργαλεία: Αυτά περιλαμβάνουν τα προγράμματα υπολογιστών και τα στηρίγματα που χρησιμοποιούνται κατά την έναρξη της επίθεσης.
ΕπίθεσηΟ εισβολέας εκμεταλλεύεται τις αδυναμίες του συστήματος-στόχου, συνήθως προτρέποντας ένα άτομο να δράσει.
Χρησιμοποιήστε την Επίκτητη ΓνώσηΛεπτομέρειες που συλλέγονται στην πορεία, όπως ονόματα κατοικίδιων ζώων ή ημερομηνίες γέννησης ιδρυτών, τροφοδοτούν μεταγενέστερες επιθέσεις, όπως η εικασία κωδικών πρόσβασης.

Τύποι επιθέσεων κοινωνικής μηχανικής

Οι τεχνικές κοινωνικής μηχανικής λαμβάνουν πολλές μορφέςΤα έξι παρακάτω περιστατικά αντιπροσωπεύουν τα περισσότερα αναφερόμενα περιστατικά.

Εκμετάλλευση Εξοικείωσης

Οι χρήστες είναι λιγότερο καχύποπτοι απέναντι σε άτομα που ήδη γνωρίζουν, επομένως ένας εισβολέας μπορεί να αφιερώσει χρόνο για να γίνει ένα οικείο πρόσωπο πρώτα — στα γεύματα, στα διαλείμματα ή σε κοινωνικές εκδηλώσεις. Όταν ένα κτίριο χρειάζεται κωδικό πρόσβασης ή κάρτα, ένα οικείο πρόσωπο είναι πολύ πιο πιθανό να κρατήσει την πόρτα ανοιχτή. Η ίδια οικειότητα ενθαρρύνει τους ανθρώπους να απαντούν σε απλές ερωτήσεις, όπως πού γνώρισαν τον/την σύζυγό τους ή το όνομα ενός δασκάλου. Αυτές είναι οι απαντήσεις που ζητούν οι προτροπές ανάκτησης κωδικού πρόσβασης, ώστε να μπορούν να γίνουν προσβάσιμες. λογαριασμοί email.

Εκφοβιστικές Περιστάσεις

Οι άνθρωποι αποφεύγουν οποιονδήποτε φαίνεται θυμωμένος ή αντιπαραθετικός. Χρησιμοποιώντας αυτήν την τεχνική, ο εισβολέας σκηνοθετεί έναν έντονο τηλεφωνικό καβγά ή μια διαμάχη με έναν συνεργό και στη συνέχεια ζητά πληροφορίες από έναν χρήστη. Πολλοί χρήστες απαντούν απλώς για να τερματίσουν τη συμπλοκή. Η ίδια τακτική αποθαρρύνει το προσωπικό από το να διενεργήσει έναν σωστό έλεγχο σε ένα σημείο ελέγχου ασφαλείας.

Phishing

Το ηλεκτρονικό ψάρεμα (phishing) χρησιμοποιεί τεχνάσματα και δόλο για την απόκτηση προσωπικών δεδομένων. Ο κοινωνικός μηχανικός υποδύεται μια νόμιμη υπηρεσία, όπως έναν ιστότοπο webmail ή online banking, και ζητά από τον χρήστη να επιβεβαιώσει ένα όνομα λογαριασμού και έναν κωδικό πρόσβασης. Η ίδια τεχνική συλλέγει αριθμούς καρτών, κωδικούς πρόσβασης μίας χρήσης και άλλα προσωπικά δεδομένα.

Πίσω

Η παρακολούθηση ενός εξουσιοδοτημένου χρήστη μέσω της πόρτας μιας περιορισμένης περιοχής σημαίνει ότι ακολουθεί κάποιος έναν εξουσιοδοτημένο χρήστη μέσα από την πόρτα μιας περιορισμένης περιοχής. Από συνηθισμένη ευγένεια, ο χρήστης κρατά την πόρτα και ο κοινωνικός μηχανικός μπαίνει μέσα χωρίς να επιδεικνύει σήμα.

Εκμετάλλευση της ανθρώπινης περιέργειας

Εδώ, ο κοινωνικός μηχανικός τοποθετεί μια μονάδα flash USB που έχει μολυνθεί από κακόβουλο λογισμικό, όπου οι χρήστες την παραλαμβάνουν. Ο χρήστης που την εντοπίζει συνήθως την συνδέει και η μονάδα είτε εκτελείται αυτόματα είτε δελεάζει τον χρήστη να ανοίξει ένα αρχείο με ένα ελκυστικό όνομα, όπως "Μισθός Εργαζομένου". Review.docx.

Εκμετάλλευση της ανθρώπινης απληστίας

Ο κοινωνικός μηχανικός δελεάζει τον χρήστη με την υπόσχεση για εύκολο κέρδος στο διαδίκτυο και στη συνέχεια του ζητά να συμπληρώσει μια φόρμα και να επιβεβαιώσει την ταυτότητά του με τα στοιχεία της πιστωτικής του κάρτας.

Πώς να αποτρέψετε τις επιθέσεις κοινωνικής μηχανικής;

Η πρόληψη ξεκινά με τις προσωπικές συνήθειες. Οι ακόλουθες πρακτικές προστατεύουν από κάθε είδους επιθέσεις κοινωνικής μηχανικής:

Αποφύγετε να συνδέσετε μια άγνωστη μονάδα USB στον υπολογιστή σας.
Μην κάνετε κλικ σε συνδέσμους σε μη αναμενόμενα email. Πληκτρολογήστε τη διεύθυνση ή χρησιμοποιήστε έναν αποθηκευμένο σελιδοδείκτη.
Χρησιμοποιήστε μεγάλους, μοναδικούς κωδικούς πρόσβασης που είναι αποθηκευμένοι σε έναν διαχειριστή κωδικών πρόσβασης.
Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων, προτιμώντας ένα κλειδί εφαρμογής ή υλικού αντί για SMS.
Να είστε προσεκτικοί με τις φιλίες που γίνονται μόνο μέσω διαδικτύου και οι οποίες οδηγούν γρήγορα σε χρήματα ή πρόσβαση σε αυτά.
Διατηρείτε το λειτουργικό σύστημα και όλες τις εφαρμογές ενημερωμένες.
Ασφαλίστε τις συσκευές σας με κρυπτογράφηση δίσκου και κλείδωμα οθόνης.
Εγκαταστήστε αξιόπιστο λογισμικό προστασίας από ιούς ή προστασία τερματικών συσκευών.
Δημιουργείτε αντίγραφα ασφαλείας των δεδομένων σας τακτικά και δοκιμάζετε την επαναφορά.
Καταστρέψτε ευαίσθητα έγγραφα αντί να τα απορρίψετε.
Χρησιμοποιήστε ένα VPN σε μη αξιόπιστα δίκτυα.
Κλειδώστε τον φορητό υπολογιστή σας κάθε φορά που απομακρύνεστε.
Επαληθεύστε τα ασυνήθιστα αιτήματα μέσω ενός δεύτερου, γνωστού καναλιού πριν ενεργήσετε.

Αντίμετρα Κοινωνικής Μηχανικής

Οι ατομικές συνήθειες είναι μόνο η μισή απάντηση. Επειδή κάθε τεχνική χειραγωγεί μια προβλέψιμη ανθρώπινη προκατάληψη, ένας οργανισμός μπορεί να αντιστοιχίσει ένα αντίμετρο σε κάθε μία από αυτές.

Τεχνική	Οργανωτικό αντίμετρο
Εκμετάλλευση εξοικείωσης	Εκπαιδεύστε τους χρήστες να μην υποκαθιστούν τον έλεγχο ασφαλείας με την εξοικείωση. Ακόμα και ένας γνωστός συνάδελφος αποδεικνύει την εξουσιοδότησή του για περιορισμένες περιοχές και πληροφορίες.
Εκφοβιστικές περιστάσεις	Εκπαιδεύστε τους χρήστες ώστε να αναγνωρίζουν τακτικές πίεσης που ψαρεύουν ευαίσθητες πληροφορίες, να αρνούνται ευγενικά και στη συνέχεια να αναφέρουν τη συνάντηση.
Phishing	Οι αξιόπιστοι ιστότοποι χρησιμοποιούν ασφαλείς συνδέσεις για να κρυπτογράφηση δεδομένων και να αποδείξουν την ταυτότητά τους. Ελέγξτε τη γραμμή διευθύνσεων και μην απαντάτε ποτέ σε email που ζητά προσωπικά στοιχεία.
Πίσω	Εκπαιδεύστε τους χρήστες να μην επιτρέπουν ποτέ σε άλλο άτομο να εισέλθει κατά την έγκρισή τους. Ο καθένας υποβάλλεται σε ξεχωριστή είσοδο και η υποδοχή προκαλεί τους επισκέπτες χωρίς σήμα.
Ανθρώπινη περιέργεια	Παραδώστε οποιαδήποτε μονάδα flash που βρέθηκε στους διαχειριστές συστήματος, οι οποίοι τη σαρώνουν σε ένα απομονωμένο μηχάνημα και όχι σε έναν σταθμό εργασίας παραγωγής.
Ανθρώπινη απληστία	Εκπαιδεύστε τους υπαλλήλους ώστε να αναγνωρίζουν τις απάτες με στόχο τον γρήγορο πλουτισμό και δώστε τους ένα εύκολο κανάλι για να τις αναφέρουν.

Η ενημέρωση κώδικα υποστηρίζει αυτήν την εκπαίδευση, επειδή ένας εισβολέας που δεν καταφέρνει να πείσει έναν χρήστη να συνεργαστεί καταφεύγει σε μη ενημερωμένο λογισμικό.

Συχνές Ερωτήσεις

Το hacking εκμεταλλεύεται αδυναμίες στο λογισμικό ή τη διαμόρφωση. Η κοινωνική μηχανική εκμεταλλεύεται αδυναμίες σε ανθρώπους. Τα περισσότερα πραγματικά περιστατικά συνδυάζουν και τα δύο — κάποιος πείθεται να κάνει μια ενέργεια που ανοίγει την τεχνική πόρτα.

Η προσποίηση είναι ένα επινοημένο αλλά πιστευτό σενάριο — ένας ελεγκτής, ένας αγγελιαφόρος, ένας νέος απατεώναςtractor — χρησιμοποιείται για να δικαιολογήσει ένα αίτημα. Η ιστορία παρέχει αρκετό πλαίσιο ώστε η παράδοση πληροφοριών να μοιάζει με ρουτίνα.

Το Vishing είναι κοινωνική μηχανική μέσω φωνητικής κλήσης. Το smishing χρησιμοποιεί εφαρμογές SMS ή ανταλλαγής μηνυμάτων. Και οι δύο απομακρύνουν τη συνομιλία από το email, όπου οι χρήστες εφαρμόζουν λιγότερο έλεγχο και τα φίλτρα βλέπουν λιγότερα.

Η παραβίαση επαγγελματικών email μιμείται ένα στέλεχος ή έναν προμηθευτή και ζητά από το προσωπικό οικονομικών να αλλάξει τα στοιχεία πληρωμής ή να εγκρίνει μια μεταφορά. Οι απώλειες είναι υψηλές επειδή το αίτημα φαίνεται συνηθισμένο.

Τα γενετικά μοντέλα γράφουν άπταιστα μηνύματα σε οποιαδήποτε γλώσσα και κλωνοποιούν μια φωνή από ένα σύντομο δείγμα, έτσι ώστε τα γραμματικά λάθη να μην υποδηλώνουν πλέον απάτη. Οι υπερασπιστές απαντούν με βήματα επαλήθευσης και ανίχνευση ανωμαλιών που βασίζονται στην τεχνητή νοημοσύνη.

Έμμεσα. Το GitHub Copilot επιταχύνει τα σενάρια που αναλύουν αρχεία καταγραφής αλληλογραφίας, επισημαίνουν παρόμοιους τομείς και δημιουργούν πίνακες ελέγχου. Δεν μπορεί να κρίνει την πρόθεση, επομένως ο ανθρώπινος έλεγχος εξακολουθεί να καθορίζει το αποτέλεσμα.

Αποσυνδέστε τη συσκευή, αλλάξτε τους εκτεθειμένους κωδικούς πρόσβασης από έναν καθαρό υπολογιστή και ανακαλέστε τις ενεργές συνεδρίες. Αναφέρετε αμέσως το περιστατικό, ώστε οι διαχειριστές να μπορούν να επαναφέρουν τα διαπιστευτήρια και να ελέγξουν για περαιτέρω πρόσβαση.

Οι αναφορές παραβιάσεων του κλάδου αποδίδουν τις περισσότερες επιτυχημένες εισβολές σε ανθρώπινο παράγοντα, όπως το ηλεκτρονικό ψάρεμα (phishing), η προσποίηση ή η κλοπή διαπιστευτηρίων. Αυτός είναι ο λόγος για τον οποίο η εκπαίδευση ευαισθητοποίησης αντιμετωπίζεται ως βασικός έλεγχος ασφαλείας.