Sociálne inžinierstvo je spôsob útoku, pri ktorom útočník neútočí primárne na technológiu, ale na človeka. Snaží sa ho presvedčiť, vystrašiť, zmanipulovať alebo dostať pod časový tlak tak, aby sám poskytol informáciu, otvoril prístup alebo vykonal určitú akciu.
Pre útočníka môže byť jednoduchšie presvedčiť človeka, aby mu prezradil heslo, než technicky prelomiť zabezpečenie systému.
Prečo to funguje?
Ľudské rozhodovanie nie je v každej situácii dokonale racionálne. Keď sme unavení, vystrašení, pod časovým tlakom alebo máme pocit, že komunikujeme s autoritou, môžeme konať rýchlejšie a menej overovať, či je požiadavka skutočne legitímna.
Útočník preto často využíva emócie a sociálne návyky.
Môže vytvoriť pocit:
- naliehavosti: „Musíte to vyriešiť okamžite.“
- strachu: „Váš účet bude zablokovaný.“
- autority: „Volám z bezpečnostného oddelenia.“
- zvedavosti: „Pozrite sa, čo sa o vás píše.“
- odmeny: „Vyhrali ste.“
- dôvery: „Som kolega, ktorý potrebuje rýchlo pomôcť.“
Samotná emócia pritom ešte neznamená podvod. Varovným signálom je najmä kombinácia emócie s požiadavkou na citlivý údaj alebo neobvyklú akciu.
Najčastejšie formy sociálneho inžinierstva
Phishing prebieha napríklad prostredníctvom podvodných e-mailov alebo správ. Správa môže napodobňovať banku, doručovaciu službu, kolegu či inú známu organizáciu a sna telefonát. Volajúci sa môže vydávať za pracovníka banky, technick aj útoky, pri ktorých útočník obeť kontaktuje osobne alebo sa vydáva za zamestnanca, kuriéra čiží sa človeka prinútiť kliknúť na odkaz, prihlásiť sa alebo poskytnúť údaje.
Vishing využíva telefonát. Volajúci sa môže vydávať za pracovníka banky, technickej podpory alebo inej autority a snaží sa vytvoriť dôveryhodný príbeh.
Smishing je podobný útok prostredníctvom SMS alebo správ v komunikačných aplikáciách.
Existujú aj útoky, pri ktorých útočník obeť kontaktuje osobne alebo sa vydáva za zamestnanca, kuriéra či servisného pracovníka.
Útočník nemusí hneď pýtať heslo
Sofistikovanejší podvod často nezačína požiadavkou:
„Povedzte mi svoje heslo.“
Môže začať úplne nevinnou otázkou.
Útočník si postupne zisťuje informácie, buduje dôveru a až neskôr požiada o niečo citlivé.
Môže napríklad najskôr overovať meno, oddelenie alebo inú bežnú informáciu a následne sa pokúsiť získať prístupový kód, prihlasovacie údaje alebo potvrdenie operácie.
Preto nestačí sledovať iba jednu konkrétnu otázku. Dôležitý je celý kontext komunikácie.
Červené vlajky
Pozornejší by sme mali byť najmä vtedy, keď niekto:
- vytvára nezvyčajný časový tlak,
- požaduje heslo alebo jednorazový overovací kód,
- žiada obísť bežný bezpečnostný postup,
- chce, aby sme komunikáciu udržali v tajnosti,
- posiela neočakávaný odkaz alebo prílohu,
- tvrdí, že nastal vážny problém, ktorý musíme okamžite vyriešiť,
- žiada finančnú transakciu alebo zmenu platobných údajov,
- používa autoritu či hrozbu ako hlavný argument,
- odmieta možnosť nezávislého overenia svojej identity.
Jednorazový overovací kód je pritom citlivý údaj. Ak ho niekto telefonicky alebo správou žiada „na overenie“, je vhodné byť mimoriadne opatrný.
Najdôležitejšia obrana: prerušiť automatickú reakciu
Sociálne inžinierstvo funguje najlepajúci pozná vaše meno, pracovnú pozíciu alebo inú informáciu o vás, ešte neznamená, že je dôveryčník nemusí byť úspešný preto, že človek je neopatrný alebo technicky neznalý. Môže jednoducho trafiť správny okamihnaží iba zísšie vtedy, keď človek reaguje automaticky.
Preto môže byť najjednoduchšou obranou obyčajná pauza:
Zastaviť sa → neklikať → neposkytovať údaje → overiť požiadavku nezávisle.
Ak vám napríklad údajná banka zavolá a žiada vykonať určitú operáciu, nemusíte pokračovať v telefonáte len preto, že volajúci pôsobí presvedčivo.
Môžete hovor ukončiť a banku kontaktovať prostredníctvom oficiálneho čísla alebo aplikácie, ktorú používate bežným spôsobom.
Rovnako pri pracovnej požiadavke je možné kontaktovať kolegu cez iný, už známy komunikačný kanál.
Útočník môže využiť aj skutočné informácie
To, že volajúci pozná vaše meno, pracovnú pozíciu alebo inú informáciu o vás, ešte neznamená, že je dôveryhodný.
Časť takýchto údajov môže byť verejne dostupná alebo získaná z predchádzajúcej komunikácie.
Preto otázka nemá znieť iba:
„Vie o mne niečo, čo by cudzí človek nevedel?“
Ale aj:
„Môžem jeho identitu a požiadavku overiť nezávisle?“
Sociálne inžinierstvo nie je dôkaz naivity
Obeťou sa môže stať prakticky ktokoľvek.
Útočník nemusí byť úspešný preto, že človek je neopatrný alebo technicky neznalý. Môže jednoducho trafiť správny okamih – keď je človek v strese, ponáhľa sa, rieši viac vecí naraz alebo dôveruje osobe, ktorá pôsobí autoritatívne.
Preto je užitočnejšie než strašenie vytvoriť si automatický bezpečnostný návyk:
Keď niekto neočakávane žiada citlivú informáciu alebo neobvyklú akciu, zastavím sa a požiadavku overím iným spôsobom.
To je podstata obrany proti sociálnemu inžinierstvu.
Útočník sa totiž nesnaží iba získať vaše údaje. Snaží sa dosiahnuť, aby ste sami urobili niečo, čo by ste po pokojnom premyslení neurobili.
