- Η κοινωνική μηχανική των υπολογιστών εκμεταλλεύεται τα ανθρώπινα λάθη περισσότερο από τις τεχνικές βλάβες, καθιστώντας την κύρια οδό για πολλές κυβερνοεπιθέσεις.
- Οι εγκληματίες συνδυάζουν ψυχολογικές τακτικές όπως το επείγον, την εξουσία ή την εμπιστοσύνη με διάφορα ψηφιακά και φυσικά κανάλια.
- Υπάρχουν πολλοί τύποι επιθέσεων: phishing (ηλεκτρονικό ψάρεμα), smishing (συζήτηση μέσω διαδικτύου), vishing (επίθεση μέσω δολώματος), baiting (δόλωμα), scareware (σκάνδαλο), pretexting (προσχέδιο), tailgating (αυθαίρετες επιθέσεις), watering hole attacks (επιθέσεις με σφάλματα) ή DNS spoofing, μεταξύ άλλων.
- Η καλύτερη άμυνα συνδυάζει την εκπαίδευση, τις ασφαλείς ψηφιακές συνήθειες, τις καλές πρακτικές δικτύωσης και την τεχνική προστασία με ισχυρό λογισμικό και πολιτικές.
Η κυβερνοκοινωνική μηχανική είναι αυτή τη στιγμή ένα από τα αγαπημένα όπλα των κυβερνοεγκληματιών. Δεν χρειάζεται να παραβιάσουν την κρυπτογράφηση ή να παρακάμψουν τα πιο σύγχρονα τείχη προστασίας: το μόνο που χρειάζεται είναι κάποιος να τους εμπιστευτεί αρκετά ώστε να κάνει κλικ εκεί που δεν πρέπει, να ανοίξει ένα κακόβουλο αρχείο ή να αποκαλύψει δεδομένα που δεν πρέπει ποτέ να κοινοποιήσει.
Μέσω προσεκτικά σχεδιασμένων παραπλανήσεων , αυτοί οι εισβολείς εκμεταλλεύονται τις προκαταλήψεις, τα συναισθήματά μας και τις απώλειες προσοχής μας. Μπορεί να ξεκινήσουν με ένα απλό email , ένα τηλεφώνημα, ένα μήνυμα WhatsApp ή ακόμα και μια φυσική επίσκεψη στο γραφείο. Πίσω από όλα αυτά θα μπορούσε να κρύβεται οτιδήποτε, από κλοπή ταυτότητας μεγάλης κλίμακας έως το σημείο εκκίνησης μιας καταστροφικής κυβερνοεπίθεσης εναντίον μιας εταιρείας ή δημόσιου οργανισμού.
Όταν μιλάμε για κοινωνική μηχανική στην επιστήμη των υπολογιστών, αναφερόμαστε σε μια τεχνική ψυχολογικής χειραγώγησης με την οποία ένας εισβολέας πείθει ένα άτομο να εκτελέσει ενέργειες που θέτουν σε κίνδυνο την ασφάλειά του ή του οργανισμού του. Αντί να αναζητά ελαττώματα στο λογισμικό ή το δίκτυο, ο εισβολέας εστιάζει στον «πιο αδύναμο κρίκο»: τον χρήστη.
Ένα email που φαίνεται να προέρχεται από έναν συνάδελφο που ζητά εμπιστευτικά έγγραφα, ένα τηλεφώνημα από μια ψεύτικη φορολογική υπηρεσία που απειλεί με πρόστιμο ή η τυπική παράλογη προσφορά από έναν υποτιθέμενο ξένο εκατομμυριούχο είναι κλασικά παραδείγματα. Όλες αυτές οι περιπτώσεις έχουν κάτι κοινό: ο εισβολέας κερδίζει την εμπιστοσύνη σας ή χειραγωγεί τα συναισθήματά σας, έτσι ώστε εσείς να είστε αυτός που ανοίγει την πόρτα.
Στην κυβερνοασφάλεια, η κοινωνική μηχανική αναφέρεται συχνά ως «human hacking» (ανθρώπινη πειρατεία) επειδή ο άμεσος στόχος είναι το μυαλό του θύματος και όχι το λειτουργικό σύστημα ή η εφαρμογή. Οι εγκληματίες κλέβουν διαπιστευτήρια σύνδεσης, αριθμούς πιστωτικών καρτών, στοιχεία τραπεζικών λογαριασμών, πληροφορίες ταυτότητας ή επιβάλλουν την εκτέλεση κακόβουλου λογισμικού που ανοίγει το δίκτυο μιας εταιρείας σε πιο σοβαρές επιθέσεις, όπως ransomware.
Αυτή η προσέγγιση είναι ιδιαίτερα ελκυστική για τους εγκληματίες επειδή αποφεύγει πολύπλοκες τεχνικές εργασίες : αντί να σπάσουν την κρυπτογράφηση ή να παρακάμψουν ένα τείχος προστασίας, απλώς εκμεταλλεύονται την περιέργεια, τον φόβο ή την καλή πίστη των ανθρώπων. Αναφορές από οργανισμούς όπως η ISACA και η IBM δείχνουν εδώ και χρόνια ότι η κοινωνική μηχανική είναι μια από τις κύριες αιτίες παραβιάσεων της ασφάλειας και επίσης μια από τις πιο ακριβές στην επιδιόρθωση.
Είναι ενδιαφέρον ότι ο όρος «κοινωνική μηχανική» εμφανίστηκε για πρώτη φορά το 1945, από τον φιλόσοφο Καρλ Πόπερ, ο οποίος τον χρησιμοποίησε για να αναφερθεί στην πιθανότητα επανασχεδιασμού των κοινωνικών διαδικασιών και βελτίωσης της ανθρώπινης συνύπαρξης, όχι για την κλοπή δεδομένων. Στην κυβερνοασφάλεια, ωστόσο, η έννοια έχει αναπροσανατολιστεί προς τη χρήση αυτών των ίδιων ψυχολογικών δυναμικών για σαφώς κακόβουλους σκοπούς.
Μια επίθεση κοινωνικής μηχανικής σπάνια είναι εντελώς αυτοσχέδια. Συνήθως ακολουθεί έναν σχετικά δομημένο κύκλο που δίνει στον δράστη υψηλή πιθανότητα επιτυχίας, ακόμη και αν η αλληλεπίδραση φαίνεται κάπως αυθόρμητη.
Το πρώτο βήμα είναι συνήθως η φάση της προετοιμασίας ή της αναγνώρισης . Ο εισβολέας συλλέγει πληροφορίες σχετικά με το άτομο ή την ομάδα-στόχο: ονόματα, επαγγελματικούς τίτλους, email, αριθμούς τηλεφώνου, εργασιακές σχέσεις, ενδιαφέροντα, προφίλ στα μέσα κοινωνικής δικτύωσης, πρότυπα συμπεριφοράς κ.λπ. Μερικές φορές, μια απλή αναζήτηση στο LinkedIn είναι αρκετή. Άλλες φορές, βασίζονται σε προηγούμενες διαρροές δεδομένων , φόρουμ ή ακόμα και σε επιτόπια παρατήρηση, όπως το να κοιτάζουν πάνω από τον ώμο κάποιου που πληκτρολογεί τον κωδικό πρόσβασής του σε μια καφετέρια.
Στη συνέχεια έρχεται η διείσδυση . Ο εισβολέας ξεκινά την επαφή και αρχίζει να χτίζει εμπιστοσύνη: μπορεί να παρουσιαστεί ως συνάδελφος, προμηθευτής, τεχνικός υποστήριξης, τράπεζα ή γνωστή πλατφόρμα. Χρησιμοποιεί τις πληροφορίες που συλλέγει για να κάνει την ιστορία του να φαίνεται συνεκτική και οικεία, μειώνοντας τις υποψίες του θύματος.
Μόλις το θύμα νιώσει άνετα ή πιεσμένο, ξεκινά η φάση εκμετάλλευσης . Τότε επιτυγχάνεται το επιθυμητό αποτέλεσμα: το άτομο μοιράζεται το όνομα χρήστη και τον κωδικό πρόσβασής του, κατεβάζει μια υποτιθέμενη αναφορά που στην πραγματικότητα είναι ιός , εισάγει τα τραπεζικά του στοιχεία σε έναν ψεύτικο ιστότοπο ή παρέχει φυσική πρόσβαση σε μια περιορισμένη περιοχή.
Τέλος, υπάρχει η φάση της απόσυρσης . Μόλις ληφθούν οι πληροφορίες ή εκτελεστεί η επιθυμητή ενέργεια, ο εισβολέας εξαφανίζεται ή αλλάζει τοποθεσία, προσπαθώντας να καλύψει τα ίχνη του και να καθυστερήσει την ανίχνευση του περιστατικού όσο το δυνατόν περισσότερο. Σε ορισμένες πολύπλοκες εκστρατείες, η αλληλεπίδραση διαρκεί εβδομάδες ή μήνες, όπως συμβαίνει σε ορισμένες απάτες ερωτικού σεξ ή απάτες που χτίζουν εμπιστοσύνη.
Οι περισσότερες από αυτές τις επιθέσεις βασίζονται σε ανθρώπινες προκαταλήψεις και συναισθήματα που μας επηρεάζουν όλους, ανεξάρτητα από το επίπεδο τεχνικής μας εμπειρογνωμοσύνης. Μερικά από τα στοιχεία που αξιοποιούνται περισσότερο είναι:
Έντονα συναισθήματα . Όταν μια κατάσταση προκαλεί φόβο, ευφορία, ακραία περιέργεια, θυμό ή ενοχή, έχουμε την τάση να αντιδρούμε πριν καν σκεφτούμε . Οι εγκληματίες το γνωρίζουν αυτό και σχεδιάζουν μηνύματα που πυροδοτούν ακριβώς αυτές τις αντιδράσεις: «Ο τραπεζικός σας λογαριασμός έχει μπλοκαριστεί», «Κερδίσατε ένα αποκλειστικό βραβείο», «Δείτε αυτές τις φωτογραφίες που προκαλούν ανησυχία»...
Αίσθημα επείγοντος . Φράσεις όπως «τελευταία ευκαιρία», «έχετε μόνο λίγα λεπτά για να αποφύγετε τη χρέωση» ή «ο λογαριασμός σας θα διαγραφεί σήμερα» έχουν σχεδιαστεί για να σας κάνουν να δράσετε χωρίς να ελέγξετε τίποτα . Αν νομίζετε ότι θα χάσετε χρήματα, πρόσβαση ή μια εξαιρετική ευκαιρία, είναι πολύ πιο πιθανό να κάνετε κλικ σε έναν σύνδεσμο ή να δώσετε πληροφορίες χωρίς να το σκεφτείτε δύο φορές.
Χτίζοντας εμπιστοσύνη . Η απόκτηση της εμπιστοσύνης σας είναι το θεμέλιο της επιτυχίας. Για να το πετύχουν αυτό, οι εισβολείς ερευνούν τα ενδιαφέροντά σας, τη γλώσσα και το περιβάλλον σας για να εμφανιστούν ως προσιτά άτομα, συνάδελφοι, νόμιμοι τεχνικοί ή εκπρόσωποι σεβαστών οργανισμών. Όσο πιο αξιόπιστο φαίνεται το πλαίσιο, τόσο λιγότερες ερωτήσεις θα κάνετε.
Υπάρχουν περιπτώσεις όπου, εκτός από τη συναισθηματική χειραγώγηση, η κοινωνική μηχανική χρησιμοποιείται με πολύ «φυσικό» τρόπο, για παράδειγμα, κατασκοπεύοντας διαπιστευτήρια σε μια αίθουσα διαλειμμάτων εταιρείας, συλλέγοντας έγγραφα από έναν εκτυπωτή χωρίς επίβλεψη ή αναζητώντας εγκαταλελειμμένες μονάδες USB σε αίθουσες συσκέψεων. Εδώ, η πειθώ συνδυάζεται με απλή ευκαιρία.
Αρχές χειραγώγησης που χρησιμοποιούνται συχνότερα από τους επιτιθέμενους
Η κοινωνική μηχανική βασίζεται σε μεγάλο βαθμό σε αρχές που μελετά η κοινωνική ψυχολογία. Αυτοί οι μηχανισμοί επιρροής είναι τόσο βαθιά ριζωμένοι στις σχέσεις μας που συχνά δεν τους παρατηρούμε μέχρι να είναι πολύ αργά.
Η αρχή της αμοιβαιότητας ορίζει ότι όταν κάποιος μας κάνει μια χάρη, έχουμε την τάση να θέλουμε να την ανταποδώσουμε. Ένας εγκληματίας μπορεί να προσφέρει βοήθεια, πληροφορίες ή ένα μικρό όφελος (ένα χρήσιμο έγγραφο, προσωρινή πρόσβαση, έκπτωση) και αργότερα να ζητήσει κάτι σε αντάλλαγμα: «Εφόσον σας βοήθησα σε αυτό, θα μπορούσατε να μου στείλετε την πλήρη λίστα πελατών ώστε να μπορέσω να διασταυρώσω τα δεδομένα;»
Έχουμε ξαναδεί αυτό το είδος επείγοντος : αδύνατες προθεσμίες, επικείμενες απειλές ή προσφορές που λήγουν σε λίγα λεπτά. Είναι μια πολύ συνηθισμένη τακτική σε email ηλεκτρονικού "ψαρέματος" (phishing) και μηνύματα SMS με κακόβουλους συνδέσμους. Επιταχύνοντας τη διαδικασία λήψης αποφάσεων, ο εισβολέας αποδυναμώνει τις κρίσιμες άμυνές σας.
Η συνέπεια γίνεται αντικείμενο εκμετάλλευσης όταν κάποιος έχει συμφωνήσει να κάνει μικρές, φαινομενικά αβλαβείς εργασίες και, σιγά σιγά, του ζητείται να αναλάβει πιο ευαίσθητες ενέργειες. Ένας εργαζόμενος μπορεί να ξεκινήσει προωθώντας συνήθεις εσωτερικές αναφορές και να καταλήξει, σχεδόν χωρίς να το συνειδητοποιεί, να εγκρίνει πληρωμές ή να μοιράζεται κρίσιμη πρόσβαση επειδή θέλει να είναι συνεπής με την αρχική του συνεργασία.
Η αρχή της σχέσης και της εμπιστοσύνης αναδύεται όταν ο επιτιθέμενος εμφανίζεται φιλικός, μοιράζεται χόμπι, απόψεις ή ακόμα και φλερτάρει με το θύμα. Αυτή η οικειότητα μειώνει την δυσπιστία. Σε περιβάλλοντα υψηλής αξίας (διοικητικές θέσεις, προσωπικό με απόρρητη πρόσβαση, διευθυντές αγορών), αυτή η στρατηγική συνδυάζεται μερικές φορές με σεξουαλική κακοποίηση : οικείες συζητήσεις ή συμβιβαστικό υλικό χρησιμοποιούνται για εκβιασμό.
Η εξουσία είναι εμφανής καθημερινά στην απάτη των CEO ή σε email που μιμούνται στελέχη, δημόσιους φορείς ή υπηρεσίες υποστήριξης. Εάν το άτομο που ζητά κάτι φαίνεται να έχει βαθμό, επίσημη σφραγίδα ή εταιρικό λογότυπο, ένας εργαζόμενος είναι πιο πιθανό να υπακούσει χωρίς αμφιβολία.
Τέλος, η κοινωνική επικύρωση ή η πίεση από ομοτίμους μας οδηγεί στο να δεχόμαστε αιτήματα που θα φαίνονταν περίεργα αν πιστεύαμε ότι ήμασταν οι μόνοι που τα λαμβάναμε. Εάν αρκετοί συνάδελφοι σε ένα νήμα ηλεκτρονικού ταχυδρομείου φαίνεται να συμφωνούν ή εάν «όλοι το κάνουν», η αντίσταση μειώνεται δραματικά. Αυτή η προκατάληψη χρησιμοποιείται επίσης εκτενώς σε εκστρατείες παραπληροφόρησης και ψευδών ειδήσεων.
Οι κυβερνοεγκληματίες συνδυάζουν αυτές τις ψυχολογικές τεχνικές με διαφορετικά κανάλια και μορφές για να προσεγγίσουν τα θύματά τους. Πολλές κυβερνοεπιθέσεις περιλαμβάνουν κάποιο στοιχείο κοινωνικής μηχανικής, ακόμη και αν είναι γνωστές με άλλο όνομα (ιοί, ransomware κ.λπ.).
Το ηλεκτρονικό ψάρεμα (phishing) είναι ίσως η πιο γνωστή μορφή κοινωνικής μηχανικής. Περιλαμβάνει την αποστολή μηνυμάτων που μιμούνται νόμιμες επικοινωνίες από τράπεζες, πλατφόρμες πληρωμών, εταιρείες ανταλλαγής μηνυμάτων, κοινωνικά δίκτυα, κυβερνητικές υπηρεσίες ή ακόμα και συναδέλφους.
Στο μαζικό ηλεκτρονικό ψάρεμα (phishing) ή spam phishing, τα email ή τα μηνύματα αποστέλλονται σε μεγάλη κλίμακα με ελάχιστη εξατομίκευση, με την ελπίδα ότι μόνο ένα μικρό ποσοστό χρηστών θα πέσει θύμα τους. Το spear phishing , από την άλλη πλευρά, στοχεύει συγκεκριμένα άτομα χρησιμοποιώντας πραγματικά δεδομένα σχετικά με τη θέση, την εταιρεία ή τις δραστηριότητές τους, ενώ το φαλαινοθηρικό κυνήγι στοχεύει άμεσα σε προσωπικότητες υψηλού προφίλ, όπως στελέχη, πολιτικούς ή διασημότητες.
Το πιο κλασικό κανάλι είναι το ηλεκτρονικό ψάρεμα (phishing) , με συνδέσμους προς ψεύτικους ιστότοπους ή συνημμένα που περιέχουν κακόβουλο λογισμικό. Υπάρχουν όμως πολλές άλλες παραλλαγές που έχουν γίνει δημοφιλείς:
- ΒίζωΦωνητικές κλήσεις, μερικές φορές αυτοματοποιημένες, όπου ο καλών προσποιείται ότι προέρχεται από την τράπεζα, την τεχνική υποστήριξη ή άλλο ίδρυμα. Στόχος είναι να πειστεί το θύμα να αποκαλύψει κωδικούς, κωδικούς πρόσβασης ή να εγκρίνει συναλλαγές.
- ΨάρεμαΜηνύματα κειμένου (SMS ή άμεσα μηνύματα) που περιλαμβάνουν επικίνδυνους συνδέσμους ή αριθμούς τηλεφώνου για κλήση. Συχνά επικαλούνται την αίσθηση του επείγοντος: δέματα που κρατούνται, βραβεία, μπλοκαρίσματα λογαριασμών κ.λπ.
- Phishing στα κοινωνικά δίκτυα (μερικές φορές ονομάζεται Angler phishing όταν υποδύεται την εξυπηρέτηση πελατών): ψεύτικα προφίλ ή λογαριασμοί που υποδύονται μάρκες, τράπεζες ή ακόμα και φίλους για να ανακατευθύνουν το θύμα σε ιδιωτικές συνομιλίες και εξαγωγή πληροφοριών ή αποστολή κακόβουλων συνδέσμων.
- Ηλεκτρονικό ψάρεμα (phishing) στις μηχανές αναζήτησης: δόλιες ιστοσελίδες που εμφανίζονται ως διαφημίσεις ή σε καλά τοποθετημένα αποτελέσματα στις μηχανές αναζήτησης, προσποιούμενες ότι είναι τράπεζες, ηλεκτρονικά καταστήματα ή επίσημες υπηρεσίες.
- Ηλεκτρονικό ψάρεμα (phishing) περιόδου σύνδεσης (session)Εμφανίζονται αναδυόμενα παράθυρα ψευδούς σύνδεσης κατά την περιήγησή σας, τα οποία σας ζητούν να επαληθεύσετε τον πραγματικό ιστότοπο, ενώ στην πραγματικότητα παραδίδετε τα δεδομένα σας σε έναν εισβολέα.
Δόλωμα ή επιθέσεις με δόλωμα
Στις επιθέσεις δόλωσης, ο εγκληματίας βάζει σε πειρασμό το θύμα με κάτι φαινομενικά δωρεάν ή πολύ ελκυστικό : premium λογισμικό, κουπόνια έκπτωσης, αποκλειστικό περιεχόμενο, κληρώσεις, «θαυματουργά» εργαλεία κ.λπ. Το αγκίστρι έχει σχεδιαστεί για να διεγείρει την περιέργεια ή την απληστία.
Ένα τυπικό παράδειγμα είναι η παραμονή μιας μολυσμένης μονάδας USB σε μια στρατηγική τοποθεσία, όπως ένα πάρκινγκ, μια βιβλιοθήκη ή μια αίθουσα διαλειμμάτων της εταιρείας. Όποιος τη βρει μπορεί να μπει στον πειρασμό να τη συνδέσει «για να δει τι υπάρχει μέσα», προκαλώντας αυτόματη μόλυνση του υπολογιστή του ή ολόκληρου του εσωτερικού δικτύου.
Μια άλλη συνηθισμένη τακτική περιλαμβάνει συνημμένα email που υπόσχονται σημαντικές αναφορές, τιμολόγια, προσφορές εργασίας ή δώρα. Το θύμα ανοίγει το αρχείο και, εν αγνοία του, εκτελεί κακόβουλο κώδικα που επιτρέπει στους εισβολείς να πάρουν μερικό ή πλήρη έλεγχο της συσκευής.
Προσποίηση, σωματική παράβαση και παρενόχληση
Η προσποίηση περιλαμβάνει την κατασκευή ενός περίτεχνου ψευδούς σεναρίου για να δικαιολογήσει ένα αίτημα. Ο εισβολέας μπορεί να παρουσιαστεί ως προμηθευτής, ελεγκτής, τεχνικός συντήρησης ή ακόμα και ως συνάδελφος από άλλη τοποθεσία. Χάρη στις πληροφορίες που έχουν συλλεχθεί προηγουμένως, η ιστορία του ακούγεται εξαιρετικά εύλογη.
Σε πολλές περιπτώσεις, αυτό συνδυάζεται με φυσική εισβολή . Ένας εγκληματίας μπορεί να εισέλθει σε ένα κτίριο γραφείων φορώντας γιλέκο εταιρείας ταχυμεταφορών, έχοντας μαζί του ένα δελτίο παράδοσης και αποπνέοντας εμπιστοσύνη. Εάν κανείς δεν επαληθεύσει την πραγματική του ταυτότητα, μπορεί να κινηθεί στις εγκαταστάσεις, να δει οθόνες, να συλλέξει έγγραφα ή να συνδέσει συσκευές USB σε υπολογιστές της εταιρείας.
Το tailgating ή piggybacking είναι μια άλλη κλασική τεχνική: ο εισβολέας απλώς ακολουθεί ένα εξουσιοδοτημένο άτομο καθώς εισέρχεται από μια πόρτα περιορισμένης πρόσβασης, εκμεταλλευόμενος την συνήθη ευγένεια του «κρατήματος της πόρτας για το άτομο από πίσω». Μόλις μπει μέσα, η ευκαιρία να συλλέξει πληροφορίες ή να τοποθετήσει κακόβουλες συσκευές είναι τεράστια.
Quid pro quo: «Σου δίνω κάτι, εσύ μου δίνεις τα δεδομένα σου»
Στις επιθέσεις quid pro quo, ο δράστης προσφέρει ένα συγκεκριμένο όφελος σε αντάλλαγμα για πληροφορίες . Αυτό θα μπορούσε να είναι η συμμετοχή σε μια υποτιθέμενη αμειβόμενη έρευνα αγοράς, μια βραβευμένη έρευνα , δωρεάν τεχνική υποστήριξη ή η πρόσβαση σε μια πολύ ελκυστική προσφορά εργασίας.
Το θύμα, δελεασμένο από το πιθανό έπαθλο ή την «μεγάλη ευκαιρία», χαλαρώνει και μοιράζεται προσωπικά δεδομένα, διαπιστευτήρια ή ακόμα και εγκαθιστά εφαρμογές που προτείνει ο δράστης. Σε πολλές περιπτώσεις, η υποσχεμένη ανταμοιβή δεν φτάνει ποτέ : ο μόνος που κερδίζει είναι ο εγκληματίας.
Ορισμένες καμπάνιες συνδυάζουν την κοινωνική μηχανική με πιο τεχνικές δικτύωσης και τεχνικές κακόβουλου λογισμικού . Ένα παράδειγμα είναι οι επιθέσεις πλαστογράφησης ή δηλητηρίασης DNS. Χειραγωγώντας τα αρχεία ανάλυσης ονομάτων, ο εισβολέας διασφαλίζει ότι όταν πληκτρολογείτε μια νόμιμη διεύθυνση URL, το πρόγραμμα περιήγησής σας καταλήγει σε μια ψεύτικη σελίδα που έχει σχεδιαστεί για να κλέβει διαπιστευτήρια.
Οι λεγόμενες «επιθέσεις watering hole» στοχεύουν ιστότοπους που επισκέπτονται συχνά τα θύματα, όπως πύλες του κλάδου, ιστότοπους προμηθευτών ή εξειδικευμένους ιστότοπους ειδήσεων. Ο εισβολέας βρίσκει ένα κενό ασφαλείας στον ιστότοπο, τον παραβιάζει και εγχέει κακόβουλο λογισμικό ή κακόβουλο κώδικα που εκμεταλλεύεται τους επισκέπτες, ειδικά εκείνους των οποίων τα συστήματα δεν είναι ενημερωμένα.
Το Scareware είναι μια άλλη διαδεδομένη τακτική: αναδυόμενα παράθυρα ή προγράμματα που μεταμφιέζονται σε εργαλεία ασφαλείας και αναφέρουν ψευδείς μολύνσεις ή παραβιάσεις. Φοβισμένος, ο χρήστης πληρώνει για μια υποτιθέμενη λύση ή εισάγει τα δεδομένα του για να «καθαρίσει το σύστημα», ενώ στην πραγματικότητα εγκαθιστά περισσότερο κακόβουλο λογισμικό ή παραδίδει τις πληροφορίες του απευθείας στους εισβολείς.
Λιγότερο συνηθισμένες αλλά εξίσου επικίνδυνες μέθοδοι
Εκτός από τις πιο γνωστές τεχνικές, έχουν καταγραφεί και ορισμένες μάλλον δημιουργικές εκστρατείες κοινωνικής μηχανικής. Για παράδειγμα, το fax phishing , όπου τα θύματα λάμβαναν ένα email υποτίθεται από την τράπεζά τους που τους ζητούσε να εκτυπώσουν μια φόρμα, να τη συμπληρώσουν με τα διαπιστευτήριά τους και να την στείλουν με φαξ σε έναν αριθμό που ελέγχεται από τους εγκληματίες.
Υπήρξαν επίσης περιπτώσεις διανομής κακόβουλου λογισμικού μέσω παραδοσιακού ταχυδρομείου , όπως στην Ιαπωνία, όπου μολυσμένα CD στάλθηκαν σε πελάτες τραπεζών χρησιμοποιώντας φυσικές διευθύνσεις που είχαν κλαπεί από την ίδια την τράπεζα. Η εισαγωγή του δίσκου στον υπολογιστή εκτέλεσε λογισμικό κατασκοπείας που κατέγραψε ευαίσθητες πληροφορίες.
Πολλά ιστορικά περιστατικά κακόβουλου λογισμικού έχουν επιτύχει επειδή οι χρήστες, εξαπατημένοι από πειστικά μηνύματα, άνοιξαν συνημμένα ή συνδέσμους που φαίνονταν νόμιμοι. Τα σκουλήκια ηλεκτρονικού ταχυδρομείου είναι ένα τυπικό παράδειγμα.
Το διαβόητο σκουλήκι LoveLetter (γνωστό και ως ILOVEYOU) κατέστρεψε τους διακομιστές email στις αρχές της δεκαετίας του 2000. Τα θύματα λάμβαναν ένα μήνυμα με ρομαντικό θέμα και ένα συνημμένο που ισχυριζόταν ότι ήταν ερωτική επιστολή. Το συναισθηματικό στοιχείο λειτούργησε τόσο καλά που εκατομμύρια άνθρωποι άνοιξαν το αρχείο, επιτρέποντας στο σκουλήκι να προωθηθεί αυτόματα σε ολόκληρο το βιβλίο διευθύνσεών τους.
Ένα άλλο παράδειγμα είναι το Mydoom , το οποίο εξαπλωνόταν μέσω μηνυμάτων που μιμούνταν τεχνικές ειδοποιήσεις από διακομιστές email. Επειδή φαινόταν να είναι νόμιμες ειδοποιήσεις συστήματος, πολλοί χρήστες τις εμπιστεύονταν και άνοιγαν τα συνημμένα. Κάτι παρόμοιο συνέβη και με το worm Swen , το οποίο προσποιούνταν ότι ήταν μια επίσημη ενημέρωση κώδικα της Microsoft για την επιδιόρθωση τρωτών σημείων των Windows, ξεγελώντας πολλούς ανθρώπους ώστε να εγκαταστήσουν το ίδιο το worm.
Η κοινωνική μηχανική βασίζεται επίσης στον φόβο της ανακάλυψης . Ορισμένα Trojans έχουν εξαπλωθεί προσφέροντας υποτιθέμενα παράνομα εργαλεία: γεννήτριες αριθμών πιστωτικών καρτών, κόλπα για την αύξηση των υπολοίπων των ηλεκτρονικών λογαριασμών ή προγράμματα για την κατασκοπεία των επικοινωνιών. Όταν το αρχείο αποδειχθεί κακόβουλο λογισμικό, πολλά θύματα προτιμούν να μην το αναφέρουν, ώστε να μην αποκαλύψουν τις δικές τους ανήθικες προθέσεις.
Σε άλλα σενάρια, οι εισβολείς έχουν στοχεύσει άτομα που αναζητούν εργασία χρησιμοποιώντας διαδικτυακές πύλες εργασίας. Έστειλαν ψεύτικες προσφορές εργασίας που περιελάμβαναν συνημμένα Trojan. Επειδή η λήψη συνδεόταν με μια μυστική αναζήτηση εργασίας, οι μολυσμένοι εργαζόμενοι απέφυγαν να συζητήσουν το περιστατικό με τις εταιρείες τους από φόβο αντιποίνων.
Η πρώτη γραμμή άμυνας ενάντια σε αυτές τις απάτες είναι να μάθουμε να αναγνωρίζουμε τα προειδοποιητικά σημάδια πριν δράσουμε. Ουσιαστικά, πρόκειται για τον περιορισμό της παρόρμησής μας και την ήρεμη ανάλυση της κατάστασης - το ακριβώς αντίθετο από αυτό που θέλει ο επιτιθέμενος.
Είναι χρήσιμο να κάνετε στον εαυτό σας μερικές ερωτήσεις κάθε φορά που κάτι «μυρίζει ύποπτο». Για παράδειγμα: Βιώνω κάποιο πολύ έντονο συναίσθημα (φόβο, περιέργεια, ευφορία) αφού διαβάσω αυτό το μήνυμα ή απαντήσω σε αυτήν την κλήση; Εάν η συναισθηματική σας κατάσταση έχει κορυφωθεί, είναι ένα σημάδι ότι μπορεί να βρίσκεται σε εξέλιξη χειραγώγηση.
Ένα άλλο βασικό σημείο είναι να ελέγξετε αν ο αποστολέας είναι πραγματικά νόμιμος . Δώστε προσοχή στους τομείς email ( το [email protected] δεν είναι το ίδιο με το [email protected] ), στην ορθογραφία, στην ποιότητα του λογότυπου και στους συντομευμένους συνδέσμους ή διευθύνσεις URL με μικρές παραλλαγές. Τα μέσα κοινωνικής δικτύωσης είναι γεμάτα με κλωνοποιημένους λογαριασμούς που αντιγράφουν φωτογραφίες και ονόματα φίλων ή επωνυμιών.
Αξίζει επίσης να ελέγξετε: Μου το έστειλε όντως αυτό ο φίλος, ο συνάδελφός μου ή η τράπεζά μου ; Σε περίπτωση αμφιβολίας, είναι καλύτερο να καλέσετε απευθείας τον επίσημο αριθμό ή να μιλήσετε μαζί τους αυτοπροσώπως πριν κάνετε οτιδήποτε. Πολλοί λογαριασμοί ενδέχεται να έχουν παραβιαστεί εν αγνοία του κατόχου.
Στην περίπτωση ιστότοπων, θα πρέπει να αναζητήσετε ύποπτες λεπτομέρειες : παράξενες διευθύνσεις URL, σφάλματα μετάφρασης, εικόνες χαμηλής ποιότητας, ξεπερασμένα λογότυπα, φόρμες που ζητούν περισσότερα δεδομένα από το συνηθισμένο ή την απουσία HTTPS σε σελίδες που ζητούν διαπιστευτήρια ή τραπεζικά στοιχεία.
Αξίζει επίσης να αμφισβητήσετε οποιαδήποτε προσφορά φαίνεται πολύ καλή για να είναι αληθινή . Θαυματουργές κληρώσεις, επενδύσεις με εγγυημένες αποδόσεις, εύκολες δουλειές με υψηλούς μισθούς ή απροσδόκητα έπαθλα σε αντάλλαγμα για λίγη προσπάθεια είναι συνήθως καθαρό δόλωμα.
Εκτός από την ανίχνευση, είναι απαραίτητο να υιοθετηθούν ρουτίνες ασφαλείας που εμποδίζουν την επιτυχία αυτών των επιθέσεων. Αυτό περιλαμβάνει τόσο καθημερινές συμπεριφορές όσο και τεχνικά μέτρα.
Ασφαλείς συνήθειες επικοινωνίας και διαχείρισης λογαριασμού
Μία από τις πιο αποτελεσματικές συμβουλές είναι να αποφεύγετε να κάνετε κλικ σε συνδέσμους που λαμβάνετε μέσω email, SMS ή μηνυμάτων, ειδικά όταν φαίνεται να είναι σύνδεσμοι προς τράπεζες, εταιρικούς ιστότοπους ή περιοχές πελατών. Είναι προτιμότερο να πληκτρολογείτε χειροκίνητα τη διεύθυνση στο πρόγραμμα περιήγησής σας ή να αναζητάτε τον επίσημο ιστότοπο χρησιμοποιώντας μια μηχανή αναζήτησης, επαληθεύοντας πάντα ότι πρόκειται για τον σωστό τομέα.
Ο έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) προσθέτει ένα επιπλέον επίπεδο προστασίας: ακόμα κι αν κάποιος κλέψει τον κωδικό πρόσβασής σας μέσω κοινωνικής μηχανικής, θα χρειαστεί τον προσωρινό κωδικό, το SMS, το διακριτικό εφαρμογής ή τα βιομετρικά δεδομένα για να αποκτήσει πρόσβαση. Η ενεργοποίηση του MFA για email, μέσα κοινωνικής δικτύωσης, ηλεκτρονικές τραπεζικές συναλλαγές και κρίσιμες υπηρεσίες μειώνει δραστικά τον αντίκτυπο μιας πιθανής κλοπής διαπιστευτηρίων.
Είναι επίσης απαραίτητο να χρησιμοποιείτε ισχυρούς, μοναδικούς κωδικούς πρόσβασης για κάθε υπηρεσία, συνδυάζοντας μήκος, αριθμούς, κεφαλαία και πεζά γράμματα και σύμβολα. Δεδομένου ότι η απομνημόνευση δεκάδων ισχυρών κωδικών πρόσβασης είναι μη πρακτική, η πιο πρακτική λύση είναι να χρησιμοποιήσετε έναν διαχειριστή κωδικών πρόσβασης που τους αποθηκεύει και τους δημιουργεί με ασφάλεια.
Στα μέσα κοινωνικής δικτύωσης, συνιστάται να περιορίζετε την ποσότητα των προσωπικών δεδομένων που κοινοποιείτε δημόσια: ημερομηνίες γέννησης, ονόματα κατοικίδιων ζώων, σχολεία, συχνά επισκέψιμα μέρη κ.λπ. Αυτές οι πληροφορίες χρησιμοποιούνται συχνά για να μαντέψουμε απαντήσεις σε ερωτήσεις ασφαλείας ή για να σχεδιάσουμε εξαιρετικά εξατομικευμένες επιθέσεις.
Τέλος, συνιστάται να είστε ιδιαίτερα προσεκτικοί με τις αμιγώς διαδικτυακές φιλίες . Δεν είναι ασυνήθιστο μια φιλική ή ρομαντική σχέση που ξεκινά διαδικτυακά να αποδειχθεί μια προσεκτικά ενορχηστρωμένη απάτη βασισμένη στην εμπιστοσύνη και το συναίσθημα.
Καλές πρακτικές δικτύου και προστασία του περιβάλλοντος
Σε επίπεδο δικτύου, ένας βασικός κανόνας είναι να μην επιτρέπετε σε αγνώστους να συνδέονται στο κύριο Wi-Fi του σπιτιού ή του γραφείου σας . Εάν θέλετε να προσφέρετε σύνδεση σε επισκέπτες, η ιδανική λύση είναι να χρησιμοποιήσετε ένα ξεχωριστό δίκτυο επισκεπτών με περιορισμένα δικαιώματα και απομόνωση από άλλες συσκευές.
Η χρήση ενός VPN (εικονικού ιδιωτικού δικτύου) προσθέτει ένα σημαντικό επίπεδο προστασίας, ειδικά κατά τη σύνδεση από δημόσια ή μη ασφαλή δίκτυα. Η κίνηση είναι κρυπτογραφημένη και ακόμη και αν κάποιος υποκλέψει τα δεδομένα, αυτό που βλέπει θα είναι δυσανάγνωστο. Επιπλέον, καθιστά πολύ πιο δύσκολη την παρακολούθηση του χρήστη σε διαφορετικές υπηρεσίες.
Μην ξεχνάτε τις συχνά παραβλεπόμενες συσκευές: οικιακούς δρομολογητές, συσκευές IoT, εκτυπωτές δικτύου , συστήματα ψυχαγωγίας αυτοκινήτου, κάμερες IP κ.λπ. Μια λανθασμένη διαμόρφωση ή ένα παρωχημένο υλικολογισμικό σε οποιοδήποτε από αυτά μπορεί να παρέχει σε έναν εισβολέα ένα σημείο εισόδου και μια πληθώρα πληροφοριών για να προσαρμόσει τις καμπάνιες κοινωνικής μηχανικής του.
Ασφάλεια συσκευής και συνεχείς ενημερώσεις
Από την πλευρά της συσκευής, το κλειδί είναι να υπάρχει ολοκληρωμένο λογισμικό ασφαλείας (όχι μόνο βασικό antivirus) που περιλαμβάνει προστασία από phishing, ransomware, Trojans, spyware και άλλες απειλές. Αυτές οι λύσεις μπορούν να μπλοκάρουν κακόβουλους συνδέσμους, ύποπτες λήψεις και ασυνήθιστη συμπεριφορά σε πραγματικό χρόνο.
Είναι σημαντικό να μην αφήνετε τους υπολογιστές και τα κινητά τηλέφωνα ξεκλείδωτα σε δημόσιους ή ημιδημόσιους χώρους. Σε εργασιακά περιβάλλοντα, το κλείδωμα της συνεδρίας σας όταν σηκώνεστε από την καρέκλα σας θα πρέπει να γίνει μια αυτόματη συνήθεια. Μόλις λίγα δευτερόλεπτα φυσικής πρόσβασης μπορεί να είναι αρκετά για να κλέψουν πληροφορίες ή να εγκαταστήσουν ανεπιθύμητο λογισμικό.
Ομοίως, είναι απαραίτητο να διατηρείτε όλο το λογισμικό ενημερωμένο : λειτουργικό σύστημα, πρόγραμμα περιήγησης, εφαρμογές γραφείου, πρόσθετα (plugins), καθώς και το υλικολογισμικό των δρομολογητών και άλλων συνδεδεμένων συσκευών. Πολλές καμπάνιες κακόβουλου λογισμικού και κοινωνικής μηχανικής εκμεταλλεύονται ευπάθειες που είναι ήδη γνωστές και έχουν διορθωθεί, αλλά οι οποίες παραμένουν παρούσες σε συστήματα που οι χρήστες δεν έχουν ενημερώσει.
Οι υπηρεσίες που παρακολουθούν τις παραβιάσεις δεδομένων για διευθύνσεις email ή τομείς σάς ενημερώνουν εάν κάποιος από τους λογαριασμούς σας έχει εμπλακεί σε πρόσφατη παραβίαση. Εάν ναι, συνιστάται να αλλάξετε τους κωδικούς πρόσβασης και να ελέγξετε τα διαπιστευτήρια σύνδεσης το συντομότερο δυνατό, για να μειώσετε τον κίνδυνο εκμετάλλευσης μέσω επιθέσεων κοινωνικής μηχανικής που βασίζονται σε αυτά τα δεδομένα.
Είναι σημαντικό να θυμάστε ότι η κοινωνική μηχανική δεν περιορίζεται στον ψηφιακό κόσμο. Πολλές επιθέσεις συνδυάζουν φυσικές και διαδικτυακές τεχνικές . Ένας εγκληματίας μπορεί να χτυπήσει την πόρτα ενός γραφείου προσποιούμενος τον τεχνικό μιας γνωστής εταιρείας, να αποκτήσει πρόσβαση σε ένα δωμάτιο διακομιστών και, μόλις εισέλθει στο εσωτερικό, να χρησιμοποιήσει μια προγραμματισμένη μονάδα USB για να θέσει σε κίνδυνο ολόκληρο το δίκτυο.
Ομοίως, υπάρχουν εκστρατείες παραπληροφόρησης που συνδυάζουν τα μέσα κοινωνικής δικτύωσης, τα παραδοσιακά μέσα ενημέρωσης, την ανταλλαγή μηνυμάτων και τις προσωπικές συνομιλίες για να διαμορφώσουν πολιτικές απόψεις ή αποφάσεις ψήφου. Σε αυτές τις περιπτώσεις, η χειραγώγηση σε μεγάλη κλίμακα βασίζεται στις ίδιες αρχές κοινωνικής επικύρωσης, εξουσίας και συναισθηματικής έλξης με μια απλή απάτη ηλεκτρονικού "ψαρέματος" (phishing) τραπεζών, αλλά στοχεύουν χιλιάδες ή εκατομμύρια ανθρώπους.
Επομένως, η εκπαίδευση στην κυβερνοασφάλεια και την κριτική σκέψη δεν είναι απλώς ένα τεχνικό ζήτημα: είναι μια βασική δεξιότητα του πολίτη . Η διδασκαλία στους εργαζόμενους, τις οικογένειες και ιδιαίτερα στους νέους να αμφισβητούν τις πληροφορίες, να επαληθεύουν τις πηγές και να αναγνωρίζουν σημάδια χειραγώγησης μειώνει σημαντικά τον αντίκτυπο αυτών των καμπανιών.
Η κοινωνική μηχανική υπολογιστών έχει δείξει ότι δεν χρειάζεται να «χακάρεις μηχανές» όταν μπορείς να χειραγωγήσεις τους ανθρώπους που τις χρησιμοποιούν. Από τα email ηλεκτρονικού «ψαρέματος» (phishing) μέχρι τις φυσικές εισβολές, τα ιστορικά σκουλήκια (worms) και τις επιθέσεις «waterhole», ο κοινός παρονομαστής είναι η συστηματική εκμετάλλευση της εμπιστοσύνης, των φόβων και των προκαταλήψεών μας. Η επένδυση σε προστατευτικές τεχνολογίες είναι απαραίτητη, αλλά λειτουργεί πραγματικά μόνο όταν συνδυάζεται με συνετές ψηφιακές συνήθειες, συνεχή εκπαίδευση και μια κουλτούρα εύλογου σκεπτικισμού απέναντι σε τυχόν απροσδόκητα αιτήματα για δεδομένα ή ευαίσθητες ενέργειες. Αυτός ο συνδυασμός εργαλείων και ανθρώπινης κρίσης είναι αυτό που κάνει τη διαφορά μεταξύ του να γίνεις άλλο ένα θύμα ή να σταματήσεις την απάτη εγκαίρως.
