- A számítógépes szociális manipuláció inkább az emberi hibákat használja ki, mint a technikai meghibásodásokat, és számos kibertámadás fő eszközévé válik.
- A bűnözők olyan pszichológiai taktikákat kombinálnak, mint a sürgősség, a tekintély vagy a bizalom, különféle digitális és fizikai csatornákkal.
- Számos támadástípus létezik: adathalászat, smishing, vishing, csapdatámadás, scareware, pretexting, tailgating, watering hole támadások vagy DNS-hamisítás, és sok más.
- A legjobb védelem az oktatást, a biztonságos digitális szokásokat, a helyes hálózati gyakorlatokat és a technikai védelmet ötvözi a robusztus szoftverekkel és szabályzatokkal.
A kiberbűnözők egyik kedvenc fegyvere jelenleg a társadalmi manipuláció . Nem kell feltörniük a titkosítást vagy megkerülniük a legmodernebb tűzfalakat: elég, ha valaki annyira megbízik bennük, hogy oda kattint, ahová nem kellene, megnyisson egy rosszindulatú fájlt, vagy olyan adatokat fedjen fel, amelyeket soha nem kellene megosztania.
Gondosan kidolgozott megtévesztések révén ezek a támadók kihasználják az előítéleteinket, érzelmeinket és figyelemkieséseinket. Kezdhetik egy egyszerű e-maillel , telefonhívással, WhatsApp-üzenettel, vagy akár egy személyes irodai látogatással is. Mindezek mögött bármi állhat, a nagyszabású személyazonosság-lopástól kezdve egy vállalat vagy közintézmény elleni pusztító kibertámadás kiindulópontjáig.
Amikor a számítástechnikában a társadalmi manipulációról beszélünk, egy olyan pszichológiai manipulációs technikára utalunk, amelynek során a támadó rávesz egy személyt olyan cselekedetek végrehajtására, amelyek veszélyeztetik a saját vagy a szervezete biztonságát. Ahelyett, hogy a szoftverben vagy a hálózatban keresné a hibákat, a támadó a „leggyengébb láncszemre” összpontosít: a felhasználóra.
Egy kollégától származó, bizalmas dokumentumokat kérő e-mail, egy ál-adóhivataltól érkező, bírsággal fenyegető hívás, vagy egy állítólagos külföldi milliomos tipikus abszurd ajánlata klasszikus példák. Mindezen esetekben van valami közös: a támadó elnyeri a bizalmadat, vagy manipulálja az érzelmeidet , hogy te legyél az, aki kinyitja az ajtót.
A kiberbiztonságban a társadalmi manipulációt gyakran „emberi hackelésnek” nevezik, mivel a közvetlen célpont az áldozat elméje, nem pedig az operációs rendszer vagy az alkalmazás. A bűnözők ellopják a bejelentkezési adatokat, hitelkártyaszámokat, bankszámlaadatokat, személyazonosító információkat, vagy olyan rosszindulatú szoftverek futtatását kényszerítik ki, amelyek a vállalat hálózatát komolyabb támadásoknak, például zsarolóvírusoknak teszik ki.
Ez a megközelítés különösen vonzó a bűnözők számára, mivel elkerüli a bonyolult technikai munkát : a titkosítás feltörése vagy a tűzfal megkerülése helyett egyszerűen kihasználják az emberek kíváncsiságát, félelmét vagy jóhiszeműségét. Az olyan szervezetek jelentései, mint az ISACA és az IBM, évek óta jelzik, hogy a társadalmi manipuláció a biztonsági incidensek egyik fő oka , és egyben az egyik legdrágábban javítható probléma.
Érdekes módon a „social engineering” kifejezés először 1945-ben jelent meg, Karl Popper filozófus alkotta meg, aki a társadalmi folyamatok újratervezésének és az emberi együttélés javításának lehetőségére utalt vele, nem pedig az adatlopásra. A kiberbiztonságban azonban a koncepció átalakult ugyanezen pszichológiai dinamika egyértelműen rosszindulatú célokra való felhasználására.
A szociális manipulációval történő támadás ritkán teljesen improvizált. Általában egy viszonylag strukturált ciklust követ , amely nagy valószínűséggel sikerrel jár az elkövető számára, még akkor is, ha az interakció némileg spontánnak tűnik.
Az első lépés általában az előkészítés vagy felderítés fázisa . A támadó információkat gyűjt a célszemélyről vagy csoportról: nevek, beosztások, e-mail címek, telefonszámok, munkakapcsolatok, érdeklődési körök, közösségi média profilok, viselkedési minták stb. Néha egy egyszerű LinkedIn-keresés elegendő; máskor korábbi adatszivárgásokra , fórumokra vagy akár helyszíni megfigyelésekre támaszkodnak, például amikor valaki a válla fölött néz, ahogy begépeli a jelszavát egy kávézóban.
Ezután következik a beszivárgás . A támadó felveszi a kapcsolatot és bizalmat épít: kollégának, beszállítónak, ügyfélszolgálati technikusnak, banknak vagy jól ismert platformnak adja ki magát. A gyűjtött információkat arra használja, hogy történetük koherensnek és ismerősnek tűnjön, csökkentve az áldozat gyanúját.
Amint az áldozat kényelmesen érzi magát, vagy nyomás alatt érzi magát, megkezdődik a kihasználás fázisa . Ekkor érik el a kívánt eredményt: a személy megosztja felhasználónevét és jelszavát, letölt egy állítólagos jelentést, ami valójában egy vírus , megadja banki adatait egy hamis weboldalon, vagy fizikai hozzáférést biztosít egy korlátozott területhez.
Végül pedig ott van a visszahúzódási fázis . Miután a támadó megszerezte az információt vagy végrehajtotta a kívánt műveletet, eltűnik vagy megváltoztatja a helyét, megpróbálva eltüntetni a nyomait és a lehető legnagyobb mértékben késleltetni az incidens felderítését. Egyes összetett kampányokban az interakció hetekig vagy hónapokig is eltart, ahogyan az bizonyos romantikus vagy bizalomépítő csalásoknál előfordul.
Ezen támadások többsége emberi elfogultságokon és érzelmeken alapul , amelyek mindannyiunkat érintenek, függetlenül a technikai szakértelmünk szintjétől. A leggyakrabban kihasznált elemek közé tartoznak:
Intenzív érzelmek . Amikor egy helyzet félelmet, eufóriát, szélsőséges kíváncsiságot, haragot vagy bűntudatot vált ki bennünk, hajlamosak vagyunk reagálni, mielőtt gondolkodnánk . A bűnözők tudják ezt, és olyan üzeneteket terveznek, amelyek pontosan ezeket a reakciókat váltják ki: „A bankszámládat zárolták”, „Exkluzív nyereményt nyertél”, „Nézd meg ezeket a kompromittáló fotókat”...
Sürgősségérzet . Az olyan kifejezések, mint az „utolsó esély”, a „csak néhány perced van elkerülni a terhelést” vagy a „fiókodat ma töröljük”, arra szolgálnak, hogy bármit is ellenőrizned kelljen, cselekedj . Ha úgy gondolod, hogy pénzt, hozzáférést vagy egy nagyszerű lehetőséget fogsz elveszíteni, sokkal valószínűbb, hogy egy linkre kattintasz, vagy információt adsz át gondolkodás nélkül.
Bizalomépítés . A bizalom elnyerése a siker alapja. Ennek érdekében a támadók felkutatják az érdeklődési körödet, a nyelvezetedet és a környezetedet, hogy megközelíthető emberként, kollégáként, legitim szakemberként vagy elismert szervezetek képviselőjeként tűnjenek. Minél hitelesebbnek tűnik a kontextus, annál kevesebb kérdést fogsz feltenni.
Vannak esetek, amikor az érzelmi manipuláció mellett a társadalmi manipulációt nagyon „fizikai” módon is alkalmazzák, például bejelentkezési adatok kémlelésével egy céges pihenőben, dokumentumok begyűjtésével egy felügyelet nélkül hagyott nyomtatóról, vagy elhagyott USB-meghajtók keresésével a tárgyalókban. Itt a meggyőzést az egyszerű lehetőséggel ötvözik.
A támadók által leggyakrabban használt manipulációs elvek
A társadalmi manipuláció nagymértékben támaszkodik a szociálpszichológia által vizsgált elvekre. Ezek a befolyásolási mechanizmusok annyira mélyen gyökereznek a kapcsolatainkban, hogy gyakran csak akkor vesszük észre őket, amikor már túl késő.
A viszonosság elve kimondja, hogy amikor valaki szívességet tesz nekünk, hajlamosak vagyunk viszonozni. Egy bűnöző felajánlhat segítséget, információt vagy egy apró előnyt (hasznos dokumentumot, ideiglenes hozzáférést, kedvezményt), majd később kérhet valamit cserébe: „Mivel segítettem ebben, el tudná küldeni nekem a teljes ügyféllistát, hogy össze tudjam hasonlítani az adatokat?”
Láttunk már ehhez hasonló sürgősséget : lehetetlen határidők, közvetlen fenyegetések vagy perceken belül lejáró ajánlatok. Ez egy nagyon gyakori taktika az adathalász e-mailekben és a rosszindulatú linkeket tartalmazó SMS-ekben. A döntéshozatali folyamat felgyorsításával a támadó gyengíti a kritikus védelmet.
A következetesség kihasználása akkor történik , amikor valaki beleegyezett apró, látszólag ártalmatlan feladatok elvégzésébe, és apránként érzékenyebb intézkedések megtételére kérik fel. Egy alkalmazott elkezdheti rutinszerű belső jelentések továbbításával, majd szinte észrevétlenül fizetéseket engedélyezhet vagy kritikus hozzáféréseket oszthat meg, mert következetes akar lenni a kezdeti együttműködésükkel.
A bizalom és jó viszony elve akkor jelenik meg, amikor a támadó barátságosnak tűnik, megosztja a hobbiját, a nézőpontját, vagy akár flörtöl is az áldozattal. Ez a meghittség csökkenti a bizalmatlanságot. Magas értékű környezetekben (vezetői pozíciók, minősített hozzáféréssel rendelkező személyzet, beszerzési menedzserek) ezt a stratégiát néha szexuális zsarolással kombinálják : intim beszélgetéseket vagy kompromittáló anyagokat használnak fel zsarolásra.
A tekintély nap mint nap nyilvánvaló a vezérigazgatók megcsalása vagy a vezetők, közintézmények vagy támogató szolgáltatások személyazonosságát kiváltó e-mailek esetében. Ha a kérő személy ranggal, hivatalos pecséttel vagy vállalati logóval rendelkezik, az alkalmazott nagyobb valószínűséggel fog kérdés nélkül engedelmeskedni.
Végül, a társadalmi megerősítés vagy a csoportnyomás arra késztet minket, hogy elfogadjunk olyan kéréseket, amelyek furcsának tűnnének, ha azt hinnénk, hogy mi vagyunk az egyetlenek, akik kapják őket. Ha egy e-mail-szálban több kolléga is egyetért, vagy ha „mindenki ezt csinálja”, az ellenállás drámaian csökken. Ezt az elfogultságot széles körben alkalmazzák a dezinformációs és álhírkampányokban is.
A kiberbűnözők ezeket a pszichológiai technikákat különböző csatornákkal és formátumokkal kombinálják , hogy elérjék áldozataikat. Sok kibertámadás tartalmaz valamilyen társadalmi manipuláció elemet, még akkor is, ha más néven ismertek (vírusok, zsarolóvírusok stb.).
Az adathalászat valószínűleg a társadalmi manipuláció legismertebb formája. Olyan üzenetek küldését jelenti, amelyek bankoktól, fizetési platformoktól, üzenetküldő cégektől, közösségi hálózatoktól, kormányzati szervektől vagy akár munkatársaktól származó legitim kommunikációt utánoznak .
Tömeges adathalászat vagy spam adathalászat során nagy mennyiségben küldenek e-maileket vagy üzeneteket kevés személyre szabással, abban a reményben, hogy a felhasználóknak csak kis százaléka dől be nekik. Másrészt a célzott adathalászat konkrét személyeket céloz meg valós adatok felhasználásával a pozíciójukról, cégükről vagy tevékenységeikről, míg a bálnavadászat közvetlenül magas rangú személyiségeket, például vezetőket, politikusokat vagy hírességeket céloz meg.
A legklasszikusabb csatorna az e-mailes adathalászat , amely hamis weboldalakra mutató linkeket vagy rosszindulatú programokat tartalmazó mellékleteket tartalmaz. De számos más változat is népszerűvé vált:
- vishingHanghívások, néha automatizáltak, ahol a hívó fél úgy tesz, mintha a banktól, a technikai támogatástól vagy más intézménytől származna. A cél az, hogy az áldozattól kódokat, jelszavakat szerezzenek, vagy tranzakciókat engedélyezzenek.
- MosolyogvaVeszélyes linkeket vagy felhívandó telefonszámokat tartalmazó szöveges üzenetek (SMS vagy azonnali üzenetküldés). Gyakran a sürgősségre hatnak: csomagok megőrzése, nyeremények, fiókzárolások stb.
- Adathalászat a közösségi hálózatokon (néha Angler adathalászatnak is nevezik, amikor ügyfélszolgálati kiadatást végez): hamis profilok vagy fiókok, amelyek márkák, bankok vagy akár barátok adataival ruházzák fel az áldozatot, hogy privát beszélgetésekre irányítsák át, és információk kinyerése vagy rosszindulatú linkek küldése.
- Adathalászat a keresőmotorokban: csalárd webhelyek, amelyek hirdetésekként vagy a keresőmotorokban jól elhelyezett találatokként jelennek meg, bankoknak, online áruházaknak vagy hivatalos szolgáltatásoknak adva ki magukat.
- Munkamenet-adathalászatHamis bejelentkezési felugró ablakok jelennek meg böngészés közben, amelyek a valódi webhelyen való hitelesítést kérik, miközben valójában átadod az adataidat egy támadónak.
Csali vagy csalitámadások
A csali támadások során a bűnöző látszólag ingyenes vagy nagyon vonzó dolgokkal csábítja az áldozatot : prémium szoftverekkel, kedvezményutalványokkal, exkluzív tartalommal, nyereményjátékokkal, „csodaeszközökkel” stb. A horog célja a kíváncsiság vagy a kapzsiság felkeltése.
Tipikus példa erre egy fertőzött USB-meghajtó stratégiai helyen, például parkolóban, könyvtárban vagy egy céges pihenőhelyiségben való elhelyezése. Aki megtalálja, hajlamos lehet bedugni, hogy „megnézze, mi van rajta”, ami a számítógép vagy a teljes belső hálózat automatikus megfertőződését okozza.
Egy másik gyakori taktika az e-mail mellékletek használata , amelyek fontos jelentéseket, számlákat, állásajánlatokat vagy ajándékokat ígérnek. Az áldozat megnyitja a fájlt, és tudtán kívül rosszindulatú kódot futtat, amely lehetővé teszi a támadók számára, hogy részlegesen vagy teljesen átvegyék az eszköz irányítását.
Ügyintézés, fizikai szabálysértés és ugratás
Az ürügyek kidolgozott, hamis forgatókönyv kidolgozását jelentik egy kérés igazolására. A támadó beszállítóként, auditorként, karbantartó technikusként, vagy akár egy másik helyszínről származó kollégáként adhatja ki magát. A korábban gyűjtött információknak köszönhetően a történetük rendkívül hihetőnek tűnik.
Sok esetben ez fizikai behatolással párosul . Egy bűnöző futárcég mellényében, szállítólevéllel a kezében és magabiztosságot sugározva léphet be egy irodaépületbe. Ha senki sem igazolja valódi személyazonosságát, akkor mozoghat a helyiségben, képernyőket nézhet, dokumentumokat gyűjthet, vagy USB-eszközöket csatlakoztathat a céges számítógépekhez.
A követés vagy a hátulról követés egy másik klasszikus technika: a támadó egyszerűen követ egy jogosult személyt, amint az belép egy korlátozott hozzáférésű ajtón, kihasználva a szokásos udvariasságot, hogy „tartja az ajtót a mögötte lévő személynek”. Bent már óriási a lehetőség információgyűjtésre vagy rosszindulatú eszközök elhelyezésére.
Viszonzás: „Adok neked valamit, te pedig adod nekem az adataidat”
A viszonzásos támadások során az elkövető kézzelfogható előnyt kínál információkért cserébe . Ez lehet részvétel egy állítólagosan fizetett piackutatásban, egy díjnyertes felmérés , ingyenes technikai támogatás vagy egy nagyon vonzó állásajánlathoz való hozzáférés.
Az áldozatot, akit csábít a potenciális nyeremény vagy a „nagyszerű lehetőség”, ellazítja, és megosztja személyes adatait, hitelesítő adatait, vagy akár telepíti az elkövető által ajánlott alkalmazásokat. Sok esetben a megígért jutalom soha nem érkezik meg : az egyetlen, aki nyer, a bűnöző.
Egyes kampányok a társadalmi manipulációt technikaibb hálózati és rosszindulatú technikákkal ötvözik . Egy példa erre a DNS-hamisítás vagy mérgezési támadások. A névfeloldási rekordok manipulálásával a támadó biztosítja, hogy amikor egy legitim URL-t ír be, a böngészője egy hamis oldalra kerüljön, amelynek célja a hitelesítő adatok ellopása.
Az úgynevezett „itatóhely-támadások” a célzott áldozatok által gyakran látogatott weboldalakat célozzák meg, például iparági portálokat, beszállítói weboldalakat vagy speciális híroldalakat. A támadó sebezhetőséget talál az oldalon, feltöri azt, és rosszindulatú programot vagy kártékony kódot juttat be, amely kihasználja a látogatókat, különösen azokat, akiknek a rendszere nem naprakész.
A ijesztő programok egy másik elterjedt taktika: felugró ablakok vagy programok, amelyek biztonsági eszközöknek álcázzák magukat, és hamis fertőzésekről vagy hackelésekről számolnak be. A felhasználó megijedve fizet egy állítólagos megoldásért, vagy megadja adatait a „rendszer megtisztítása” érdekében, miközben valójában további rosszindulatú programokat telepít, vagy közvetlenül a támadóknak adja át adatait.
Kevésbé gyakori, de ugyanolyan veszélyes módszerek
A közismertebb technikák mellett néhány meglehetősen kreatív, social engineering kampányt is dokumentáltak. Például a faxos adathalászatot , ahol az áldozatok egy e-mailt kaptak állítólag a bankjuktól, amelyben arra kérték őket, hogy nyomtassanak ki egy űrlapot, töltsék ki a hitelesítő adataikkal, és faxolják el egy, a bűnözők által ellenőrzött számra.
Előfordultak esetek a kártevők hagyományos postai úton történő terjesztésére is , például Japánban, ahol fertőzött CD-ket küldtek banki ügyfeleknek a banktól ellopott fizikai címek használatával. A lemez számítógépbe helyezése egy kémprogramot indított el, amely érzékeny információkat rögzített.
Sok történelmi kártevő-incidens azért volt sikeres, mert a meggyőző üzenetekkel becsapott felhasználók olyan mellékleteket vagy linkeket nyitottak meg , amelyek látszólag legitimnek tűntek. Az e-mail férgek erre tankönyvi példák.
A hírhedt LoveLetter féreg (más néven ILOVEYOU) a 2000-es évek elején omlott össze az e-mail szervereket. Az áldozatok egy romantikus tárgyú üzenetet kaptak, amelyhez egy szerelmeslevélnek nevezett melléklet tartozott. Az érzelmi komponens olyan jól működött, hogy emberek milliói nyitották meg a fájlt, lehetővé téve a féreg számára, hogy automatikusan továbbítsa magát a teljes címjegyzékükbe.
Egy másik példa a Mydoom , amely olyan üzeneteken keresztül terjedt, amelyek e-mail szerverekről érkező technikai értesítéseket utánoztak. Mivel ezek legitim rendszerriasztásoknak tűntek, sok felhasználó megbízott bennük, és megnyitotta a mellékleteket. Valami hasonló történt a Swen féreggel is , amely hivatalos Microsoft-javításnak adta ki magát a Windows sebezhetőségeinek javítására, sok embert rávéve arra, hogy ténylegesen telepítsék a férget.
A szociális manipuláció a lebukástól való félelemre is épít . Egyes trójai programok állítólag illegális eszközöket kínálva terjednek: hitelkártyaszám-generátorokat, online számlaegyenlegek felduzzasztására szolgáló trükköket, vagy kommunikáció kémkedésére szolgáló programokat. Amikor a fájlról kiderül, hogy rosszindulatú program, sok áldozat inkább nem jelenti, hogy ne fedje fel saját etikátlan szándékait.
Más esetekben a támadók online állásportálokat használó álláskeresőket céloztak meg. Hamis állásajánlatokat küldtek, amelyek trójai mellékleteket tartalmaztak. Mivel a letöltés egy titkos álláskereséshez kapcsolódott, a fertőzött alkalmazottak a megtorlástól tartva kerülték az eset megbeszélését a cégükkel.
Az első védelmi vonal ezekkel a megtévesztésekkel szemben az, hogy megtanuljuk felismerni a figyelmeztető jeleket, mielőtt cselekednénk. Lényegében arról van szó, hogy megfékezzük az impulzusainkat, és higgadtan elemezzük a helyzetet – ami pontosan az ellenkezője annak, amit a támadó akar.
Hasznos, ha felteszel magadnak néhány kérdést, amikor valami „gyanúsnak tűnik”. Például: Nagyon intenzív érzelmet (félelmet, kíváncsiságot, eufóriát) élek át az üzenet elolvasása vagy a hívás fogadása után? Ha az érzelmi állapotod megugrott, az annak a jele, hogy manipuláció van folyamatban.
Egy másik fontos szempont annak ellenőrzése, hogy a feladó valóban legitim-e . Figyeljen az e-mail domainekre ( a [email protected] nem ugyanaz, mint a [email protected] ), a helyesírásra, a logó minőségére, valamint a rövidített linkekre vagy URL-ekre, amelyek apró eltéréseket tartalmaznak. A közösségi média tele van klónozott fiókokkal, amelyek barátok vagy márkák fényképeit és nevét másolják.
Azt is érdemes ellenőrizni: Tényleg a barátom, kollégám vagy a bankom küldte ezt nekem ? Kétség esetén a legjobb, ha közvetlenül a hivatalos számot hívod, vagy személyesen beszélsz velük, mielőtt bármit is tennél. Sok fiókot feltörhettek a tulajdonos tudta nélkül.
Weboldalak esetében gyanús részleteket kell keresni : furcsa URL-eket, fordítási hibákat, alacsony minőségű képeket, elavult logókat, a szokásosnál több adatot kérő űrlapokat, vagy a HTTPS hiányát azokon az oldalakon, amelyek hitelesítő adatokat vagy banki információkat kérnek.
Érdemes megkérdőjelezni minden olyan ajánlatot is, ami túl szépnek tűnik ahhoz, hogy igaz legyen . A csodaszerencsejátékok, a garantált hozamú befektetések, a könnyű, magas fizetéssel járó munkák vagy a kevés erőfeszítésért cserébe kapott váratlan nyeremények általában puszta csali.
Az észlelés mellett elengedhetetlen olyan biztonsági rutinok bevezetése , amelyek megakadályozzák ezen támadások sikerét. Ez magában foglalja mind a mindennapi viselkedést, mind a technikai intézkedéseket.
Biztonságos kommunikáció és fiókkezelési szokások
Az egyik leghatékonyabb tipp, hogy kerüljük az e-mailben, SMS-ben vagy üzenetküldésben kapott linkekre kattintást, különösen akkor, ha azok bankokra, vállalati weboldalakra vagy ügyfélszolgálati területekre mutató linkeknek tűnnek. Célszerűbb manuálisan beírni a címet a böngészőbe, vagy keresőmotorral rákeresni a hivatalos weboldalra, mindig ellenőrizve, hogy a megfelelő domaint adta-e meg.
A többtényezős hitelesítés (MFA) egy extra védelmi réteget biztosít: még ha valaki el is lopja a jelszavát társadalmi manipuláció révén, akkor is szüksége lesz az ideiglenes kódra, SMS-re, alkalmazástokenre vagy biometrikus adatokra a hozzáféréshez. Az MFA engedélyezése az e-mailekhez, a közösségi médiához, az online banki szolgáltatásokhoz és a kritikus szolgáltatásokhoz drasztikusan csökkenti a hitelesítő adatok ellopásának lehetséges hatását.
Az is elengedhetetlen, hogy minden szolgáltatáshoz erős, egyedi jelszavakat használjunk , amelyek hosszúságot, számokat, nagy- és kisbetűket, valamint szimbólumokat tartalmaznak. Mivel több tucat erős jelszó megjegyezése nem praktikus, a legpraktikusabb megoldás egy olyan jelszókezelő használata, amely biztonságosan tárolja és generálja azokat.
A közösségi médiában tanácsos korlátozni a nyilvánosan megosztott személyes adatok mennyiségét : születési dátumok, háziállatok nevei, iskolák, látogatott helyek stb. Ezeket az információkat gyakran használják biztonsági kérdésekre adott válaszok kitalálására vagy személyre szabott támadások tervezésére.
Végül, különösen óvatosnak kell lenni a tisztán online barátságokkal . Nem ritka, hogy egy online kezdődő baráti vagy romantikus kapcsolat gondosan megtervezett, bizalmon és érzelmeken alapuló átverésnek bizonyul.
Jó hálózati gyakorlatok és környezetvédelem
Hálózati szinten alapvető szabály, hogy ne engedjük, hogy idegenek csatlakozzanak az otthoni vagy irodai Wi-Fi-hálózatunkhoz . Ha vendégeknek is szeretnénk kapcsolatot biztosítani, az ideális megoldás egy különálló vendéghálózat használata korlátozott engedélyekkel és más eszközöktől való elkülönítéssel.
A VPN (virtuális magánhálózat) használata jelentős szintű védelmet nyújt, különösen nyilvános vagy nem biztonságos hálózatokról való csatlakozás esetén. A forgalom titkosított, és még ha valaki el is fogja az adatokat, amit lát, az olvashatatlan lesz. Továbbá sokkal nehezebbé teszi a felhasználó nyomon követését a különböző szolgáltatások között.
Ne feledkezzünk meg a gyakran figyelmen kívül hagyott eszközökről sem: otthoni routerek, IoT-eszközök, hálózati nyomtatók , autós infotainment rendszerek, IP-kamerák stb. Ezek bármelyikének helytelen konfigurációja vagy elavult firmware-e belépési pontot és rengeteg információt biztosíthat a támadóknak a pszichológiai manipulációra irányuló kampányaik testreszabásához.
Eszközbiztonság és folyamatos frissítések
Az eszköz oldalán a kulcs egy átfogó biztonsági szoftver (nem csak egy alapvető víruskereső), amely védelmet nyújt az adathalászat, a zsarolóvírusok, a trójai programok, a kémprogramok és más fenyegetések ellen. Ezek a megoldások valós időben blokkolhatják a rosszindulatú linkeket, a gyanús letöltéseket és a rendellenes viselkedést.
Rendkívül fontos, hogy ne hagyjuk a számítógépeket és a mobiltelefonokat zárolva nyilvános vagy félig nyilvános helyeken. Munkahelyi környezetben a munkamenet lezárásának automatikus szokássá kell válnia, amikor felállunk a székünkről. Már néhány másodpercnyi fizikai hozzáférés is elegendő lehet az információk ellopásához vagy a nem kívánt szoftverek telepítéséhez.
Hasonlóképpen elengedhetetlen az összes szoftver naprakészen tartása : az operációs rendszer, a böngésző, az irodai alkalmazások, a bővítmények, valamint az útválasztók és más csatlakoztatott eszközök firmware-je is. Számos rosszindulatú program és pszichológiai manipulációs kampány olyan sebezhetőségeket használ ki, amelyek már ismertek és javítottak, de továbbra is jelen vannak azokban a rendszerekben, amelyeket a felhasználók nem frissítettek.
Az e-mail-címekhez vagy domainekhez kapcsolódó adatvédelmi incidenseket figyelő szolgáltatások tájékoztatnak, ha bármelyik fiókoddal kapcsolatban nemrégiben történt incidens. Ha igen, akkor tanácsos a lehető leghamarabb megváltoztatni a jelszavakat és ellenőrizni a bejelentkezési adatokat, hogy csökkentsük az adatokon alapuló, szociális manipuláción alapuló támadások kockázatát.
Fontos megjegyezni, hogy a társadalmi manipuláció nem korlátozódik a digitális világra. Sok támadás fizikai és online technikákat ötvöz . Egy bűnöző bekopoghat egy iroda ajtaján, egy ismert cég technikusának adva ki magát, bejuthat egy szerverszobába, és miután bejutott, egy előre programozott USB-meghajtót használhat a teljes hálózat feltörésére.
Hasonlóképpen léteznek olyan dezinformációs kampányok, amelyek a közösségi médiát, a hagyományos médiát, az üzenetküldést és a személyes beszélgetéseket ötvözik a politikai vélemények vagy szavazási döntések alakítása érdekében. Ezekben az esetekben a nagyszabású manipuláció ugyanazon a társadalmi érvényesítés, tekintély és érzelmi vonzerő elveire épül, mint egy egyszerű banki adathalász csalás, de ezrek vagy milliók célpontját képezi.
Ezért a kiberbiztonság és a kritikai gondolkodás oktatása nem csupán technikai kérdés: alapvető állampolgári készség . Ha a munkavállalókat, a családokat és különösen a fiatalokat megtanítjuk információk megkérdőjelezésére, a források ellenőrzésére és a manipuláció jeleinek felismerésére, az jelentősen csökkenti ezen kampányok hatását.
A számítógépes szociális manipuláció kimutatta, hogy nincs szükség „gépek feltörésére”, ha manipulálhatóak azok az emberek, akik használják őket. Az adathalász e-mailektől a fizikai behatolásokon, a korábbi férgeken át az öntözőhelyi támadásokig a közös nevező a bizalmunk, félelmeink és elfogultságaink szisztematikus kihasználása. A védelmi technológiákba való befektetés szükséges, de csak akkor működik igazán, ha körültekintő digitális szokásokkal, folyamatos képzéssel és a váratlan adatkérésekkel vagy érzékeny tevékenységekkel szembeni ésszerű szkepticizmus kultúrájával párosul . Az eszközöknek és az emberi ítélőképességnek ez a kombinációja jelenti a különbséget aközött, hogy újabb áldozattá válunk, vagy időben megállítjuk a megtévesztést.
