องค์กรขนาดใหญ่หรือเล็กทุกแห่งล้วนมีจุดอ่อนด้านความปลอดภัยของข้อมูล แม้ว่าคอมพิวเตอร์ของบริษัททุกเครื่องจะมีซอฟต์แวร์ที่ดีที่สุด พนักงานทุกคนมีรหัสผ่านที่รัดกุมที่สุด และคอมพิวเตอร์ทุกเครื่องได้รับการตรวจสอบโดยผู้ดูแลระบบที่ฉลาดที่สุด คุณยังคงพบจุดอ่อนได้ และสิ่งหนึ่งที่สำคัญที่สุด” จุดอ่อน” คือบุคคลที่ทำงานในบริษัท สามารถเข้าถึงระบบคอมพิวเตอร์ และเป็นผู้ให้บริการข้อมูลเกี่ยวกับองค์กรไม่มากก็น้อย ผู้ที่วางแผนจะขโมยข้อมูลหรืออีกนัยหนึ่งคือแฮกเกอร์จะได้รับประโยชน์จากปัจจัยด้านมนุษย์เท่านั้น และขึ้นอยู่กับผู้คนที่พวกเขาลองใช้วิธีการมีอิทธิพลต่างๆ ที่เรียกว่าวิศวกรรมสังคม ฉันจะพยายามพูดถึงมันวันนี้ในบทความและเกี่ยวกับอันตรายที่เกิดขึ้น ผู้ใช้ทั่วไปและสำหรับองค์กรต่างๆ

ก่อนอื่นมาทำความเข้าใจว่าวิศวกรรมสังคมคืออะไร - เป็นคำที่แครกเกอร์และแฮกเกอร์ใช้หมายถึง การเข้าถึงโดยไม่ได้รับอนุญาตข้อมูล แต่ตรงกันข้ามกับการแฮ็กการกำหนดซอฟต์แวร์โดยสิ้นเชิง เป้าหมายไม่ใช่การแฮ็ก แต่เป็นการหลอกลวงผู้คนเพื่อให้พวกเขาให้รหัสผ่านหรือข้อมูลอื่น ๆ ที่สามารถช่วยให้แฮกเกอร์ละเมิดความปลอดภัยของระบบในภายหลังได้ การฉ้อโกงประเภทนี้เกี่ยวข้องกับการโทรหาองค์กรทางโทรศัพท์และระบุพนักงานที่มีข้อมูลที่จำเป็น จากนั้นโทรหาผู้ดูแลระบบที่ระบุจากพนักงานที่ไม่มีอยู่จริงซึ่งถูกกล่าวหาว่ามีปัญหาในการเข้าถึงระบบ

วิศวกรรมสังคมเกี่ยวข้องโดยตรงกับจิตวิทยา แต่กำลังพัฒนาโดยแยกออกจากกัน ปัจจุบันมีการใช้แนวทางวิศวกรรมบ่อยมาก โดยเฉพาะงานขโมยเอกสารที่ตรวจไม่พบ วิธีนี้ใช้ในการฝึกสายลับและสายลับให้เจาะข้อมูลลับโดยไม่ทิ้งร่องรอย

บุคคลสามารถคิด ใช้เหตุผล และสรุปข้อสรุปอย่างใดอย่างหนึ่งได้ แต่ข้อสรุปนั้นอาจไม่เป็นจริงเสมอไป เป็นของตนเอง และไม่ได้บังคับจากภายนอก เช่น เป็นสิ่งที่คนอื่นต้องการ แต่สิ่งที่น่าสนใจที่สุดและสิ่งสำคัญที่ช่วยนักต้มตุ๋นก็คือบุคคลอาจไม่สังเกตว่าข้อสรุปของเขาเป็นเท็จ จนนาทีสุดท้ายเขาอาจคิดว่าเขาตัดสินใจทุกอย่างด้วยตัวเอง คุณลักษณะนี้เองที่ผู้คนฝึกฝนการใช้วิศวกรรมสังคม

จุดประสงค์ของวิศวกรรมสังคมคือการขโมยข้อมูล ผู้ที่ทำเช่นนี้พยายามที่จะขโมยข้อมูลโดยไม่สนใจ จากนั้นจึงใช้ข้อมูลดังกล่าวตามดุลยพินิจของตนเอง: ขายหรือแบล็กเมล์เจ้าของเดิม ตามสถิติมักปรากฎว่ากลอุบายดังกล่าวเกิดขึ้นตามคำร้องขอของบริษัทคู่แข่ง

ตอนนี้เรามาดูวิธีการต่างๆ ของวิศวกรรมสังคมกัน

การปฏิเสธการให้บริการของมนุษย์ (HDoS)

สาระสำคัญของการโจมตีนี้คือการบังคับบุคคลอย่างเงียบ ๆ ไม่ให้ตอบสนองต่อสถานการณ์บางอย่าง

ตัวอย่างเช่น การจำลองการโจมตีบนท่าเรือบางแห่งทำหน้าที่เป็นกลยุทธ์ในการเบี่ยงเบนความสนใจ ผู้ดูแลระบบถูกรบกวนจากข้อผิดพลาด และในเวลานี้พวกเขาสามารถเจาะเซิร์ฟเวอร์และรับข้อมูลที่ต้องการได้อย่างง่ายดาย แต่ผู้ดูแลระบบสามารถมั่นใจได้ว่าไม่มีข้อผิดพลาดในพอร์ตนี้ จากนั้นการเจาะระบบของแฮ็กเกอร์จะสังเกตเห็นได้ทันที จุดรวมของวิธีนี้คือแครกเกอร์ต้องรู้จิตวิทยาและระดับความรู้ ผู้ดูแลระบบ- หากไม่มีความรู้นี้ จะไม่สามารถเจาะเข้าไปในเซิร์ฟเวอร์ได้

วิธีการโทร.

วิธีการนี้หมายถึง โทรศัพท์สิ่งที่เรียกว่า “เหยื่อ” นักต้มตุ๋นโทรหาเหยื่อและด้วยความช่วยเหลือของคำพูดที่ถูกต้องและคำถามที่ถูกถามทางจิตวิทยาอย่างถูกต้อง ทำให้เธอเข้าใจผิดและค้นหาข้อมูลที่จำเป็นทั้งหมด

ตัวอย่างเช่น นักต้มตุ๋นโทรมาและบอกว่าตามคำขอของผู้ดูแลระบบ เขากำลังตรวจสอบการทำงานของระบบรักษาความปลอดภัย จากนั้นเขาก็ขอรหัสผ่านและชื่อผู้ใช้ และหลังจากนั้นข้อมูลทั้งหมดที่เขาต้องการก็อยู่ในกระเป๋าของเขา

การติดต่อทางสายตา

วิธีที่ยากที่สุด เฉพาะผู้ที่ได้รับการฝึกอบรมอย่างมืออาชีพเท่านั้นที่สามารถรับมือกับมันได้ ประเด็นของวิธีนี้คือคุณต้องหาทางเข้าหาเหยื่อ เมื่อพบวิธีการแล้ว จะสามารถใช้เพื่อทำให้เหยื่อพอใจและได้รับความไว้วางใจจากเธอ และหลังจากนี้เหยื่อเองก็จะจัดเตรียมข้อมูลที่จำเป็นทั้งหมดและดูเหมือนว่าเธอไม่ได้บอกอะไรที่สำคัญเลย มีเพียงมืออาชีพเท่านั้นที่สามารถทำได้

อีเมล.

นี่เป็นวิธีที่แฮกเกอร์ใช้ในการดึงข้อมูลมากที่สุด ในกรณีส่วนใหญ่ แฮกเกอร์จะส่งจดหมายถึงเหยื่อจากบุคคลที่พวกเขาถูกกล่าวหาว่ารู้จัก สิ่งที่ยากที่สุดของวิธีนี้คือการลอกเลียนท่าทางและลีลาการเขียนของเพื่อนคนนี้ หากเหยื่อเชื่อในการหลอกลวง คุณสามารถดึงข้อมูลทั้งหมดที่แฮกเกอร์อาจต้องการได้ที่นี่

การใช้เทคนิค วิศวกรรมสังคมอาชญากรไซเบอร์เพื่อ ปีที่ผ่านมาได้นำวิธีการขั้นสูงมาใช้ซึ่งทำให้มีโอกาสเข้าถึงได้มากขึ้น ข้อมูลที่จำเป็นโดยใช้ จิตวิทยาสมัยใหม่พนักงานของรัฐวิสาหกิจและประชาชนทั่วไป ขั้นตอนแรกในการตอบโต้กลอุบายประเภทนี้คือการทำความเข้าใจกลยุทธ์ของผู้โจมตีด้วยตนเอง เรามาดูแปดแนวทางหลักในด้านวิศวกรรมสังคมกัน

การแนะนำ

ในยุค 90 แนวคิดของ "วิศวกรรมสังคม" ได้รับการประกาศเกียรติคุณจาก Kevin Mitnick ซึ่งเป็นบุคคลสำคัญในสาขานี้ ความปลอดภัยของข้อมูลอดีตแฮ็กเกอร์ตัวฉกาจ อย่างไรก็ตาม ผู้โจมตีใช้วิธีการดังกล่าวมานานก่อนที่จะปรากฏคำดังกล่าว ผู้เชี่ยวชาญเชื่อมั่นว่ากลยุทธ์ของอาชญากรไซเบอร์ยุคใหม่เชื่อมโยงกับการบรรลุเป้าหมายสองประการ: การขโมยรหัสผ่านและการติดตั้งมัลแวร์

ผู้โจมตีพยายามใช้วิศวกรรมสังคมโดยใช้โทรศัพท์ อีเมล และอินเทอร์เน็ต มาทำความรู้จักกับวิธีการหลักที่ช่วยให้อาชญากรได้รับข้อมูลที่เป็นความลับที่พวกเขาต้องการ

ชั้นเชิง 1. ทฤษฎีการจับมือสิบครั้ง

เป้าหมายหลักของผู้โจมตีที่ใช้โทรศัพท์เพื่อวิศวกรรมสังคมคือการโน้มน้าวให้เหยื่อของเขาเชื่อหนึ่งในสองสิ่ง:

1. เหยื่อได้รับโทรศัพท์จากพนักงานบริษัท
2. ตัวแทนของหน่วยงานที่ได้รับอนุญาต (เช่น เจ้าหน้าที่บังคับใช้กฎหมายหรือผู้ตรวจสอบบัญชี) โทรเข้ามา

หากอาชญากรกำหนดหน้าที่ตัวเองในการรวบรวมข้อมูลเกี่ยวกับพนักงานบางคน เขาสามารถติดต่อเพื่อนร่วมงานของเขาก่อน โดยพยายามทุกวิถีทางเพื่อดึงข้อมูลที่เขาต้องการ

จำทฤษฎีเก่าของการจับมือหกครั้งได้ไหม? ผู้เชี่ยวชาญด้านความปลอดภัยกล่าวว่าอาชญากรไซเบอร์กับเหยื่อสามารถ "จับมือ" ได้เพียงสิบครั้งเท่านั้น ผู้เชี่ยวชาญเชื่อว่าในสภาวะสมัยใหม่คุณต้องมีความหวาดระแวงเล็กน้อยอยู่เสมอเนื่องจากคุณไม่รู้ว่าพนักงานต้องการอะไรจากคุณ

ผู้โจมตีมักจะกำหนดเป้าหมายไปที่เลขานุการ (หรือบุคคลที่ดำรงตำแหน่งคล้ายกัน) เพื่อรวบรวมข้อมูลเกี่ยวกับบุคคลที่อยู่ในลำดับชั้นที่สูงกว่า ผู้เชี่ยวชาญทราบว่าน้ำเสียงที่เป็นมิตรช่วยผู้หลอกลวงได้อย่างมาก อาชญากรกำลังหยิบกุญแจมาหาคุณอย่างช้าๆ แต่แน่นอน ซึ่งในไม่ช้าจะทำให้คุณแบ่งปันข้อมูลที่คุณไม่เคยเปิดเผยมาก่อน

กลยุทธ์ที่ 2 การเรียนรู้ภาษาองค์กร

ดังที่คุณทราบ แต่ละอุตสาหกรรมมีสูตรเฉพาะของตัวเอง งานของผู้โจมตีที่พยายามได้รับ ข้อมูลที่จำเป็น, - ศึกษาคุณสมบัติของภาษาดังกล่าวเพื่อใช้เทคนิควิศวกรรมสังคมอย่างเชี่ยวชาญยิ่งขึ้น

ข้อมูลเฉพาะทั้งหมดอยู่ในการศึกษา ภาษาองค์กรข้อกำหนดและคุณลักษณะของมัน หากอาชญากรไซเบอร์พูดภาษาที่คุ้นเคย คุ้นเคย และเข้าใจได้ตามวัตถุประสงค์ของเขา เขาจะได้รับความไว้วางใจได้ง่ายขึ้นและสามารถรับข้อมูลที่เขาต้องการได้อย่างรวดเร็ว

กลยุทธ์ที่ 3: ยืมเพลงเพื่อพักสายระหว่างสนทนา

เพื่อให้การโจมตีสำเร็จ นักหลอกลวงจำเป็นต้องมีองค์ประกอบสามประการ: เวลา ความเพียร และความอดทน บ่อยครั้งที่การโจมตีทางไซเบอร์โดยใช้วิศวกรรมสังคมดำเนินการอย่างช้าๆ และเป็นระบบ ไม่เพียงแต่จะรวบรวมข้อมูลเท่านั้น คนที่เหมาะสมแต่ยังมีสิ่งที่เรียกว่า “ สัญญาณทางสังคม- สิ่งนี้ทำเพื่อให้ได้รับความไว้วางใจและหลอกเป้าหมาย ตัวอย่างเช่น ผู้โจมตีสามารถโน้มน้าวบุคคลที่ตนสื่อสารด้วยว่าเป็นเพื่อนร่วมงานได้

คุณสมบัติอย่างหนึ่งของแนวทางนี้คือการบันทึกเพลงที่บริษัทใช้ระหว่างการโทรในขณะที่ผู้โทรกำลังรอคำตอบ อาชญากรจะรอเพลงดังกล่าวก่อน จากนั้นจึงบันทึกเสียง จากนั้นจึงนำไปใช้เพื่อประโยชน์ของเขา

ดังนั้น เมื่อมีการพูดคุยโดยตรงกับเหยื่อ ผู้โจมตีจะพูดว่า: "เดี๋ยวก่อน มีสายเรียกเข้าอีกสายหนึ่ง" จากนั้นเหยื่อจะได้ยินเพลงที่คุ้นเคย และไม่ต้องสงสัยเลยว่าผู้โทรเป็นตัวแทนของบริษัทแห่งหนึ่ง โดยพื้นฐานแล้วนี่เป็นเพียงกลอุบายทางจิตวิทยาที่ชาญฉลาด

กลยุทธ์ที่ 4 การปลอมแปลง (ทดแทน) หมายเลขโทรศัพท์

อาชญากรมักใช้การปลอมแปลง หมายเลขโทรศัพท์ซึ่งจะช่วยปลอมแปลงหมายเลขผู้โทร ตัวอย่างเช่น ผู้โจมตีสามารถนั่งอยู่ในอพาร์ตเมนต์ของเขาและโทรหาบุคคลที่สนใจได้ แต่ ID ผู้โทรจะปรากฏขึ้น บริษัทเป็นเจ้าของซึ่งจะสร้างภาพลวงตาว่านักต้มตุ๋นกำลังโทรโดยใช้หมายเลของค์กร

แน่นอนว่า พนักงานที่ไม่สงสัยส่วนใหญ่จะให้ข้อมูลที่ละเอียดอ่อน รวมถึงรหัสผ่าน แก่ผู้โทร หากหมายเลขผู้โทรเป็นของบริษัทของตน วิธีนี้ยังช่วยให้อาชญากรหลีกเลี่ยงการติดตาม เพราะหากคุณโทรกลับที่หมายเลขนี้ คุณจะถูกเปลี่ยนเส้นทางไปยังสายภายในของบริษัท

กลยุทธ์ที่ 5: การใช้ข่าวต่อต้านคุณ

ไม่ว่าหัวข้อข่าวในปัจจุบันจะเป็นเช่นไร ผู้โจมตีก็ใช้ข้อมูลนี้เป็นเหยื่อล่อสำหรับสแปม ฟิชชิ่ง และกิจกรรมฉ้อโกงอื่นๆ ไม่น่าแปลกใจที่ผู้เชี่ยวชาญใน เมื่อเร็วๆ นี้สังเกตการเพิ่มขึ้นของจำนวนอีเมลขยะ ซึ่งเป็นหัวข้อที่เกี่ยวข้องกับการรณรงค์หาเสียงของประธานาธิบดีและวิกฤตเศรษฐกิจ

ตัวอย่างจะเป็นการโจมตีแบบฟิชชิ่งในธนาคาร อีเมลแจ้งบางสิ่งเช่นนี้:

“ธนาคารอื่น [ชื่อธนาคาร] กำลังรับธนาคารของคุณ [ชื่อธนาคาร] คลิกลิงก์นี้เพื่อให้แน่ใจว่าข้อมูลธนาคารของคุณได้รับการอัปเดตจนกว่าข้อตกลงจะปิดลง"

โดยปกติแล้ว นี่เป็นความพยายามที่จะรับข้อมูลที่นักต้มตุ๋นสามารถลงชื่อเข้าใช้บัญชีของคุณ ขโมยเงินของคุณ หรือขายข้อมูลของคุณให้กับบุคคลที่สาม

กลยุทธ์ที่ 6: ใช้ประโยชน์จากความไว้วางใจในแพลตฟอร์มโซเชียล

ไม่เป็นความลับเลยที่ Facebook, Myspace และ LinkedIn เป็นเว็บไซต์เครือข่ายสังคมออนไลน์ที่ได้รับความนิยมอย่างมาก จากการวิจัยของผู้เชี่ยวชาญ ผู้คนมักจะเชื่อถือแพลตฟอร์มดังกล่าว เหตุการณ์ฟิชชิ่งแบบหอกล่าสุดที่มุ่งเป้าไปที่ผู้ใช้ LinkedIn สนับสนุนทฤษฎีนี้

ดังนั้น ผู้ใช้จำนวนมากจะเชื่อถืออีเมลหากอ้างว่ามาจาก Facebook เทคนิคทั่วไปคือการอ้างว่าเครือข่ายโซเชียลกำลังดำเนินการอยู่ การซ่อมบำรุงคุณต้อง “คลิกที่นี่” เพื่ออัปเดตข้อมูล นี่คือเหตุผลที่ผู้เชี่ยวชาญแนะนำให้พนักงานในองค์กรป้อนที่อยู่เว็บด้วยตนเองเพื่อหลีกเลี่ยงลิงก์ฟิชชิ่ง

นอกจากนี้ โปรดทราบว่าในบางกรณีซึ่งเกิดขึ้นไม่บ่อยนัก ไซต์จะแจ้งให้ผู้ใช้เปลี่ยนรหัสผ่านหรืออัปเดตบัญชีของตน

ชั้นเชิง 7. การนั่งยองๆ

เทคนิคที่เป็นอันตรายนี้มีความโดดเด่นจากการที่ผู้โจมตีใช้ข้อผิดพลาดของมนุษย์ ซึ่งก็คือข้อผิดพลาดเมื่อป้อน URL ลงในแถบที่อยู่ ดังนั้น เมื่อทำผิดพลาดเพียงตัวอักษรเดียว ผู้ใช้สามารถจบลงที่เว็บไซต์ที่สร้างขึ้นโดยผู้โจมตีโดยเฉพาะเพื่อจุดประสงค์นี้

อาชญากรไซเบอร์เตรียมพื้นที่สำหรับการพิมพ์ผิดอย่างระมัดระวัง ดังนั้นไซต์ของพวกเขาจะเหมือนกับไซต์ที่ถูกต้องตามกฎหมายที่คุณต้องการเยี่ยมชมในตอนแรก ดังนั้น หากคุณสะกดที่อยู่เว็บของคุณผิด คุณจะพบกับสำเนาของไซต์ที่ถูกต้องตามกฎหมาย โดยมีจุดประสงค์เพื่อขายของบางอย่าง ขโมยข้อมูล หรือแจกจ่ายมัลแวร์

กลยุทธ์ที่ 8 การใช้ FUD มีอิทธิพลต่อตลาดหุ้น

FUD เป็นกลวิธีในการบิดเบือนทางจิตวิทยาที่ใช้ในการตลาดและการโฆษณาชวนเชื่อโดยทั่วไป ซึ่งประกอบด้วยการนำเสนอข้อมูลเกี่ยวกับบางสิ่งบางอย่าง (โดยเฉพาะผลิตภัณฑ์หรือองค์กร) ในลักษณะที่จะหว่านความไม่แน่นอนและความสงสัยในกลุ่มผู้ชมเกี่ยวกับคุณสมบัติของสิ่งนั้น และทำให้เกิด กลัวมัน

จากการวิจัยล่าสุดจาก Avert ความปลอดภัยและช่องโหว่ของผลิตภัณฑ์และแม้แต่ทั้งบริษัทก็อาจส่งผลกระทบต่อตลาดหุ้นได้ ตัวอย่างเช่น นักวิจัยได้ศึกษาผลกระทบของเหตุการณ์เช่น Microsoft Patch Tuesday ต่อหุ้นของบริษัท โดยพบความผันผวนที่เห็นได้ชัดเจนทุกเดือนหลังจากข้อมูลเกี่ยวกับช่องโหว่ถูกเผยแพร่

คุณยังจำได้ว่าในปี 2008 ผู้โจมตีเผยแพร่ข้อมูลเท็จเกี่ยวกับสุขภาพของ Steve Jobs ได้อย่างไร ซึ่งทำให้หุ้นลดลงอย่างรวดเร็ว แอปเปิล- นี่เป็นตัวอย่างทั่วไปของ FUD ที่ถูกนำไปใช้เพื่อจุดประสงค์ที่เป็นอันตราย

นอกจากนี้ยังเป็นที่น่าสังเกตการใช้งาน อีเมลเพื่อใช้เทคนิค "pump-and-dump" (แผนการจัดการอัตราแลกเปลี่ยนในตลาดหุ้นหรือในตลาดสกุลเงินดิจิทัลด้วยการล่มสลายในภายหลัง) ในกรณีนี้ ผู้โจมตีสามารถส่งอีเมลอธิบายศักยภาพอันน่าทึ่งของหุ้นที่พวกเขาซื้อไว้ล่วงหน้าได้

ดังนั้นหลายคนจะพยายามซื้อหุ้นเหล่านี้โดยเร็วที่สุด และราคาก็จะสูงขึ้น

ข้อสรุป

อาชญากรไซเบอร์มักจะมีความคิดสร้างสรรค์อย่างมากในการใช้วิศวกรรมสังคม เมื่อคุ้นเคยกับวิธีการของพวกเขาแล้ว เราสามารถสรุปได้ว่าเทคนิคทางจิตวิทยาต่างๆ ช่วยให้ผู้โจมตีบรรลุเป้าหมายได้อย่างมาก จากนี้ คุณควรใส่ใจกับสิ่งเล็กๆ น้อยๆ ที่อาจเปิดเผยผู้หลอกลวงโดยไม่รู้ตัว ตรวจสอบและตรวจสอบข้อมูลเกี่ยวกับบุคคลที่ติดต่อคุณอีกครั้ง โดยเฉพาะอย่างยิ่งหากมีการหารือเกี่ยวกับข้อมูลที่เป็นความลับ

บล็อกของบริษัท CROC

ตามที่แนวทางปฏิบัติของโลกในการดำเนินการแฮ็กที่ประสบความสำเร็จ (แน่นอนว่าผู้โจมตีประสบความสำเร็จ) ปัญหาส่วนใหญ่เกี่ยวข้องกับปัญหาที่เกิดขึ้นกับผู้คนอย่างแม่นยำ พูดให้ชัดเจนยิ่งขึ้น ประเด็นก็คือความสามารถของพวกเขาในการให้ข้อมูลใด ๆ และดำเนินการที่โง่เขลาโดยสิ้นเชิง

ฉันคิดว่าตัวอย่างด้านไอทีคุ้นเคยกับคุณมาก ดังนั้น ฉันจะเตือนคุณถึงตัวอย่างจากหนังสือ "จิตวิทยาแห่งอิทธิพล": นักจิตวิทยาเรียกพยาบาลในโรงพยาบาล แล้วแนะนำตัวเองว่าเป็นแพทย์และออกคำสั่งให้ฉีดยาในปริมาณที่อันตรายถึงชีวิต ของสารแก่ผู้ป่วย พี่สาวรู้ว่าเธอกำลังทำอะไรอยู่ แต่ใน 95% ของกรณีเธอปฏิบัติตามคำสั่ง (ผู้ช่วยนักจิตวิทยาหยุดเธอที่ทางเข้าวอร์ด) ยิ่งกว่านั้นแพทย์ไม่ได้รับอนุญาตด้วยซ้ำ ทำไมพี่สาวฉันถึงทำแบบนี้? เพียงเพราะเธอคุ้นเคยกับการเชื่อฟังผู้มีอำนาจ

มาทำกันใหม่อีกครั้ง: ในตัวอย่างนี้ ต้องขอบคุณวิศวกรรมสังคมที่มีความสามารถ 95% ของโรงพยาบาลมีความเสี่ยงวิกฤต.

วิธีการนี้ไม่ล้าสมัย

ระบบมีการเปลี่ยนแปลงอยู่ตลอดเวลา ซอฟต์แวร์และฮาร์ดแวร์มีความซับซ้อนมากขึ้น เพื่อที่จะเชี่ยวชาญหัวข้อทั้งในด้านการป้องกันและการโจมตีได้อย่างมั่นใจไม่มากก็น้อย คุณจะต้องตรวจสอบผลิตภัณฑ์ใหม่ทั้งหมดอย่างต่อเนื่อง เป็นคนแรกเพื่อดูสิ่งใหม่ๆ และเข้าใจภูมิหลังด้านไอทีทั้งหมดของปัญหาเป็นอย่างดี นี่คือเส้นทางของแฮ็กเกอร์สุดคลาสสิกผู้ถูกรายล้อมไปด้วยรัศมีแห่งความโรแมนติก ใน โลกสมัยใหม่แต่แฮกเกอร์มีผู้เชี่ยวชาญเฉพาะกลุ่มหลายคนในกลุ่มที่ได้รับการฝึกอบรมเกี่ยวกับเทคโนโลยีเป้าหมายเฉพาะ แต่งานหลักคือการเจาะเข้าไปในขอบเขตความปลอดภัยเสมอ

ซึ่งหมายความว่าไม่ช้าก็เร็วคุณจะต้องมีวิศวกรรมสังคม และโดยปกติจะเป็นช่วงเช้า เพราะอันดับแรกคือการรวบรวมและจัดเตรียมข้อมูล จากนั้นเทคโนโลยีและความรู้เชิงลึกเกี่ยวกับระบบไอทีก็จะถูกทับซ้อนกัน

หากบริษัทของคุณมีแผนกรักษาความปลอดภัย อาจมีคนหวาดระแวงที่เข้าใจว่าพนักงานอาจมีข้อมูลอันมีค่ามากเพียงใด รวมถึงคนที่เหยียดหยามเหยียดหยามซึ่งไม่มีศรัทธาในผู้คนเลย ทีมนี้วิเคราะห์สิทธิ์ เขียนคำแนะนำ และแก้ไขสถานการณ์ที่สำคัญในทางปฏิบัติ โดยทั่วไปสิ่งนี้ช่วยให้คุณปลูกฝังภูมิคุ้มกันได้ แต่ก็ยังไม่ได้ให้การป้องกันในระดับที่เหมาะสม สิ่งที่ไม่พึงประสงค์ที่สุดคือในวิศวกรรมสังคม คุณไม่สามารถ "ติดแพทช์" และลืมได้ - เมื่อผู้โจมตีเชี่ยวชาญกลไกแล้ว กลไกเหล่านั้นจะทำงานเสมอ เพราะพฤติกรรมของผู้คนโดยทั่วไปไม่ได้เปลี่ยนแปลงมากนัก

แบบจำลองพื้นฐานของวิศวกรรมสังคม

พนักงานแต่ละคนได้รับการคาดหวังให้มีระดับความสามารถด้านความปลอดภัยและระดับการเข้าถึงที่แตกต่างกัน พนักงานในสายงาน (เช่น เด็กผู้หญิงจากแผนกต้อนรับ) ไม่สามารถเข้าถึงข้อมูลที่สำคัญได้ นั่นคือแม้แต่การยึดบัญชีของพวกเขาและการได้รับข้อมูลทั้งหมดที่พวกเขารู้จักก็จะไม่สร้างความเสียหายร้ายแรงต่อบริษัท แต่ข้อมูลของพวกเขาสามารถใช้เพื่อย้ายไปยังขั้นตอนถัดไปภายในโซนที่ได้รับการป้องกันได้ ตัวอย่างเช่น คุณสามารถเรียกชื่อพนักงานและเรียกระดับที่สูงกว่าได้ โดยแนะนำตัวเองว่าเป็นหนึ่งในนั้น ในกรณีนี้ คุณสามารถแสดงบทบาทผู้มีอำนาจ (ดังตัวอย่างกับแพทย์ด้านบน) หรือคุณสามารถถามคำถามที่ไร้เดียงสาสองสามข้อแล้วไขปริศนาได้ หรือก้าวไปสู่พนักงานที่มีความรู้มากขึ้นต่อไป โดยใช้ข้อเท็จจริงที่ว่าเป็นธรรมเนียมในทีมที่จะช่วยเหลือซึ่งกันและกัน และไม่หวาดระแวงเมื่อถูกถามเกี่ยวกับข้อมูลสำคัญจำนวนหนึ่ง แม้จะมีคำแนะนำที่เข้มงวด แต่ก็ยังมีโอกาสที่อารมณ์จะมีชัยอยู่เสมอ

ไม่เชื่อฉันเหรอ? ลองนึกภาพสถานการณ์ที่ผู้โจมตีโทรหาผู้หญิงคนเดียวกันจากศูนย์บริการทางโทรศัพท์หลายครั้งต่อสัปดาห์เป็นเวลาหนึ่งเดือน เขาแนะนำตัวเองในฐานะพนักงาน คิดบวก พูดจามีชีวิตชีวา ชี้แจงเรื่องเล็กๆ น้อยๆ ที่เปิดกว้าง และบางครั้งก็ขอความช่วยเหลือเล็กๆ น้อยๆ การอนุญาตที่ชัดเจนจะถูกแทนที่ด้วยความจริงที่ว่าบุคคลนั้นโทรมาบ่อยครั้ง สิบ, ยี่สิบ, ถ้าจำเป็น - สามสิบครั้ง จนกลายเป็นปรากฏการณ์อย่างหนึ่งของชีวิต เขาเป็นของเราเพราะเขาทราบรายละเอียดต่างๆเกี่ยวกับงานของบริษัทและโทรมาอย่างต่อเนื่อง ในวันที่ 31 ผู้โจมตีส่งคำขอเล็กๆ น้อยๆ อีกครั้ง แต่คราวนี้ขอข้อมูลสำคัญ และหากจำเป็น เขาจะให้เหตุผลที่สมเหตุสมผลและเป็นไปได้ว่าเหตุใดจึงต้องทำเช่นนี้ และเขาประสบปัญหาประเภทใด แน่นอนว่าคนธรรมดาจะช่วยเขาได้

หากคุณคิดว่ามีเพียงผู้ใช้ที่ไร้ความสามารถเท่านั้นที่เสี่ยงต่อการโจมตีดังกล่าว ให้เปิดหนังสือ "ศิลปะแห่งการหลอกลวง" ซึ่งในบทนำ Mitnik พูดถึงวิธีที่เขาแนะนำตัวเองในฐานะผู้พัฒนาหลักของโครงการและบังคับเป็นวินาที ผู้ดูแลระบบเพื่อให้สิทธิพิเศษในการเข้าถึงระบบ หมายเหตุ ผู้ชายที่เข้าใจอย่างถ่องแท้ว่าเขากำลังทำอะไรอยู่

รูปแบบที่สวยงามอย่างหนึ่งคือฟิชชิ่ง IVR ของธนาคาร เมื่อเหยื่อของการโจมตีได้รับจดหมายพร้อมหมายเลข "ศูนย์ลูกค้า" ฟิชชิ่ง โดยที่เครื่องตอบรับอัตโนมัติจะขอให้คุณป้อนรายละเอียดบัตรที่สำคัญเพื่อขออนุมัติ

กรณีพิเศษเพิ่มเติม

คุณสามารถใช้ฟิชชิ่งกับทรัพยากรที่เป้าหมายใช้ หรือตัวอย่างเช่น โพสต์มัลแวร์บนแหล่งข้อมูลภายนอกเหล่านี้ซึ่งแพร่ระบาดไปยังเครื่องของบริษัท (หนึ่งในช่องทางการโจมตีหลักในช่วงไม่กี่ปีที่ผ่านมา) คุณสามารถมอบดิสก์ที่มีสิ่งที่น่าสนใจให้กับพนักงาน (โดยหวังว่าเขาจะเปิดตัวซอฟต์แวร์หรือใช้ข้อมูลจากซอฟต์แวร์นั้น) คุณสามารถใช้โซเชียลเน็ตเวิร์กเพื่อรวบรวมข้อมูล (ระบุโครงสร้าง บริษัท) และสื่อสารกับ คนที่เฉพาะเจาะจงในนั้น มีตัวเลือกมากมาย

ประวัติย่อ

ดังนั้นวิศวกรรมสังคมสามารถใช้ทั้งในการรวบรวมข้อมูลเกี่ยวกับเป้าหมาย (“สวัสดี! ฉันมีหมายเลขแผนกที่ 4 แต่ฉันลืม”) และเพื่อรับ ข้อมูลลับ(“ใช่ ขอบคุณ อีกประการหนึ่ง สำหรับฉันดูเหมือนว่านี่เป็นลูกค้าที่น่าสงสัย คุณช่วยบอกหมายเลขบัตรของเขาที่เขาจ่ายให้ฉันหน่อยได้ไหม ครั้งสุดท้าย?”) เข้าถึงระบบได้โดยตรง: “แล้วตอนนี้คุณกำลังเข้าสู่อะไรกันแน่? โปรดสะกดมันออกมา Seven-es ก็เหมือนเงินดอลลาร์เปอร์เซนต์-เดอ-เตใหญ่...") และแม้แต่การได้สิ่งที่เป็นไปไม่ได้ที่จะได้มา ตัวอย่างเช่น หากคอมพิวเตอร์ถูกตัดการเชื่อมต่อจากเครือข่าย บุคคลที่ "ได้รับการประมวลผล" จะสามารถเชื่อมต่อได้

ในการเตรียมตัวสำหรับการแข่งขันแฮ็กเกอร์ เกิดปัญหาขึ้นเกี่ยวกับเด็กผู้หญิงที่แผนกต้อนรับซึ่งออกไปโดยไม่ได้ตั้งใจเป็นเวลา 30 วินาที คุณจะมีเวลาทำอะไรในช่วงเวลานี้? มีอะไรวางไว้บนรถของเธอเหรอ? ไม่ มีเวลาหรือสิทธิ์ผู้ใช้ไม่เพียงพอ ขโมยเอกสารจากโต๊ะหรือส่งจดหมายทั้งหมดถึงตัวคุณเอง? ไม่ใช่ความคิดที่ดี คุณจะถูกจับตามอง แม้แต่การนั่งหน้าคอมพิวเตอร์ของเธอก็เป็นอันตรายแล้วเพราะอาจมีกล้องที่ซ่อนอยู่ในสำนักงาน คำตอบที่ดีที่สุดอยู่ในขอบเขตของการมีปฏิสัมพันธ์ทางสังคม เช่น ติดสติกเกอร์พร้อมหมายเลขสนับสนุนด้านเทคนิค ขอให้เธอออกเดท และอื่นๆ คุณจะไม่ถูกตัดสินในเรื่องการออกเดท แต่จะให้ข้อมูลมากมายเกี่ยวกับลำดับชั้นในบริษัทและเรื่องส่วนตัวของพนักงาน

กลับมาที่โปรแกรมการศึกษาอีกครั้ง อ่าน "ศิลปะแห่งการหลอกลวง" (คุณจะต้องชอบบทสนทนาเฉพาะจากที่นั่นอย่างแน่นอน) บทที่เกี่ยวกับวิศวกรรมสังคมจากหนังสือของเดนิส เฟเรียที่มีชื่อที่น่าสมเพชว่า "ความลับของซูเปอร์แฮ็กเกอร์" "จิตวิทยาแห่งอิทธิพล" ที่จริงจัง และสำหรับ ผู้เริ่มต้น คำอธิบายเทคนิคพื้นฐาน หากคุณไม่มีแผนกรักษาความปลอดภัยที่เข้มแข็ง หลังจากอ่านข้อความนี้แล้ว ให้แจ้งเตือนผู้จัดการของคุณและดำเนินการทดสอบง่ายๆ เป็นไปได้มากว่าคุณจะได้เรียนรู้มากมายเกี่ยวกับความใจง่ายของมนุษย์

ความท้าทายด้านความพร้อมทางไซเบอร์และวิศวกรรมสังคม

ยกเว้น วิธีการทางเทคนิคการป้องกัน ภัยคุกคามทางสังคม(เช่น การแนะนำตัว แพลตฟอร์มทั่วไปสำหรับการส่งข้อความภายในบริษัท การตรวจสอบสิทธิ์ผู้ติดต่อใหม่ที่จำเป็น และอื่นๆ) จำเป็นต้องอธิบายให้ผู้ใช้ทราบถึงสิ่งที่เกิดขึ้นระหว่างการโจมตีดังกล่าว จริงอยู่สิ่งนี้ไม่มีประโยชน์หากคุณไม่รวมทฤษฎีกับการฝึกฝนกล่าวคือทำตัวเป็นผู้โจมตีเป็นครั้งคราวและพยายามเจาะระบบของคุณเอง หลังจากการ “ฝึกซ้อม” และการซักถาม 2-3 ครั้ง พนักงานก็ระบุ อย่างน้อยพวกเขาจะสงสัยว่าพวกเขากำลังถูกตรวจสอบเมื่อโทรหรือไม่

แน่นอนว่าเพื่อตอบโต้ภัยคุกคามคุณต้อง "เข้าหัว" ของผู้โจมตีที่โจมตีคุณและเรียนรู้ที่จะคิดเหมือนเขา เป็นส่วนหนึ่งของทัวร์นาเมนต์ออฟไลน์

วิศวกรรมสังคม

วิศวกรรมสังคมเป็นวิธีการเข้าถึงข้อมูลหรือระบบจัดเก็บข้อมูลโดยไม่ได้รับอนุญาตโดยไม่ต้องใช้วิธีการทางเทคนิค เป้าหมายหลักของวิศวกรสังคม เช่นเดียวกับแฮกเกอร์และแคร็กเกอร์อื่นๆ คือการเข้าถึงระบบรักษาความปลอดภัยเพื่อขโมยข้อมูล รหัสผ่าน ข้อมูลบัตรเครดิต ฯลฯ ความแตกต่างที่สำคัญจากการแฮ็กแบบธรรมดาก็คือใน ในกรณีนี้ไม่ใช่เครื่องจักรที่ถูกเลือกให้เป็นเป้าหมายของการโจมตี แต่เป็นผู้ปฏิบัติงาน นั่นคือเหตุผลว่าทำไมวิธีการและเทคนิคทั้งหมดของวิศวกรสังคมจึงขึ้นอยู่กับการใช้จุดอ่อนของปัจจัยมนุษย์ ซึ่งถือเป็นการทำลายล้างอย่างยิ่ง เนื่องจากผู้โจมตีได้รับข้อมูล เช่น ผ่านการสนทนาทางโทรศัพท์เป็นประจำ หรือโดยการแทรกซึมองค์กรภายใต้ หน้ากากของพนักงาน เพื่อป้องกันการโจมตีประเภทนี้ คุณควรตระหนักถึงประเภทการฉ้อโกงที่พบบ่อยที่สุด ทำความเข้าใจว่าจริงๆ แล้วแฮกเกอร์ต้องการอะไร และจัดระเบียบนโยบายความปลอดภัยที่เหมาะสมในเวลาที่เหมาะสม

เรื่องราว

แม้ว่าแนวคิดของ "วิศวกรรมสังคม" จะปรากฏขึ้นเมื่อไม่นานมานี้ แต่ผู้คนในรูปแบบใดรูปแบบหนึ่งก็ใช้เทคนิคของตนมาแต่โบราณกาล ในสมัยกรีกโบราณและโรม ผู้คนที่สามารถทำได้ ในรูปแบบต่างๆโน้มน้าวคู่สนทนาของคุณว่าเขาผิดอย่างเห็นได้ชัด พวกเขาดำเนินการเจรจาทางการทูตในนามของผู้นำ การใช้คำโกหก คำเยินยอ และการโต้แย้งอย่างเชี่ยวชาญ พวกเขามักจะแก้ไขปัญหาที่ดูเหมือนเป็นไปไม่ได้ที่จะแก้ไขโดยไม่ต้องใช้ดาบ ในบรรดาสายลับนั้น วิศวกรรมสังคมเป็นอาวุธหลักมาโดยตลอด ด้วยการแอบอ้างเป็นบุคคลอื่น เจ้าหน้าที่ KGB และ CIA สามารถค้นพบความลับของรัฐได้ ในช่วงต้นทศวรรษที่ 70 ในยุครุ่งเรืองของการโทรหลอกลวง นักเลงโทรศัพท์บางคนเรียกผู้ให้บริการโทรคมนาคมและพยายามดึงข้อมูลที่เป็นความลับจากเจ้าหน้าที่ด้านเทคนิคของบริษัท หลังจากการทดลองโดยใช้กลอุบายต่างๆ ในช่วงปลายทศวรรษที่ 70 Phreakers ได้พัฒนาเทคนิคในการจัดการกับผู้ปฏิบัติงานที่ไม่ได้รับการฝึกอบรมจนสมบูรณ์แบบจนพวกเขาสามารถเรียนรู้จากพวกเขาได้เกือบทุกอย่างที่พวกเขาต้องการ

หลักการและเทคนิควิศวกรรมสังคม

มีเทคนิคและประเภทของการโจมตีทั่วไปหลายประการที่วิศวกรสังคมใช้ เทคนิคทั้งหมดนี้ขึ้นอยู่กับคุณลักษณะของการตัดสินใจของมนุษย์ที่เรียกว่าอคติเกี่ยวกับการรับรู้ (ดูเพิ่มเติมเกี่ยวกับความรู้ความเข้าใจ) อคติเหล่านี้ถูกนำมาใช้ใน การรวมกันต่างๆเพื่อสร้างกลยุทธ์การหลอกลวงที่เหมาะสมที่สุดในแต่ละกรณีโดยเฉพาะ แต่คุณลักษณะทั่วไปของวิธีการเหล่านี้ทั้งหมดทำให้เข้าใจผิดโดยมีจุดประสงค์เพื่อบังคับให้บุคคลดำเนินการบางอย่างที่ไม่เป็นประโยชน์ต่อเขาและจำเป็นสำหรับวิศวกรสังคม เพื่อให้บรรลุผลตามที่ต้องการ ผู้โจมตีใช้กลวิธีต่างๆ มากมาย: การแอบอ้างเป็นบุคคลอื่น การเบี่ยงเบนความสนใจ การเพิ่มความตึงเครียดทางจิตใจ เป็นต้น เป้าหมายสูงสุดของการหลอกลวงอาจแตกต่างกันมากเช่นกัน

เทคนิควิศวกรรมสังคม

การกล่าวอ้าง

การอ้างสิทธิ์คือชุดของการกระทำที่ดำเนินการล่วงหน้าในลักษณะใดลักษณะหนึ่ง สคริปต์สำเร็จรูป(ข้ออ้าง). เทคนิคนี้เกี่ยวข้องกับการใช้วิธีเสียง เช่น โทรศัพท์ Skype เป็นต้น เพื่อรับข้อมูลที่จำเป็น โดยทั่วไปแล้ว โดยการวางตัวเป็นบุคคลที่สามหรือแกล้งทำเป็นว่ามีคนต้องการความช่วยเหลือ ผู้โจมตีจะขอให้เหยื่อระบุรหัสผ่านหรือเข้าสู่ระบบหน้าเว็บฟิชชิ่ง เพื่อหลอกให้เป้าหมายดำเนินการตามที่ต้องการหรือให้ข้อมูลบางอย่าง ในกรณีส่วนใหญ่ เทคนิคนี้ต้องใช้ข้อมูลเบื้องต้นเกี่ยวกับเป้าหมายของการโจมตี (เช่น ข้อมูลส่วนบุคคล เช่น วันเกิด หมายเลขโทรศัพท์ หมายเลขบัญชี ฯลฯ) กลยุทธ์ที่พบบ่อยที่สุดคือการใช้คำถามเล็กๆ น้อยๆ ในตอนแรกและระบุชื่อคนจริงใน องค์กร. ต่อมาในระหว่างการสนทนา ผู้โจมตีอธิบายว่าเขาต้องการความช่วยเหลือ (คนส่วนใหญ่สามารถและเต็มใจที่จะปฏิบัติงานที่ไม่ถูกมองว่าน่าสงสัย) เมื่อได้รับความไว้วางใจแล้ว นักต้มตุ๋นอาจขอบางสิ่งที่สำคัญและสำคัญกว่านี้

ฟิชชิ่ง

ตัวอย่างอีเมลฟิชชิ่งที่ส่งมาจาก บริการไปรษณีย์การขอ "เปิดใช้งานบัญชีอีกครั้ง"

ฟิชชิ่ง (ฟิชชิ่งภาษาอังกฤษ จากการตกปลา - การตกปลา การตกปลา) เป็นการฉ้อโกงทางอินเทอร์เน็ตประเภทหนึ่ง โดยมีจุดประสงค์เพื่อเข้าถึงข้อมูลที่เป็นความลับของผู้ใช้ - การเข้าสู่ระบบและรหัสผ่าน นี่อาจเป็นโครงการวิศวกรรมสังคมที่ได้รับความนิยมมากที่สุดในปัจจุบัน ไม่มีการรั่วไหลของข้อมูลส่วนบุคคลที่สำคัญเพียงครั้งเดียวเกิดขึ้นโดยไม่มีคลื่นอีเมลฟิชชิ่งตามมา วัตถุประสงค์ของฟิชชิ่งคือ ใบเสร็จรับเงินที่ผิดกฎหมายข้อมูลที่เป็นความลับ ตัวอย่างที่โดดเด่นที่สุดของการโจมตีแบบฟิชชิ่งคือข้อความที่ส่งถึงเหยื่อผ่านทาง อีเมลและปลอมแปลงเป็นจดหมายอย่างเป็นทางการ - จากธนาคารหรือระบบการชำระเงิน - ต้องมีการตรวจสอบข้อมูลบางอย่างหรือการดำเนินการบางอย่าง อาจมีสาเหตุหลายประการ นี่อาจเป็นการสูญหายของข้อมูล ระบบล้มเหลว ฯลฯ อีเมลเหล่านี้มักจะมีลิงก์ไปยังหน้าเว็บปลอมที่มีลักษณะเหมือนกับหน้าเว็บอย่างเป็นทางการทุกประการ และมีแบบฟอร์มที่กำหนดให้คุณต้องป้อนข้อมูลที่ละเอียดอ่อน

หนึ่งในที่สุด ตัวอย่างที่มีชื่อเสียงอีเมลฟิชชิ่งทั่วโลกสามารถย้อนกลับไปถึงกลโกงในปี 2546 ซึ่งผู้ใช้ eBay หลายพันรายได้รับอีเมลที่อ้างว่าบัญชีของตนถูกล็อค และจำเป็นต้องอัปเดตข้อมูลบัตรเครดิตเพื่อปลดล็อค อีเมลทั้งหมดนี้มีลิงก์ที่นำไปสู่หน้าเว็บปลอมที่ดูเหมือนหน้าเว็บอย่างเป็นทางการทุกประการ ตามที่ผู้เชี่ยวชาญระบุว่า ความสูญเสียจากการหลอกลวงนี้มีมูลค่าหลายแสนดอลลาร์

วิธีรับรู้การโจมตีแบบฟิชชิ่ง

แผนการฉ้อโกงใหม่ ๆ ปรากฏขึ้นเกือบทุกวัน คนส่วนใหญ่สามารถเรียนรู้ที่จะจดจำข้อความหลอกลวงได้ด้วยตนเองโดยทำความคุ้นเคยกับคุณลักษณะเฉพาะบางประการ ข้อความฟิชชิ่งส่วนใหญ่มักประกอบด้วย:

• ข้อมูลที่ก่อให้เกิดความกังวลหรือภัยคุกคาม เช่น การปิดบัญชีธนาคารของผู้ใช้
• สัญญาว่าจะรับรางวัลเงินสดก้อนโตด้วย ด้วยความพยายามเพียงเล็กน้อยหรือไม่มีพวกเขาเลย
• คำร้องขอบริจาคโดยสมัครใจในนามขององค์กรการกุศล
• ข้อผิดพลาดทางไวยากรณ์ เครื่องหมายวรรคตอน และการสะกดคำ

แผนการฟิชชิ่งยอดนิยม

การหลอกลวงแบบฟิชชิ่งที่ได้รับความนิยมมากที่สุดมีคำอธิบายอยู่ด้านล่างนี้

การฉ้อโกงโดยใช้แบรนด์ของบริษัทที่มีชื่อเสียง

การหลอกลวงแบบฟิชชิ่งเหล่านี้ใช้อีเมลปลอมหรือเว็บไซต์ที่มีชื่อของบริษัทขนาดใหญ่หรือมีชื่อเสียง ข้อความอาจรวมถึงการแสดงความยินดีกับการชนะการแข่งขันที่จัดขึ้นโดยบริษัท หรือเกี่ยวกับความจำเป็นเร่งด่วนในการเปลี่ยนข้อมูลรับรองหรือรหัสผ่านของคุณ คล้ายกัน แผนการฉ้อโกงในนามของการบริการ การสนับสนุนด้านเทคนิคสามารถทำได้ทางโทรศัพท์

ลอตเตอรี่ที่ฉ้อโกง

ผู้ใช้อาจได้รับข้อความระบุว่าเขาถูกลอตเตอรี่ที่จัดขึ้นโดยบางคน บริษัทที่มีชื่อเสียง- เมื่อดูเผินๆ ข้อความเหล่านี้อาจปรากฏราวกับว่าถูกส่งในนามของพนักงานอาวุโสขององค์กร

โปรแกรมป้องกันไวรัสและความปลอดภัยปลอม

IVR หรือฟิชชิ่งทางโทรศัพท์

หลักการทำงานของระบบ IVR

Qui เกี่ยวกับ quo

Quid pro quo (จากภาษาลาติน Quid pro quo - "this for this") เป็นตัวย่อที่ใช้กันทั่วไปใน ภาษาอังกฤษในความหมายของ "บริการเพื่อการบริการ" ประเภทนี้การโจมตีเกี่ยวข้องกับผู้โจมตีที่โทรหาบริษัทผ่านทาง โทรศัพท์องค์กร- ในกรณีส่วนใหญ่ ผู้โจมตีจะปลอมตัวเป็นพนักงานสนับสนุนด้านเทคนิคเพื่อสอบถามว่ามีปัญหาทางเทคนิคหรือไม่ อยู่ในกระบวนการ "แก้" ปัญหาทางเทคนิคนักต้มตุ๋นจะ "บังคับ" เป้าหมายให้ป้อนคำสั่งที่อนุญาตให้แฮ็กเกอร์เรียกใช้หรือติดตั้งซอฟต์แวร์ที่เป็นอันตรายบนเครื่องของผู้ใช้

ม้าโทรจัน

บางครั้งการใช้โทรจันเป็นเพียงส่วนหนึ่งของการวางแผนการโจมตีแบบหลายขั้นตอนเท่านั้น คอมพิวเตอร์บางเครื่องเครือข่ายหรือทรัพยากร

ประเภทของโทรจัน

โทรจันส่วนใหญ่มักได้รับการพัฒนาเพื่อจุดประสงค์ที่เป็นอันตราย มีการจำแนกประเภทโดยแบ่งออกเป็นหมวดหมู่ตามวิธีที่โทรจันแทรกซึมเข้าไปในระบบและก่อให้เกิดอันตรายต่อระบบ มี 5 ประเภทหลัก:

• การเข้าถึงระยะไกล
• การทำลายข้อมูล
• ตัวโหลด
• เซิร์ฟเวอร์
• โปรแกรมปิดการใช้งานความปลอดภัย

เป้าหมาย

วัตถุประสงค์ของโปรแกรมโทรจันคือ:

• การอัพโหลดและดาวน์โหลดไฟล์
• คัดลอกลิงค์ปลอมที่นำไปสู่เว็บไซต์ปลอม ห้องสนทนา หรือเว็บไซต์ลงทะเบียนอื่น ๆ
• รบกวนการทำงานของผู้ใช้
• การขโมยข้อมูลที่มีค่าหรือความลับ รวมถึงข้อมูลการตรวจสอบเพื่อเข้าถึงทรัพยากรโดยไม่ได้รับอนุญาต การได้รับรายละเอียดบัญชีธนาคารที่อาจนำไปใช้เพื่อวัตถุประสงค์ทางอาญา
• การกระจายมัลแวร์อื่นๆ เช่น ไวรัส
• การทำลายข้อมูล (การลบหรือการเขียนทับข้อมูลในดิสก์ ความเสียหายของไฟล์ที่มองเห็นได้ยาก) และอุปกรณ์ การปิดใช้งานหรือความล้มเหลวในการให้บริการระบบคอมพิวเตอร์ เครือข่าย
• รวบรวมที่อยู่อีเมลและใช้เพื่อส่งสแปม
• การสอดแนมผู้ใช้และสื่อสารข้อมูลอย่างลับๆ ไปยังบุคคลที่สาม เช่น พฤติกรรมการท่องเว็บ
• การบันทึกการกดแป้นพิมพ์เพื่อขโมยข้อมูล เช่น รหัสผ่านและหมายเลขบัตรเครดิต
• การปิดใช้งานหรือรบกวนการทำงานของโปรแกรมป้องกันไวรัสและไฟร์วอลล์

ปลอม

โปรแกรมโทรจันจำนวนมากอยู่ในคอมพิวเตอร์ของผู้ใช้โดยที่ผู้ใช้ไม่รู้ บางครั้งโทรจันจะถูกลงทะเบียนใน Registry ซึ่งนำไปสู่พวกเขา เริ่มต้นอัตโนมัติเมื่อระบบปฏิบัติการเริ่มทำงาน โทรจันสามารถใช้ร่วมกับไฟล์ที่ถูกต้องได้ เมื่อผู้ใช้เปิดไฟล์ดังกล่าวหรือเปิดแอปพลิเคชัน โทรจันก็จะถูกเปิดใช้งานพร้อมกับไฟล์นั้น

โทรจันทำงานอย่างไร

โทรจันมักจะประกอบด้วยสองส่วน: ไคลเอนต์และเซิร์ฟเวอร์ เซิร์ฟเวอร์ทำงานบนเครื่องของเหยื่อและตรวจสอบการเชื่อมต่อจากไคลเอนต์ ขณะที่เซิร์ฟเวอร์กำลังทำงาน จะตรวจสอบพอร์ตหรือหลายพอร์ตสำหรับการเชื่อมต่อจากไคลเอนต์ เพื่อให้ผู้โจมตีสามารถเชื่อมต่อกับเซิร์ฟเวอร์ได้ ผู้โจมตีจะต้องทราบที่อยู่ IP ของเครื่องที่ผู้โจมตีใช้งานอยู่ โทรจันบางตัวส่งที่อยู่ IP ของเครื่องของเหยื่อไปยังฝ่ายโจมตีผ่านทางอีเมลหรือวิธีการอื่น ทันทีที่มีการเชื่อมต่อกับเซิร์ฟเวอร์ ลูกค้าสามารถส่งคำสั่งไปยังเซิร์ฟเวอร์ได้ ซึ่งเซิร์ฟเวอร์จะดำเนินการ ในปัจจุบัน ด้วยเทคโนโลยี NAT ทำให้ไม่สามารถเข้าถึงคอมพิวเตอร์ส่วนใหญ่ผ่านที่อยู่ IP ภายนอกได้ นั่นคือสาเหตุที่โทรจันจำนวนมากในปัจจุบันเชื่อมต่อกับคอมพิวเตอร์ของผู้โจมตี ซึ่งมีหน้าที่รับการเชื่อมต่อ แทนที่จะเป็นผู้โจมตีที่พยายามเชื่อมต่อกับเหยื่อ โทรจันสมัยใหม่จำนวนมากสามารถหลีกเลี่ยงไฟร์วอลล์บนคอมพิวเตอร์ของผู้ใช้ได้อย่างง่ายดาย

การรวบรวมข้อมูลจากโอเพ่นซอร์ส

การใช้เทคนิควิศวกรรมสังคมไม่เพียงแต่ต้องมีความรู้ด้านจิตวิทยาเท่านั้น แต่ยังต้องมีความสามารถในการรวบรวมข้อมูลที่จำเป็นเกี่ยวกับบุคคลด้วย วิธีใหม่ในการรับข้อมูลดังกล่าวคือการรวบรวมข้อมูลจากโอเพ่นซอร์สซึ่งส่วนใหญ่มาจากโซเชียลเน็ตเวิร์ก ตัวอย่างเช่น เว็บไซต์เช่น livejournal, Odnoklassniki, Vkontakte มีข้อมูลจำนวนมากที่ผู้คนไม่ได้พยายามซ่อน ตามกฎแล้ว ผู้ใช้ไม่ใส่ใจกับปัญหาด้านความปลอดภัยมากพอ โดยทิ้งข้อมูลไว้เป็นสาธารณสมบัติที่ผู้โจมตีสามารถใช้ได้

ตัวอย่างที่เป็นตัวอย่างคือเรื่องราวของการลักพาตัวลูกชายของ Evgeniy Kaspersky ในระหว่างการสอบสวน พบว่าคนร้ายทราบตารางงานประจำวันและเส้นทางของวัยรุ่นรายนี้จากโพสต์ของเขาบนหน้าโซเชียลเน็ตเวิร์ก

แม้จะจำกัดการเข้าถึงข้อมูลบนหน้าโซเชียลเน็ตเวิร์กของเขา ผู้ใช้ก็ไม่สามารถมั่นใจได้ว่าข้อมูลนั้นจะไม่มีวันตกไปอยู่ในมือของผู้ฉ้อโกง ตัวอย่างเช่น นักวิจัยชาวบราซิลเมื่อวันที่ ความปลอดภัยของคอมพิวเตอร์แสดงให้เห็นว่าเป็นไปได้ที่จะเป็นเพื่อนกับผู้ใช้ Facebook คนใดก็ได้ภายใน 24 ชั่วโมงโดยใช้วิธีการทางวิศวกรรมสังคม ในระหว่างการทดลอง นักวิจัย Nelson Novaes Neto เลือก "เหยื่อ" และสร้างขึ้นมา บัญชีปลอมบุคคลจากสภาพแวดล้อมของเธอ - เจ้านายของเธอ Neto ส่งคำขอเป็นเพื่อนถึงเพื่อนของเพื่อนของเจ้านายของเหยื่อก่อน จากนั้นจึงส่งคำขอเป็นเพื่อนโดยตรงไปยังเพื่อนของเขา หลังจากผ่านไป 7.5 ชั่วโมง ผู้วิจัยได้ “เหยื่อ” เพิ่มเป็นเพื่อน ดังนั้นผู้วิจัยจึงสามารถเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้ซึ่งเขาแบ่งปันกับเพื่อนของเขาเท่านั้น

แอปเปิ้ลถนน

วิธีการโจมตีนี้เป็นการดัดแปลงมาจากม้าโทรจันและประกอบด้วยการใช้สื่อทางกายภาพ ผู้โจมตีจะฝัง "ผู้ติดเชื้อ" หรือแฟลช ไว้ในสถานที่ที่ตรวจพบพาหะได้ง่าย (ห้องน้ำ ลิฟต์ ลานจอดรถ) สื่อถูกปลอมแปลงเพื่อให้ดูเป็นทางการ และมีลายเซ็นที่ออกแบบมาเพื่อกระตุ้นความอยากรู้อยากเห็น ตัวอย่างเช่น นักต้มตุ๋นสามารถเขียนจดหมายพร้อมโลโก้บริษัทและลิงก์ไปยังเว็บไซต์อย่างเป็นทางการของบริษัท โดยระบุว่า “เงินเดือนผู้บริหาร” สามารถวางแผ่นดิสก์ไว้บนพื้นลิฟต์หรือในล็อบบี้ได้ พนักงานอาจหยิบดิสก์ขึ้นมาโดยไม่รู้ตัวและใส่ลงในคอมพิวเตอร์เพื่อสนองความอยากรู้อยากเห็นของเขา

วิศวกรรมสังคมย้อนกลับ

Reverse Social Engineering เรียกว่าเมื่อเหยื่อให้ข้อมูลที่เขาต้องการแก่ผู้โจมตีเอง สิ่งนี้อาจดูไร้สาระ แต่ในความเป็นจริงแล้ว บุคคลที่มีอำนาจในด้านเทคนิคหรือสังคมมักจะได้รับ ID ผู้ใช้ รหัสผ่าน และข้อมูลสำคัญอื่นๆ ข้อมูลส่วนบุคคลเพียงเพราะไม่มีใครสงสัยในความซื่อสัตย์ของตน ตัวอย่างเช่น เจ้าหน้าที่ฝ่ายสนับสนุนจะไม่ขอ ID หรือรหัสผ่านจากผู้ใช้ พวกเขาไม่ต้องการข้อมูลนี้เพื่อแก้ไขปัญหา อย่างไรก็ตาม ผู้ใช้จำนวนมากสมัครใจให้ข้อมูลที่เป็นความลับนี้เพื่อแก้ไขปัญหาอย่างรวดเร็ว ปรากฎว่าผู้โจมตีไม่จำเป็นต้องถามเกี่ยวกับเรื่องนี้ด้วยซ้ำ

ตัวอย่างของวิศวกรรมสังคมย้อนกลับมีสถานการณ์ง่ายๆ ดังต่อไปนี้ ผู้โจมตีที่ทำงานร่วมกับเหยื่อจะเปลี่ยนชื่อไฟล์ในคอมพิวเตอร์ของเหยื่อหรือย้ายไปยังไดเร็กทอรีอื่น เมื่อเหยื่อสังเกตเห็นไฟล์หายไป ผู้โจมตีอ้างว่าเขาสามารถแก้ไขปัญหาทุกอย่างได้ หากต้องการทำงานให้เสร็จเร็วขึ้นหรือหลีกเลี่ยงการลงโทษสำหรับการสูญเสียข้อมูล ผู้เสียหายจึงยอมรับข้อเสนอนี้ ผู้โจมตีอ้างว่าปัญหาสามารถแก้ไขได้โดยการเข้าสู่ระบบด้วยข้อมูลประจำตัวของเหยื่อเท่านั้น ตอนนี้เหยื่อขอให้ผู้โจมตีเข้าสู่ระบบด้วยชื่อของเธอเพื่อพยายามกู้คืนไฟล์ ผู้โจมตียอมรับและกู้คืนไฟล์อย่างไม่เต็มใจ และขโมย ID และรหัสผ่านของเหยื่อในระหว่างกระบวนการ เมื่อทำการโจมตีได้สำเร็จ เขาก็ปรับปรุงชื่อเสียงของเขาให้ดียิ่งขึ้น และค่อนข้างเป็นไปได้ที่หลังจากเพื่อนร่วมงานคนอื่น ๆ จะหันไปขอความช่วยเหลือจากเขา วิธีการนี้ไม่รบกวนขั้นตอนปกติในการให้บริการสนับสนุน และทำให้การจับกุมผู้โจมตียุ่งยากขึ้น

วิศวกรสังคมชื่อดัง

เควิน มิทนิค

เควิน มิทนิค. แฮกเกอร์และที่ปรึกษาด้านความปลอดภัยที่มีชื่อเสียงระดับโลก

หนึ่งในวิศวกรสังคมที่มีชื่อเสียงที่สุดในประวัติศาสตร์คือ Kevin Mitnick ในฐานะแฮ็กเกอร์คอมพิวเตอร์และที่ปรึกษาด้านความปลอดภัยที่มีชื่อเสียงระดับโลก Mitnick ยังเป็นผู้เขียนหนังสือเกี่ยวกับความปลอดภัยของคอมพิวเตอร์หลายเล่ม โดยเน้นไปที่วิศวกรรมสังคมและวิธีการมีอิทธิพลทางจิตวิทยาต่อผู้คน ในปี 2545 หนังสือ "ศิลปะแห่งการหลอกลวง" ได้รับการตีพิมพ์ภายใต้การประพันธ์ของเขาโดยเล่าถึง เรื่องจริงการประยุกต์ใช้วิศวกรรมสังคม Kevin Mitnick แย้งว่าการได้รับรหัสผ่านโดยการหลอกลวงนั้นง่ายกว่าการพยายามแฮ็กระบบรักษาความปลอดภัยมาก

พี่น้องบาดีร์

แม้ว่าพี่น้อง Mundir, Mushid และ Shadi Badir จะตาบอดตั้งแต่แรกเกิด แต่พวกเขาก็สามารถดำเนินแผนการฉ้อโกงขนาดใหญ่หลายครั้งในอิสราเอลในช่วงทศวรรษ 1990 โดยใช้วิศวกรรมสังคมและการปลอมแปลงเสียง ในการสัมภาษณ์ทางทีวี พวกเขากล่าวว่า "จากนี้โดยสิ้นเชิง" การโจมตีเครือข่ายเฉพาะผู้ที่ไม่ใช้โทรศัพท์ ไฟฟ้า และแล็ปท็อปเท่านั้นที่ได้รับการประกัน” สองพี่น้องเคยติดคุกมาแล้วเพราะสามารถได้ยินและถอดรหัสสัญญาณรบกวนที่เป็นความลับของผู้ให้บริการโทรศัพท์ได้ พวกเขาโทรไปต่างประเทศเป็นเวลานานโดยเสียค่าใช้จ่ายเป็นของคนอื่น โดยตั้งโปรแกรมคอมพิวเตอร์ของผู้ให้บริการโทรศัพท์มือถือใหม่ด้วยเสียงสัญญาณรบกวน

เทวทูต

ปกนิตยสารแพรค

มีชื่อเสียง แฮกเกอร์คอมพิวเตอร์และที่ปรึกษาด้านความปลอดภัยในนิตยสารออนไลน์ภาษาอังกฤษชื่อดัง "นิตยสาร Phrack" อัครเทวดาได้สาธิตความสามารถของเทคนิควิศวกรรมสังคมโดยการรับรหัสผ่านจากจำนวนมาก ระบบต่างๆหลอกลวงเหยื่อหลายร้อยคน

อื่น

วิศวกรสังคมที่ไม่ค่อยมีคนรู้จัก ได้แก่ Frank Abagnale, David Bannon, Peter Foster และ Stephen Jay Russell

วิธีป้องกันจากวิศวกรรมสังคม

ในการโจมตี ผู้โจมตีที่ใช้เทคนิควิศวกรรมสังคมมักจะใช้ประโยชน์จากความใจง่าย ความเกียจคร้าน ความสุภาพ และแม้แต่ความกระตือรือร้นของผู้ใช้และพนักงานขององค์กร การป้องกันการโจมตีดังกล่าวไม่ใช่เรื่องง่าย เนื่องจากเหยื่ออาจไม่รู้ว่าตนถูกหลอก โดยทั่วไปแล้วผู้โจมตีด้านวิศวกรรมสังคมมีเป้าหมายเดียวกันกับผู้โจมตีรายอื่น: พวกเขาต้องการเงิน ข้อมูล หรือทรัพยากรด้านไอทีของบริษัทเหยื่อ เพื่อป้องกันการโจมตีดังกล่าว คุณต้องศึกษาประเภทของการโจมตี ทำความเข้าใจว่าผู้โจมตีต้องการอะไร และประเมินความเสียหายที่อาจเกิดกับองค์กร ด้วยข้อมูลทั้งหมดนี้ คุณสามารถรวมมาตรการป้องกันที่จำเป็นเข้ากับนโยบายความปลอดภัยของคุณได้

การจำแนกประเภทภัยคุกคาม

ภัยคุกคามทางอีเมล

พนักงานจำนวนมากได้รับรายวันผ่านองค์กรและเอกชน ระบบไปรษณีย์นับสิบหรือหลายร้อย อีเมล- แน่นอนว่าด้วยกระแสการติดต่อดังกล่าวจึงเป็นไปไม่ได้ที่จะให้ความสนใจกับจดหมายแต่ละฉบับ ทำให้การโจมตีง่ายขึ้นมาก ผู้ใช้ระบบอีเมลส่วนใหญ่รู้สึกผ่อนคลายกับการประมวลผลข้อความดังกล่าว โดยมองว่างานนี้เป็นอะนาล็อกอิเล็กทรอนิกส์ในการเคลื่อนย้ายเอกสารจากโฟลเดอร์หนึ่งไปยังอีกโฟลเดอร์หนึ่ง เมื่อผู้โจมตีส่งคำของ่ายๆ ทางไปรษณีย์ เหยื่อของเขามักจะทำในสิ่งที่ถูกขอให้ทำโดยไม่ต้องคำนึงถึงการกระทำของเขา อีเมลอาจมีไฮเปอร์ลิงก์ที่ล่อลวงพนักงานให้ละเมิดความปลอดภัยขององค์กร ลิงก์ดังกล่าวไม่ได้นำไปสู่หน้าที่ระบุเสมอไป

มาตรการรักษาความปลอดภัยส่วนใหญ่มีวัตถุประสงค์เพื่อป้องกันไม่ให้ผู้ใช้ที่ไม่ได้รับอนุญาตเข้าถึงทรัพยากรขององค์กร หากผู้ใช้ทำการดาวน์โหลดโดยการคลิกที่ไฮเปอร์ลิงก์ที่ส่งมาจากผู้โจมตี เครือข่ายองค์กรโปรแกรมโทรจันหรือไวรัสนี้จะช่วยให้คุณสามารถเลี่ยงการป้องกันหลายประเภทได้อย่างง่ายดาย ไฮเปอร์ลิงก์อาจชี้ไปยังไซต์ที่มีแอปพลิเคชันป๊อปอัปขอข้อมูลหรือเสนอความช่วยเหลือ เช่นเดียวกับการหลอกลวงประเภทอื่นๆ อย่างมีประสิทธิภาพการป้องกันจากการโจมตีที่เป็นอันตรายคือการไม่สงสัยเกี่ยวกับจดหมายขาเข้าที่ไม่คาดคิด เพื่อส่งเสริมแนวทางนี้ทั่วทั้งองค์กรของคุณ นโยบายความปลอดภัยของคุณควรรวมแนวทางเฉพาะสำหรับการใช้อีเมลที่ครอบคลุมองค์ประกอบต่อไปนี้:

• สิ่งที่แนบมากับเอกสาร
• ไฮเปอร์ลิงก์ในเอกสาร
• คำขอส่วนบุคคลหรือ ข้อมูลองค์กรมาจากภายในบริษัท
• การขอข้อมูลส่วนบุคคลหรือข้อมูลองค์กรที่มาจากภายนอกบริษัท

ภัยคุกคามที่เกี่ยวข้องกับการใช้บริการส่งข้อความโต้ตอบแบบทันที

การส่งข้อความโต้ตอบแบบทันทีเป็นวิธีการถ่ายโอนข้อมูลที่ค่อนข้างใหม่ แต่ได้รับความนิยมอย่างกว้างขวางในหมู่ผู้ใช้ระดับองค์กร เนื่องจากความเร็วและความสะดวกในการใช้งาน วิธีการสื่อสารนี้จึงเปิดกว้างขึ้น โอกาสที่เพียงพอสำหรับการโจมตีต่างๆ: ผู้ใช้ปฏิบัติเหมือนเป็นการเชื่อมต่อโทรศัพท์และไม่เชื่อมโยงกับภัยคุกคามซอฟต์แวร์ที่อาจเกิดขึ้น การโจมตีหลักสองประเภทตามการใช้บริการส่งข้อความโต้ตอบแบบทันทีคือการรวมลิงก์ไปยังโปรแกรมที่เป็นอันตรายไว้ในเนื้อความของข้อความและการส่งมอบตัวโปรแกรมเอง แน่นอนว่าการส่งข้อความโต้ตอบแบบทันทีก็เป็นวิธีหนึ่งในการขอข้อมูลเช่นกัน คุณลักษณะอย่างหนึ่งของบริการส่งข้อความโต้ตอบแบบทันทีคือลักษณะการสื่อสารที่ไม่เป็นทางการ เมื่อรวมกับความสามารถในการกำหนดชื่อให้กับตนเอง ปัจจัยนี้ทำให้ผู้โจมตีสามารถปลอมตัวเป็นบุคคลอื่นได้ง่ายขึ้น และเพิ่มโอกาสในการโจมตีได้สำเร็จอย่างมาก หากบริษัทตั้งใจที่จะใช้ประโยชน์จากโอกาสในการลดต้นทุนและ ประโยชน์อื่นๆ ที่ได้จากการส่งข้อความโต้ตอบแบบทันที จำเป็นต้องรวมไว้ในนโยบายความปลอดภัยขององค์กรที่ให้กลไกการป้องกันจากภัยคุกคามที่เกี่ยวข้อง เพื่อให้สามารถควบคุมการส่งข้อความโต้ตอบแบบทันทีในสภาพแวดล้อมขององค์กรได้อย่างน่าเชื่อถือ มีข้อกำหนดหลายประการที่ต้องปฏิบัติตาม

• เลือกหนึ่งแพลตฟอร์มการส่งข้อความโต้ตอบแบบทันที
• กำหนดการตั้งค่าความปลอดภัยที่ระบุไว้เมื่อปรับใช้บริการส่งข้อความโต้ตอบแบบทันที
• กำหนดหลักการในการสร้างผู้ติดต่อใหม่
• กำหนดมาตรฐานรหัสผ่าน
• ให้คำแนะนำในการใช้บริการส่งข้อความโต้ตอบแบบทันที

รูปแบบการรักษาความปลอดภัยหลายระดับ

สำหรับการป้องกัน บริษัทขนาดใหญ่และพนักงานของพวกเขาจากผู้ฉ้อโกงโดยใช้เทคนิควิศวกรรมสังคมที่ซับซ้อน ระบบหลายระดับความปลอดภัย. คุณสมบัติและความรับผิดชอบบางประการของระบบดังกล่าวมีดังต่อไปนี้

• ความปลอดภัยทางกายภาพ อุปสรรคที่จำกัดการเข้าถึงอาคารของบริษัทและทรัพยากรของบริษัท อย่าลืมว่าทรัพยากรของบริษัท เช่น ถังขยะที่อยู่นอกอาณาเขตของบริษัท จะไม่ได้รับการปกป้องทางกายภาพ
• ข้อมูล. ข้อมูลทางธุรกิจ: บัญชี, จดหมายทางไปรษณีย์เป็นต้น เมื่อวิเคราะห์ภัยคุกคามและวางแผนมาตรการปกป้องข้อมูลจำเป็นต้องกำหนดหลักการจัดการกระดาษและสื่อข้อมูลอิเล็กทรอนิกส์
• การใช้งาน โปรแกรมที่ผู้ใช้รัน เพื่อปกป้องสภาพแวดล้อมของคุณ คุณต้องพิจารณาว่าผู้โจมตีสามารถหาประโยชน์ได้อย่างไร จดหมาย, บริการส่งข้อความโต้ตอบแบบทันที และแอพพลิเคชั่นอื่นๆ
• คอมพิวเตอร์. เซิร์ฟเวอร์และระบบไคลเอนต์ที่ใช้ในองค์กร ปกป้องผู้ใช้จากการโจมตีคอมพิวเตอร์โดยตรงโดยกำหนดแนวทางที่เข้มงวดในการควบคุมโปรแกรมที่สามารถใช้กับคอมพิวเตอร์ขององค์กรได้
• เครือข่ายภายใน. เครือข่ายที่พวกเขาโต้ตอบกัน ระบบองค์กร- อาจเป็นแบบท้องถิ่น ทั่วโลก หรือไร้สาย ในช่วงไม่กี่ปีที่ผ่านมา เนื่องจากวิธีการทำงานจากระยะไกลได้รับความนิยมเพิ่มขึ้น ขอบเขตของเครือข่ายภายในจึงกลายเป็นเรื่องไร้เหตุผลอย่างมาก พนักงานบริษัทจำเป็นต้องได้รับแจ้งว่าพวกเขาควรทำอะไรเพื่อองค์กร การทำงานที่ปลอดภัยในสภาพแวดล้อมเครือข่ายใดๆ
• ขอบเขตเครือข่าย พรมแดนระหว่าง เครือข่ายภายในบริษัทและภายนอก เช่น อินเทอร์เน็ต หรือเครือข่ายขององค์กรพันธมิตร

ความรับผิดชอบ

การอ้างและบันทึกการสนทนาทางโทรศัพท์

ฮิวเลตต์-แพ็กการ์ด

แพทริเซีย ดันน์ ประธานบริษัท ฮิวเลตต์ แพ็กการ์ดโดยรายงานว่าเธอได้รับการว่าจ้าง บริษัทเอกชนเพื่อระบุตัวพนักงานบริษัทที่รับผิดชอบต่อการรั่วไหล ข้อมูลที่เป็นความลับ- ต่อมาหัวหน้า บริษัท ยอมรับว่ามีการใช้ข้ออ้างและเทคนิควิศวกรรมสังคมอื่น ๆ ในระหว่างกระบวนการวิจัย

หมายเหตุ

ดูเพิ่มเติม

ลิงค์

• SocialWare.ru – โครงการวิศวกรรมสังคมเอกชน
• - วิศวกรรมสังคม: พื้นฐาน ส่วนที่ 1: กลยุทธ์ของแฮ็กเกอร์

วิธีการวิศวกรรมสังคม - นี่คือสิ่งที่จะกล่าวถึงในบทความนี้ตลอดจนทุกสิ่งที่เกี่ยวข้องกับการยักย้ายผู้คน ฟิชชิ่งและการขโมยฐานข้อมูลลูกค้า และอื่นๆ Andrey Serikov กรุณาให้ข้อมูลแก่เราซึ่งเป็นผู้เขียนซึ่งเราขอขอบคุณเขามาก

อ. เซริคอฟ

เอ.บี.โบรอฟสกี้

เทคโนโลยีสารสนเทศของการแฮ็กทางสังคม

การแนะนำ

ความปรารถนาของมนุษยชาติที่จะบรรลุผลสำเร็จตามภารกิจที่ได้รับมอบหมายอย่างสมบูรณ์แบบนั้นได้ทำหน้าที่ในการพัฒนาเทคโนโลยีคอมพิวเตอร์สมัยใหม่ และความพยายามในการตอบสนองความต้องการที่ขัดแย้งกันของผู้คนได้นำไปสู่การพัฒนาผลิตภัณฑ์ซอฟต์แวร์ ข้อมูล ผลิตภัณฑ์ซอฟต์แวร์ไม่เพียงแต่รองรับประสิทธิภาพเท่านั้น ฮาร์ดแวร์แต่ยังจัดการได้

การพัฒนาความรู้เกี่ยวกับมนุษย์และคอมพิวเตอร์ได้นำไปสู่การเกิดขึ้นของระบบรูปแบบใหม่โดยพื้นฐาน - "เครื่องจักรมนุษย์" ซึ่งบุคคลสามารถวางตำแหน่งเป็นฮาร์ดแวร์ที่ทำงานภายใต้การควบคุมของระบบปฏิบัติการที่เสถียร ใช้งานได้ และทำงานหลายอย่างพร้อมกันได้ ระบบที่เรียกว่า "จิต"

หัวข้อของงานนี้คือการพิจารณาว่าการแฮ็กทางสังคมเป็นสาขาหนึ่งของการเขียนโปรแกรมทางสังคม โดยที่บุคคลถูกจัดการด้วยความช่วยเหลือจากจุดอ่อนของมนุษย์ อคติ และทัศนคติแบบเหมารวมในวิศวกรรมสังคม

วิศวกรรมสังคมและวิธีการของมัน

วิธีการจัดการกับมนุษย์เป็นที่รู้จักกันมานานแล้ว โดยส่วนใหญ่มาจากคลังแสงของหน่วยข่าวกรองต่างๆ ในด้านวิศวกรรมสังคม

กรณีแรกที่ทราบ สติปัญญาในการแข่งขันย้อนกลับไปในศตวรรษที่ 6 ก่อนคริสต์ศักราช และเกิดขึ้นในประเทศจีน เมื่อชาวจีนสูญเสียความลับในการทำผ้าไหม ซึ่งถูกสายลับโรมันขโมยไปอย่างฉ้อฉล

วิศวกรรมสังคมเป็นวิทยาศาสตร์ที่ถูกกำหนดให้เป็นชุดของวิธีการจัดการกับพฤติกรรมของมนุษย์ โดยอาศัยการใช้จุดอ่อนของปัจจัยมนุษย์ โดยไม่ต้องใช้วิธีทางเทคนิค

ตามที่ผู้เชี่ยวชาญหลายคนระบุว่า ภัยคุกคามที่ยิ่งใหญ่ที่สุดต่อความปลอดภัยของข้อมูลนั้นเกิดจากวิธีการทางวิศวกรรมสังคม หากเพียงเพราะการใช้การแฮ็กทางสังคมนั้นไม่ต้องการการลงทุนทางการเงินจำนวนมากและความรู้อย่างละเอียดเกี่ยวกับเทคโนโลยีคอมพิวเตอร์ และเนื่องจากผู้คนมีความโน้มเอียงทางพฤติกรรมบางอย่างที่สามารถทำได้ ใช้สำหรับการจัดการอย่างระมัดระวัง

และไม่ว่าระบบการป้องกันทางเทคนิคจะปรับปรุงอย่างไร ผู้คนจะยังคงเป็นคนที่อ่อนแอ มีอคติ มีทัศนคติแบบเหมารวม โดยได้รับความช่วยเหลือจากฝ่ายบริหาร การตั้งค่า "โปรแกรมความปลอดภัย" ของมนุษย์เป็นงานที่ยากที่สุด และไม่รับประกันผลลัพธ์เสมอไป เนื่องจากตัวกรองนี้ต้องได้รับการปรับเปลี่ยนอย่างต่อเนื่อง คำขวัญหลักของผู้เชี่ยวชาญด้านความปลอดภัยทั้งหมดฟังดูมีความเกี่ยวข้องมากกว่าที่เคย: “ความปลอดภัยเป็นกระบวนการ ไม่ใช่ผลลัพธ์”

ขอบเขตการประยุกต์ใช้วิศวกรรมสังคม:

1. ความไม่มั่นคงโดยทั่วไปของงานขององค์กรเพื่อลดอิทธิพลและความเป็นไปได้ที่จะทำลายล้างองค์กรอย่างสมบูรณ์ในภายหลัง
2. การฉ้อโกงทางการเงินในองค์กร
3. ฟิชชิ่งและวิธีการอื่นในการขโมยรหัสผ่านเพื่อเข้าถึงข้อมูลธนาคารส่วนบุคคลของบุคคล
4. การโจรกรรมฐานข้อมูลลูกค้า
5. สติปัญญาในการแข่งขัน
6. ข้อมูลทั่วไปเกี่ยวกับองค์กร จุดแข็งและ จุดอ่อนโดยมีจุดประสงค์เพื่อทำลายองค์กรนี้ไม่ทางใดก็ทางหนึ่งในเวลาต่อมา (มักใช้สำหรับการโจมตีของผู้บุกรุก);
7. ข้อมูลเกี่ยวกับพนักงานที่มีแนวโน้มมากที่สุดโดยมีจุดประสงค์เพื่อ "ล่อลวง" พวกเขาให้เข้ามาในองค์กรของคุณเพิ่มเติม

การเขียนโปรแกรมโซเชียลและการแฮ็กโซเชียล

โปรแกรมทางสังคมสามารถเรียกได้ว่าเป็นวินัยประยุกต์ที่เกี่ยวข้องกับอิทธิพลที่กำหนดเป้าหมายต่อบุคคลหรือกลุ่มบุคคลเพื่อเปลี่ยนแปลงหรือรักษาพฤติกรรมของพวกเขาใน ในทิศทางที่ถูกต้อง- ดังนั้นโปรแกรมเมอร์โซเชียลจึงตั้งเป้าหมายให้ตัวเอง: ฝึกฝนศิลปะการจัดการผู้คน แนวคิดพื้นฐานของการเขียนโปรแกรมทางสังคมคือการกระทำของผู้คนจำนวนมากและปฏิกิริยาของพวกเขาต่ออิทธิพลภายนอกอย่างใดอย่างหนึ่งนั้นในหลายกรณีสามารถคาดเดาได้

วิธีการเขียนโปรแกรมทางสังคมมีความน่าสนใจเนื่องจากจะไม่มีใครรู้เกี่ยวกับวิธีเหล่านั้นเลย หรือแม้ว่าจะมีคนคาดเดาเกี่ยวกับบางสิ่งบางอย่างก็ตาม ก็เป็นเรื่องยากมากที่จะนำนักแสดงดังกล่าวเข้าสู่กระบวนการยุติธรรม และในบางกรณีก็เป็นไปได้ที่จะ "โปรแกรม" พฤติกรรมของผู้คน และ คนหนึ่ง และ กลุ่มใหญ่- โอกาสเหล่านี้จัดอยู่ในหมวดหมู่ของการแฮ็กโซเชียลอย่างแน่นอน เพราะในทุกโอกาส ผู้คนทำตามความประสงค์ของผู้อื่น ราวกับว่าเชื่อฟัง "โปรแกรม" ที่เขียนโดยแฮ็กเกอร์โซเชียล

การแฮ็กทางสังคมเป็นความสามารถในการแฮ็กบุคคลและตั้งโปรแกรมให้เขาดำเนินการตามที่ต้องการนั้นมาจากการเขียนโปรแกรมทางสังคม - วินัยประยุกต์ของวิศวกรรมสังคมที่ผู้เชี่ยวชาญในสาขานี้ - แฮกเกอร์ทางสังคม— ใช้อิทธิพลทางจิตวิทยาและเทคนิคการแสดงที่ยืมมาจากคลังแสงของหน่วยข่าวกรอง

การแฮ็กทางสังคมใช้ในกรณีส่วนใหญ่เมื่อต้องโจมตีบุคคลที่เป็นส่วนหนึ่งของระบบคอมพิวเตอร์ ระบบคอมพิวเตอร์ที่ถูกแฮ็กไม่มีอยู่ในตัวมันเอง มันมีองค์ประกอบที่สำคัญคือบุคคล และเพื่อรับข้อมูล แฮกเกอร์โซเชียลจำเป็นต้องแฮ็กบุคคลที่ทำงานกับคอมพิวเตอร์ ในกรณีส่วนใหญ่ การทำเช่นนี้ง่ายกว่าการเจาะเข้าไปในคอมพิวเตอร์ของเหยื่อเพื่อพยายามค้นหารหัสผ่าน

อัลกอริธึมอิทธิพลทั่วไปในการแฮ็กโซเชียล:

การโจมตีทั้งหมดโดยแฮกเกอร์โซเชียลนั้นสอดคล้องกับรูปแบบที่ค่อนข้างเรียบง่าย:

1. มีการกำหนดวัตถุประสงค์ของการมีอิทธิพลต่อวัตถุเฉพาะ
2. ข้อมูลเกี่ยวกับวัตถุถูกรวบรวมเพื่อตรวจจับเป้าหมายอิทธิพลที่สะดวกที่สุด
3. จากข้อมูลที่รวบรวมมานั้น มีการนำขั้นตอนที่นักจิตวิทยาเรียกว่าแรงดึงดูด แรงดึงดูด (จากภาษาละติน Attrahere - เพื่อดึงดูด ดึงดูด) คือการสร้างสรรค์ เงื่อนไขที่จำเป็นมีอิทธิพลต่อวัตถุ
4. บังคับให้แฮกเกอร์โซเชียลดำเนินการ

การบังคับทำได้โดยการดำเนินการในขั้นตอนก่อนหน้า เช่น หลังจากบรรลุการดึงดูดแล้ว เหยื่อเองก็จะดำเนินการที่จำเป็นสำหรับวิศวกรสังคม

จากข้อมูลที่รวบรวมมา แฮ็กเกอร์โซเชียลทำนายสภาพจิตใจและสังคมของเหยื่อได้อย่างแม่นยำ โดยระบุไม่เพียงแต่ความต้องการอาหาร เพศ ฯลฯ แต่ยังรวมถึงความต้องการความรัก ความต้องการเงิน ความต้องการความสะดวกสบาย ฯลฯ . ฯลฯ

และแน่นอน ทำไมต้องพยายามเจาะเข้าไปในบริษัทนี้หรือบริษัทนั้น แฮ็คคอมพิวเตอร์ ตู้เอทีเอ็ม จัดระเบียบชุดค่าผสมที่ซับซ้อน ในเมื่อคุณทำทุกอย่างได้ง่ายขึ้น: ทำให้คน ๆ หนึ่งตกหลุมรักคุณ ผู้ซึ่งตามเจตจำนงเสรีของเขาเอง จะโอนเงินไปที่ บัญชีที่ระบุหรือแบ่งปันข้อมูลเงินที่จำเป็นทุกครั้ง?

จากข้อเท็จจริงที่ว่าการกระทำของผู้คนสามารถคาดเดาได้และอยู่ภายใต้กฎหมายบางประการ แฮกเกอร์โซเชียลและโปรแกรมเมอร์โซเชียลใช้ทั้งเทคนิคดั้งเดิมหลายขั้นตอนและเทคนิคเชิงบวกและเชิงลบอย่างง่าย ๆ โดยอิงตามจิตวิทยาแห่งจิตสำนึกของมนุษย์ โปรแกรมพฤติกรรม การสั่นสะเทือนของอวัยวะภายใน ทำงานให้สำเร็จ การคิดเชิงตรรกะ จินตนาการ ความจำ ความสนใจ เทคนิคเหล่านี้ได้แก่:

เครื่องกำเนิดไม้ - สร้างการสั่นของความถี่เดียวกันกับความถี่ของการสั่นของอวัยวะภายในหลังจากนั้นจะสังเกตเห็นเอฟเฟกต์การสั่นพ้องซึ่งเป็นผลมาจากการที่ผู้คนเริ่มรู้สึกไม่สบายอย่างรุนแรงและตื่นตระหนก

ผลกระทบต่อภูมิศาสตร์ของฝูงชน - เพื่อการแยกตัวอย่างสันติของคนกลุ่มใหญ่ที่ก้าวร้าวและอันตรายอย่างยิ่ง

เสียงความถี่สูงและความถี่ต่ำ - เพื่อกระตุ้นให้เกิดความตื่นตระหนกและผลย้อนกลับตลอดจนกิจวัตรอื่น ๆ

โปรแกรมเลียนแบบทางสังคม - บุคคลกำหนดความถูกต้องของการกระทำโดยค้นหาว่าการกระทำใดที่คนอื่นคิดว่าถูกต้อง

โปรแกรมส่งเสียงดัง - (ตามการเลียนแบบทางสังคม) การจัดระเบียบปฏิกิริยาที่จำเป็นจากผู้ชม

การก่อตัวของคิว - (จากการเลียนแบบทางสังคม) การโฆษณาที่เรียบง่าย แต่มีประสิทธิภาพ

โปรแกรมช่วยเหลือซึ่งกันและกัน - บุคคลพยายามที่จะตอบแทนความเมตตาต่อคนเหล่านั้นที่มีความเมตตาต่อเขา ความปรารถนาที่จะบรรลุโปรแกรมนี้มักจะเกินเหตุผลทั้งหมด

การแฮ็กทางสังคมบนอินเทอร์เน็ต

ด้วยการถือกำเนิดและการพัฒนาของอินเทอร์เน็ต - สภาพแวดล้อมเสมือนจริงที่ประกอบด้วยผู้คนและการโต้ตอบของพวกเขา สภาพแวดล้อมสำหรับการจัดการบุคคลเพื่อรับข้อมูลที่จำเป็นและกระทำการ การดำเนินการที่จำเป็น- ปัจจุบัน อินเทอร์เน็ตเป็นช่องทางในการแพร่ภาพกระจายเสียงทั่วโลก เป็นสื่อกลางในการทำงานร่วมกัน การสื่อสาร และครอบคลุมทั่วทั้งโลก โลก- นี่คือสิ่งที่วิศวกรสังคมใช้เพื่อบรรลุเป้าหมาย

วิธีจัดการกับบุคคลผ่านทางอินเทอร์เน็ต:

ในโลกสมัยใหม่ เจ้าของเกือบทุกบริษัทได้ตระหนักแล้วว่าอินเทอร์เน็ตเป็นวิธีที่มีประสิทธิภาพและสะดวกในการขยายธุรกิจ และหน้าที่หลักคือการเพิ่มผลกำไรให้กับทั้งบริษัท เป็นที่ทราบกันดีว่าหากไม่มีข้อมูลที่มุ่งดึงดูดความสนใจไปยังวัตถุที่ต้องการ การสร้างหรือรักษาความสนใจในวัตถุนั้น และการส่งเสริมสิ่งนั้นในตลาด การโฆษณาก็ถูกนำมาใช้ เนื่องจากตลาดโฆษณาถูกแบ่งแยกมานานแล้ว การโฆษณาส่วนใหญ่สำหรับผู้ประกอบการส่วนใหญ่จึงสิ้นเปลืองเงิน การโฆษณาทางอินเทอร์เน็ตไม่ได้เป็นเพียงการโฆษณาประเภทหนึ่งในสื่อเท่านั้น แต่ยังเป็นอะไรที่มากกว่านั้นด้วยความช่วยเหลือจากการโฆษณาทางอินเทอร์เน็ตผู้ที่สนใจความร่วมมือมาที่เว็บไซต์ขององค์กร

การโฆษณาทางอินเทอร์เน็ตต่างจากการโฆษณาในสื่อตรงที่มีโอกาสและปัจจัยหลายประการในการจัดการบริษัทโฆษณา ตัวบ่งชี้ที่สำคัญที่สุดของการโฆษณาทางอินเทอร์เน็ตก็คือ ค่าธรรมเนียมการโฆษณาทางอินเทอร์เน็ตจะถูกหักเมื่อคุณเปลี่ยนเท่านั้นผู้ใช้ที่สนใจผ่านลิงค์โฆษณา ซึ่งแน่นอนว่าทำให้การโฆษณาบนอินเทอร์เน็ตมีประสิทธิภาพมากขึ้นและเสียค่าใช้จ่ายน้อยกว่าการโฆษณาในสื่อต่างๆ ดังนั้นเมื่อลงโฆษณาทางโทรทัศน์หรือสิ่งพิมพ์ก็จ่ายเงินเต็มจำนวนแล้วรอต่อไป ลูกค้าที่มีศักยภาพแต่ลูกค้าสามารถตอบสนองต่อการโฆษณาได้หรือไม่ - ทั้งหมดขึ้นอยู่กับคุณภาพการผลิตและการนำเสนอโฆษณาทางโทรทัศน์หรือหนังสือพิมพ์อย่างไรก็ตามใช้งบประมาณการโฆษณาไปแล้วและหากโฆษณาไม่ได้ผลก็สูญเปล่า การโฆษณาทางอินเทอร์เน็ตแตกต่างจากการโฆษณาผ่านสื่อตรงที่มีความสามารถในการติดตามการตอบสนองของผู้ชมและจัดการการโฆษณาทางอินเทอร์เน็ตก่อนที่จะใช้งบประมาณ นอกจากนี้ การโฆษณาทางอินเทอร์เน็ตสามารถถูกระงับได้เมื่อความต้องการผลิตภัณฑ์เพิ่มขึ้นและกลับมาดำเนินการต่อเมื่อความต้องการเริ่มลดลง

วิธีการมีอิทธิพลอีกวิธีหนึ่งคือสิ่งที่เรียกว่า “การฆ่าฟอรัม” โดยที่พวกเขาสร้างการต่อต้านการโฆษณาสำหรับโครงการหนึ่งๆ ด้วยความช่วยเหลือของการเขียนโปรแกรมทางสังคม ในกรณีนี้ โปรแกรมเมอร์โซเชียลด้วยความช่วยเหลือของการกระทำที่ยั่วยุอย่างเห็นได้ชัด ทำลายฟอรัมเพียงลำพังโดยใช้นามแฝงหลายตัว ( ชื่อเล่น) เพื่อสร้างกลุ่มต่อต้านผู้นำรอบตัวและดึงดูดผู้เข้าชมโครงการที่ไม่พอใจกับพฤติกรรมของฝ่ายบริหารเป็นประจำ เมื่อสิ้นสุดกิจกรรมดังกล่าว คุณจะไม่สามารถโปรโมตผลิตภัณฑ์หรือแนวคิดบนฟอรัมได้ นี่คือสิ่งที่ฟอรัมนี้พัฒนาขึ้นมาเพื่อจุดประสงค์แรกเริ่ม

วิธีการมีอิทธิพลต่อบุคคลผ่านทางอินเทอร์เน็ตเพื่อจุดประสงค์ด้านวิศวกรรมสังคม:

ฟิชชิ่งเป็นการฉ้อโกงทางอินเทอร์เน็ตประเภทหนึ่งที่มุ่งเป้าไปที่การเข้าถึงข้อมูลผู้ใช้ที่เป็นความลับ - การเข้าสู่ระบบและรหัสผ่าน การดำเนินการนี้สำเร็จได้ด้วยการดำเนินการ การส่งจดหมายจำนวนมากอีเมลในนามของ แบรนด์ยอดนิยมรวมถึงข้อความส่วนตัวภายใน บริการต่างๆ(คนเดินเตร่) ธนาคารหรือภายใน เครือข่ายสังคมออนไลน์(เฟสบุ๊ค). จดหมายมักจะมีลิงก์ไปยังเว็บไซต์ซึ่งภายนอกแยกไม่ออกจากเว็บไซต์จริง หลังจากที่ผู้ใช้เข้าสู่เพจปลอม วิศวกรสังคม เทคนิคต่างๆกระตุ้นให้ผู้ใช้ป้อนข้อมูลเข้าสู่ระบบและรหัสผ่านบนหน้าเว็บที่เขาใช้เพื่อเข้าถึงไซต์เฉพาะซึ่งทำให้เขาสามารถเข้าถึงบัญชีและบัญชีธนาคารได้

มากกว่า ดูอันตรายการหลอกลวงมากกว่าฟิชชิ่งคือสิ่งที่เรียกว่าการทำฟาร์ม

การทำฟาร์มเป็นกลไกในการเปลี่ยนเส้นทางผู้ใช้ไปยังไซต์ฟิชชิ่งอย่างซ่อนเร้น วิศวกรสังคมเผยแพร่โปรแกรมที่เป็นอันตรายพิเศษไปยังคอมพิวเตอร์ของผู้ใช้ ซึ่งเมื่อเปิดตัวบนคอมพิวเตอร์แล้ว คำขอเปลี่ยนเส้นทางจากไซต์ที่จำเป็นไปยังไซต์ปลอม สิ่งนี้ทำให้มั่นใจได้ว่าการโจมตีจะมีความลับสูงและการมีส่วนร่วมของผู้ใช้จะถูกเก็บไว้ให้น้อยที่สุด - เพียงรอจนกว่าผู้ใช้จะตัดสินใจเยี่ยมชมพื้นที่ที่สนใจ วิศวกรสังคมเว็บไซต์

บทสรุป

วิศวกรรมสังคมเป็นวิทยาศาสตร์ที่เกิดจากสังคมวิทยาและอ้างว่าเป็นองค์ความรู้ที่ชี้แนะ จัดระเบียบ และปรับกระบวนการสร้าง ปรับปรุงให้ทันสมัย ​​และทำซ้ำความเป็นจริงทางสังคมใหม่ (“ประดิษฐ์”) ในทางใดทางหนึ่ง สังคมวิทยาจะ "สมบูรณ์" และทำให้สำเร็จในขั้นตอนของการเปลี่ยนความรู้ทางวิทยาศาสตร์ให้เป็นแบบจำลอง โครงการ และการออกแบบสถาบันทางสังคม ค่านิยม บรรทัดฐาน อัลกอริธึมของกิจกรรม ความสัมพันธ์ พฤติกรรม ฯลฯ

แม้ว่าวิศวกรรมสังคมจะเป็นวิทยาศาสตร์ที่ค่อนข้างใหม่ แต่ก็สร้างความเสียหายอย่างมากต่อกระบวนการที่เกิดขึ้นในสังคม

วิธีที่ง่ายที่สุดในการป้องกันผลกระทบของวิทยาศาสตร์การทำลายล้างนี้คือ:

ดึงความสนใจของผู้คนไปยังประเด็นด้านความปลอดภัย

ผู้ใช้เข้าใจความร้ายแรงของปัญหาและยอมรับนโยบายความปลอดภัยของระบบ

วรรณกรรม

1. อาร์. ปีเตอร์เสน ลินุกซ์: คู่มือฉบับสมบูรณ์: ต่อ. จากภาษาอังกฤษ — ฉบับที่ 3 - K.: BHV Publishing Group, 2000. – 800 น.

2. จากอินเทอร์เน็ต Grodnev ในบ้านของคุณ - อ.: “RIPOL CLASSIC”, 2544. -480 น.

3. M. V. Kuznetsov วิศวกรรมสังคมและการแฮ็กโซเชียล เซนต์ปีเตอร์สเบิร์ก: BHV-Petersburg, 2550 - 368 หน้า: ป่วย