Avertismentul vine de la Directoratul Național de Securitate Cibernetică (DNSC), care a realizat un nou ghid privind ingineria socială și diversele moduri prin care aceasta poate fi folosită în cadrul atacurilor online.

Acest ghid oferă informații cruciale despre cum să recunoaștem și să ne protejăm de amenințările cibernetice care vizează informațiile noastre personale.

Ce este ingineria socială

Ingineria socială reprezintă o tactică folosită de indivizi sau grupuri, care folosesc manipularea și înșelarea oamenilor pentru a obține informații sensibile sau pentru a-i determina să întreprindă acțiuni care le compromit securitatea. Aceasta se bazează mai degrabă pe psihologie și pe comportamentul uman decât pe abilitățile tehnice. În atacurile de inginerie socială, infractorul pretinde adesea că este o persoană de încredere sau un reprezentant legitim al unei instituții cunoscute pentru a câștiga încrederea victimei. Utilizând tactici precum furtul identității, aplicarea de mijloace de convingere sau diverse șiretlicuri, atacatorul poate obține informații sensibile: parole, detalii financiare, acces la sisteme și rețele informatice.

Cum funcționează

Metodele de inginerie socială sunt printre cele mai întâlnite tactici de atac cibernetic deoarece, se consideră că omul reprezintă veriga cea mai slabă din lanțul de securitate al unei companii sau instituții. Un astfel de atac poate fi inițiat într-un timp foarte scurt, printr-un singur email, sau poate dura mai multe luni, implicând conversații pe platforme de socializare sau chiar în persoană. Obținerea accesului la conturile personale poate fi surprinzător de simplă pentru un atacator care deține informații minime, precum numele complet, data nașterii sau adresa. De ce? Mulți oameni utilizează date personale ca parole, oferind hackerilor o cale facilă de a le sparge conturile. În general, un atac de inginerie socială este complex, desfășurarea acestuia fiind împărțită în 7 etape:

1 Planificarea atacului. Stabilirea clară a obiectivelor de către atacator (fie că este vorba despre acces la informații confidențiale sau la anumite sisteme). Următorul pas este selectarea țintelor vulnerabile care pot facilita atingerea acestor obiective. Țintele sunt supuse unei evaluări amănunțite pentru a identifica posibile vulnerabilități, atât de natură tehnică cât și umană, precum și pentru a analiza infrastructura IT și procedurile de securitate existente.

2 Culegerea de informații. Identificarea surselor de unde se pot obține date despre țintă, cum ar fi rețelele sociale sau website-urile profesionale. Informațiile colectate care includ date personale, obiceiuri online sau relații interpersonale, sunt analizate în detaliu pentru a construi un profil complet al țintei și a descoperi vulnerabilități care pot fi exploatate.

3. Pregătirea atacului. Conceperea unui plan detaliat de acțiune care include selecția tacticilor și tehnicilor specifice care vor fi utilizate. Sunt pregătite materialele necesare precum email-uri false sau conturi pe rețele sociale. Planul poate fi supus unui proces de simulare și testare pentru a identifica și corecta orice greșeli ulterioare.

4. Infiltrarea. Stabilirea unei linii de comunicare cu victima prin diverse mijloace și construirea unei relații de încredere pentru a facilita manipularea. Atacatorul își ajustează apoi tactica în funcție de reacția și personalitatea victimei, asigurându-se că mesajul său este cât mai convingător.

5. Exploatarea. După ce a stabilit o relație de încredere cu ținta, atacatorul începe să manipuleze situația pentru a obține informațiile sau accesul dorit. Contează foarte mult cât de bine a fost pregătită infiltrarea și cât de convingător este atacatorul.

6. Revizuirea informațiilor. După obținerea tuturor informațiilor necesare, atacatorul va menține contactul pentru o scurtă perioadă de timp, astfel încât victima să nu conștientizeze faptul că a fost atacată și implicit să nu contacteze autoritățile competente în domeniu. Greșelile sunt notate pentru a fi evitate în viitor, iar planul de atac este actualizat în consecință.

7. Retragerea. Eliminarea oricăror dovezi ale implicării atacatorului și închiderea tuturor căilor de comunicare cu victima. În această fază finală, poate avea loc și o monitorizare discretă a victimei pentru a se asigura că aceasta nu a detectat atacul.

Tehnici de manipulare în ingineria socială

Tehnicile de inginerie socială se bazează pe o varietate de metode de persuasiune și manipulare pentru a influența comportamentul victimelor și a le determina să dezvăluie informații sensibile sau să execute acțiuni dorite de atacator.

Simpatia. Crearea unei relații de simpatie și conectare cu victima o face mai receptivă la mesajele manipulatorului și mai predispusă să-i acorde încredere.

Reciprocitatea. Oamenii sunt mai predispuși să se conformeze solicitărilor, dacă simt că datorează ceva solicitantului.

Dovada socială. Prezentarea de dovezi false (ex: mărturii, statistici) care sugerează că o anumită acțiune este acceptată sau recomandată de o majoritate, poate influența decizia victimei.

Urgența. Crearea unui sentiment de urgență prin limitarea timpului disponibil pentru luarea unei decizii, poate determina victima să acționeze impulsiv fără a analiza critic situația.

Frica. Incitarea fricii de a suferi consecințe negative sau de a fi expusă la riscuri poate determina victima să cedeze solicitărilor manipulatorului.

Autoritatea. Afirmarea unei poziții de autoritate, fie reală, fie simulată, poate determina victima să se supună instrucțiunilor fără a le pune la îndoială.

Lipsa de disponibilitate. Sugerarea, că o anumită resursă este rară sau limitată, poate intensifica dorința victimei de a o obține făcând-o mai vulnerabilă la manipulare.

Tipuri de atacuri de inginerie socială

Phishing. Atacatorii trimit e-mailuri, mesaje sau linkuri înșelătoare din partea unor site-uri care par legitime, cu scopul de a convinge destinatarii să le acceseze și să dezvăluie informații sensibile, cum ar fi parole, datele cardului bancar sau date cu caracter personal.

Vishing. O formă de phishing care are loc prin comunicații vocale, de obicei prin apeluri telefonice. Atacatorii se prefac a fi reprezentanți ai unor companii sau instituții de încredere (bănci, operatori de telefonie, etc.) pentru a convinge victimele să le divulge informații sensibile. Cu ajutorul noilor tehnologii atacatorii pot chiar falsifica ID-ul apelantului să pară că provine de la o sursă legitimă.

Smishing. O formă de phishing care utilizează mesaje text manipulative pentru a fura informațiile personale și corporative confidențiale, similar e-mailurilor de tip phishing.

Spear-phishing. Similar cu phishingul, dar foarte bine direcționat. Pentru a părea și mai convingători, atacatorii adaptează mesajele pe baza unor informații specifice despre victimă.

Angler phishing. O tactică specifică platformelor de comunicare socială, unde atacatorii aruncă "momeli" atractive pentru a captura victime. Ei exploatează subiecte populare sau de actualitate pentru a crea mesaje convingătoare, făcându-le să pară relevante și de încredere.

Baiting. Atacatorii ademenesc victimele cu promisiuni irezistibile, cum ar fi acces gratuit la software, reduceri semnificative sau premii exclusive, menite să stârnească curiozitatea sau lăcomia. Oferta tentantă poate include linkuri sau fișiere infectate, care, odată accesate, pot infecta dispozitivul victimei cu malware sau pot duce la furtul de date sensibile.

Pretexting. Tactică de fraudă prin care atacatorii creează un pretext fals, o poveste inventată, pentru a obține informații sensibile de la victimă. Scenariul inventat implică adesea uzurparea identității unei persoane de încredere, cum ar fi un coleg sau un reprezentant al unei bănci.

Impersonation. Atacatorii pretind a fi altcineva, fie online, fie în persoană, pentru a câștiga încrederea victimelor. Scopul lor este de a manipula victimele să divulge informații confidențiale sau să le determine să realizeze anumite acțiuni dorite de atacatori.

Extortion. Atacatorii amenință victimele cu dezvăluirea de informații sensibile dacă nu primesc o răscumpărare. Ei folosesc frica și intimidarea pentru a-și constrânge victimele să le satisfacă cererile.

Tehnici de colectare a datelor

Open Source Intelligence (OSINT). Căutarea informațiilor din surse deschise este un proces de colectare, analiză și diseminare a informațiilor obținute din surse disponibile publicului.

Typosquatting. Exploatează greșelile de scriere sau asemănările dintre caractere pentru a redirecționa utilizatorii către site-uri web frauduloase. Atacatorul înregistrează nume de domenii care conțin greșeli comune de scriere sau caractere similare cu cele ale numelor de domenii populare (de exemplu, "facebok.com" în loc de "facebook.com").

Pharming. Vizează manipularea serverului DNS (Domain Name System) pentru a redirecționa traficul de internet către site-uri web frauduloase. Spre deosebire de phishing, unde atacatorul trimite email-uri sau mesaje pentru a induce în eroare utilizatorul, pharmingul atacă infrastructura internetului în sine.

Dumpster Diving. Metodă ce constă în colectarea de date din coșul de gunoi al unei persoane/companii. De foarte multe ori informațiile cuprinse în documentele aruncate pot crea atacatorilor o cale de intrare (nume de utilizator și parole, indicii privind structura organizațională și sistemele informatice, informații financiare, contracte, documente personale).

Shoulder Surfing. Cunoscut sub denumirea de spionaj peste umăr, se realizează prin observarea directă a ecranului dispozitivului victimei de la o distanță apropiată sau prin intermediul unor tehnici de zoom. Informațiile vizate pot include parole, coduri pin, date financiare sau alte detalii confidențiale.

Tailgating. Tactică de atac cibernetic care se bazează pe lipsa de atenție a utilizatorilor pentru a obține acces neautorizat la sisteme sau rețele informatice. Atacatorul se "lipește" de un utilizator autorizat pentru a pătrunde într-o zonă restricționată sau pentru a obține acces la resurse protejate.

Cum să recunoaștem un atac de inginerie socială

Presiunea. Atacatorul te grăbește să iei o decizie rapidă, creând un sentiment de urgență care te poate împiedica să gândești limpede.

Manipularea emoțiilor. Te poate face să te simți speriat, panicat, vinovat sau plin de compasiune pentru a te manipula. Informații sensibile. Instituțiile sau chiar departamentele dintr-o companie nu solicită prin email/telefon parole sau coduri PIN/token-uri din aplicații, date financiare sau alte informații sensibile.

Oferte tentante. Fii atent la cadouri neașteptate pe rețelele sociale sau la "oportunități de afaceri" incredibile, dar limitate în timp.

Informații incomplete. Oferă detalii insuficiente sau vagi pentru a ascunde adevăratele sale intenții.

Email suspect. Adresa expeditorului conține numere și caractere aleatorii, sau elemente în plus față de domeniul oficial. Atacatorii de tip inginerie socială utilizează diverse tactici de manipulare pentru a obține informații sensibile sau a induce victimele să execute acțiuni dorite. Suspectează orice solicitare care pare prea bună ca să fie adevărată, verifică identitatea expeditorului și nu oferi niciodată informații sensibile.

Mai multe detalii, în GHID.