Заманауи технологиялар қарқынды дамып келеді, алайда біз оларға ілесе алмай жатқандаймыз. Осыған қарамастан, адамдар ең осал болып қала береді. Әлеуметтік инженерия зиянкестер құпия ақпаратқа қол жеткізе алатындай психологиялық амалдарды қолдана отырып, адами факторға бағытталған. SOC PS Cloud Services сарапшысы Рамазан Құланбаев BAQ.KZ тілшісіне оның қалай жұмыс істейтінін анықтап, нақты шабуылдардың мысалдарын келтіріп, олардан қалай қорғануға болатынын айтып берді.
Әлеуметтік инженерия дегеніміз не?
Әлеуметтік инженерия - бұл құпия ақпаратты алу немесе жүйелерге қол жеткізу үшін адамдарды манипуляциялау өнері. Хакерлер жәбірленушіге деректерді өз еркімен беру немесе қажетті әрекеттерді орындау үшін әртүрлі психологиялық әдістерді қолданады. Әлеуметтік инженерияның барлық әдісі адамның эмоцияларына сенуге және ойнауға негізделген, - деді сарапшы.
Әлеуметтік инженерияның қандай түрлері бар
Рамазан Құланбаев хакерлер әлеуметтік инженерияның әртүрлі әдістерін қолданатын мысалдар мен өмірде болған жағдайларды атап өтті.
1. Фишинг
1-жағдай: "Банктің" электронды поштасы
Сұлтан "банктен" оның шотындағы күдікті әрекет туралы ескерту және өз деректерін шұғыл растауды сұрайтын электронды хат алады. Хатта банктің нақты сайтына ұқсайтын жалған сайтқа сілтеме бар. Сұлтан сілтемеге кіріп, өз деректерін енгізеді, олар бірден шабуылдаушыларға түседі.
2-жағдай: "Әріптестің" хаты
Марина әріптесінен маңызды ақпаратты қамтитын құжатты ашуды сұрайтын хат алады. Құжат Маринаның компьютерін жұқтыратын және корпоративті деректерді хакерлерге беретін зиянды файл болып шығады.
2. Вишинг
Жағдай: "Банктің қауіпсіздік қызметі" қоңырауы
Құралай өзін банктің қауіпсіздік қызметкері ретінде көрсеткен адамнан қоңырау алады. Олар оған шоттан ақша алуға тырысып жатқанын айтады және жеке басын растау үшін SMS арқылы келген кодты атауды сұрайды. Құралай еш ойланбастан кодты хабарлағаннан кейін ақша оның шотынан жоғалады.
3. Тұзақ тастау
Жағдай: табылған флэш-диск
Абзал "құпия деректер" деп жазылған кеңсесінің жанындағы автотұрақтан флэш-дискі табады. Ол мазмұнын көргісі келіп, оны компьютеріне қосады. Нәтижесінде оның компьютері вирус жұқтырады, осылайша Абзал барлық деректі шабуылдаушыларға жібереді.
4. Претекстинг (Арнайы дайындық)
Жағдай: "IT-бөлімдегі әріптестер" қоңырауы
Мәриям бухгалтерлік есепте жұмыс істейді. Оған өзін IT бөліміндегі әріптесі ретінде таныстырған адам қоңырау шалып, жаңартулар жүргізу үшін жүйеге шұғыл қол жеткізуді сұрайды. Мәриям қоңырау шалушыға сенеді және хакерлерге корпоративті желіге кіруге мүмкіндік беретін қол жетімділікті ұсынады.
5. Әлеуметтік медиа
1-жағдай: Жалған дос профилі
Диас әлеуметтік желідегі "досынан" жалақыға дейін ақша сұраған хабарлама алады. Профиль шынайы болып көрінеді, ал Диас сеніп, ақша аударады. Кейінірек ол досының аккаунты бұзылғанын және ақша алаяқтарға кеткенін біледі.
2-жағдай: Викториналар мен жарыстар
Жәудір әлеуметтік желідегі жазбадан байқауға қатысу және құнды сыйлық ұтып алу туралы ұсыныс байқайды. Қатысу үшін ол жеке деректерді енгізуі керек. Нәтижесінде деректер оларды фишингтік шабуылдар үшін пайдаланатын шабуылдаушыларға түседі.
6. Жеңілдікті және акциялық ұсыныстар
Сәния жаңа смартфонды үлкен жеңілдікпен сатып алу туралы ұсыныс хат алады. Ол жалған сайт сілтемесіне өтеді, банк картасының деректерін және жеке мәліметтерін енгізеді. Смартфон сатып алудың орнына ол ақша жоғалтады, ал алаяқтар оның банктегі ақпаратына қол жеткізе алады.
7. Жалған программалық жабдық
Назым интернеттен ақысыз бағдарламалары бар веб-сайтты табады. Назым оның зиянды бағдарлама екенін білмей, оны жүктейді. Орнатқаннан кейін оның компьютері біртүрлі жұмыс істей бастайдыү Осы кезде құпия деректер зиянкестердің қолына өтеді.
Енді бір жағдаятты талдап жіберейік.
8. Әріптесінің жоқтығы арқылы есептік жазбаны бұзу
Руслан заң қызметтері бөлімінде жұмыс істейді және жұмыс компьютерінде маңызды құжаттар бар. Ол демалыста және осы уақытта оның әріптесі Айбар қиын жағдайға тап болады: маңызды кездесу үшін маңызды құжаттарды ұсыну қажет, әйтпесе компания клиенттен айырылып қалу қаупі бар.
Кері әлеуметтік инженерия әдісі:
Шұғыл мәселеге еліктеу:
Шын мәнінде шабуылдаушы Айбар Русланның демалыста екенін біледі және бұл жағдайды өз пайдасы үшін пайдаланғысы келеді. Ол Русланның телефонына қоңырау шалады, бірақ Руслан жауап бермегендіктен, Айбар дауыстық хабарлама қалдырады немесе мәтіндік хабарлама жібереді. Хабарламада ол төтенше жағдай болғанын айтады: маңызды клиент тек Русланның компьютерінде орналасқан құжаттарды шұғыл түрде ұсынуды талап етеді.
Манипуляция және қысым:
Айбар Русланның қазір жұмыс орнында емес екенін біліп, Русланның корпоративтік нөміріне немесе байланыс телефонына қоңырау шалып, өзін әріптесі немесе тіпті бастығы ретінде таныстырады. Егер құжаттар дереу берілмесе, бұл компания үшін ауыр зардаптарға, соның ішінде клиенттің жоғалуына немесе айыппұлдарға әкелуі мүмкін екенін жеткізеді. Айбар Русланның дүрбелең мен қысым сезімін ояту үшін жағдайдың жеделдігіне баса назар аударады.
Жалған шешім:
Айбар Русланға дәл қазір кеңсеге орала алмайтындықтан, қажетті құжаттарды жүктеп алып, клиентке жіберу үшін Русланның компьютеріне қашықтан кіру керек екенін айтады. Ол Русланнан қашықтан қол жеткізу үшін деректерді беруді сұрайды, бұл уақытша шара екенін және құжаттар жіберілгеннен кейін бәрін қалпына келтіретінін түсіндіреді.
Деректерді алу:
Руслан қысымға ұшырап, Айбар тапсырманы орындай алатындай етіп қашықтан қол жеткізу үшін өз деректерін беруге келіседі. Ол парольдер мен басқа да қажетті ақпаратты ұсынады. Айбар Русланның компьютеріне кіріп, барлық маңызды құжаттарды жүктейді.
Нәтижесі:
Біраз уақыттан кейін Руслан оның компьютерінің бұзылғанын анықтайды. Серверлік журналдар мен қауіпсіздік жүйелеріне рұқсатсыз кіргені анықталады. Нәтижесінде шабуылдаушы құпия ақпаратты жинау үшін қол жетімділікті пайдаланды, бұл деректердің бұзылуына, қаржылық шығындарға және ықтимал заңды тергеуге әкелуі мүмкін. Бір айлық жұмыс барысында шабуылдаушы көптеген ақпаратты сыртқы тараптарға жеткізе алды.
Сабақ:
Бұл мысал жүйелерге және деректерге қол жеткізу үшін шабуылдаушылар шұғыл сұраулар мен қысымды қалай пайдалана алатынын көрсетеді. Төтенше жағдайларда абай болу керек және сұраулардың түпнұсқалығын тексеру керек екенін есте ұстаған жөн. Егер күдік туындаса немесе сұрау бейресми арналар арқылы түссе, қол жеткізуді немесе деректерді бермес бұрын сұраудың түпнұсқалығын растау үшін алдымен әріптестермен немесе АТ бөлімімен байланысу маңызды.
Әлеуметтік инженерия - бұл адамдардың сенімі мен психологиялық әлсіздіктерін пайдаланатын хакерлердің күшті қаруы. Мен бұл мәліметтерді осындай шабуылдардың құрбаны болу қаншалықты оңай екенін және сергек болу қаншалықты маңызды екенін көрсету үшін айтып отырмын. Өзіңізді қорғау үшін ақпарат көздерін мұқият тексеріп, күдікті хабарламаларға сенбеуіңіз керек және қызметкерлерді киберқауіпсіздік негіздеріне үйретуіңіз керек. Тек хабардарлық пен сақтық сіздің деректеріңіз бен жүйелеріңізді қорғауға көмектеседі, - дейді Рамазан Құланбаев.
