miniatura|400x400px| Alertă Social engineering (în traducere liberă, inginerie socială) este, în contextul securității informațiilor, manipularea psihologică a oamenilor pentru a efectua unele acțiuni sau a divulga informații confidențiale. Aceasta diferă de ingineria socială din cadrul științelor sociale, care nu cuprinde divulgarea de informații confidențiale. O formă de escrocherie cu scopul de a colecta informații, a frauda sau a accesa unele sisteme, ea diferă de escrocherie tradițională prin faptul că acesta este adesea unul din mulții pași dintr-o schemă de fraudă mai complexă.
A fost definită și ca „orice acțiune care influențează o persoană să facă ceva care ar putea sau nu să fie în interesul lor.”
Cultura securității informației Comportamentul angajaților poate avea un impact mare asupra securității informațiilor din cadrul unei organizații. Conceptele culturale pot ajuta diferitele segmente ale organizației să funcționeze în mod eficient sau pot lucra împotriva eficacității în raport cu securitatea informațiilor din cadrul organizației. „Exploring the Relationship between Organizational Culture and Information Security Culture” oferă următoarea definiție a culturii securității informației: „cultura securității informației este ansamblul modelelor de comportament dintr-o organizație care contribuie la protecția informațiilor de toate felurile”. Lim, Joo S., și colab. "Explorarea relației dintre cultura organizațională și cultura securității informațiilor". Conferința australiană privind securitatea informațiilor.
Social engineering a fost folosită pe scară largă și de către Statul Islamic și alte grupări teroriste pentru recrutarea și radicalizarea tinerilor pentru a se ralia cauzei lor.
Andersson și Reimers (2014) au constatat că adesea angajații nu se consideră o parte a efortului organizației în ce privește securitatea informației, și că în unele acțiuni ale lor ignoră cele mai bune interese ale securității informației din organizație. Anderson, D., Reimers, K. și Barretto, C. (martie 2014). Învățământul secundar de educație secundară de securitate: Rezultatele abordării provocării utilizatorului final.publicație data publicării 11 martie 2014 descrierea publicației INTED2014 (Conferința internațională privind tehnologia, educația și dezvoltarea)
Pre-evaluare: identificarea gradului de conștientizare a securității informației în rândul angajaților și analiza politicii de securitate actuale. Planificarea strategică: pentru a ajunge la un program mai bun de conștientizare, este nevoie de obiective clare. Planificarea operativă: se poate stabili o bună cultură a securității pe baza comunicării interne, gestionării preluărilor din exterior și programul de instruire și conștientizare a securității. Implementare: pentru implementarea culturii securității informaționale ar trebui folosite patru etape. Ele sunt angajamentul managementului, comunicarea cu membrii organizației, cursurile pentru toți membrii organizației și angajamentul angajaților.
Tehnici și termeni Toate tehnicile de social engineering se bazează pe atribute specifice ale procesului de luare a deciziilor umane, cunoscut sub numele de . Jaco, K: "Manual de curs pentru CSEPS" (2004), unitatea 3, Jaco Security Publishing. Aceste prejudecăți, uneori numite „bug-uri în hardware-ul uman”, sunt exploatate în diverse combinații pentru a crea tehnici de atac, dintre care unele sunt enumerate mai jos. Atacurile folosite în social engineering pot fi folosite pentru a fura informațiile confidențiale ale angajaților. Cel mai comun tip de inginerie socială se practică prin telefon. Alte exemple de atacuri de social engineering sunt infractori care se recomandă drept angajați ai firmelor de dezinsecție, pompieri și tehnicieni pentru a trece neobservați în timp ce fură secrete ale companiei.
Un exemplu de inginerie socială este o persoană care intră într-o clădire și face un anunț oficial la avizier, unde spune că s-a schimbat numărul biroului de help desk. Deci, atunci când angajații solicită ajutor, individul le cere parolele și codurile de identitate, obținând astfel posibilitatea de a accesa informațiile private ale companiei. Un alt exemplu de social engineering ar fi contactarea unei ținte pe un site de socializare și inițierea unei conversații. Treptat, hackerul câștigă încrederea țintei și apoi se folosește de ea pentru a avea acces la informații delicate, cum ar fi parola sau detaliile contului bancar.
Șase principii cheie
- Oamenii tind să returneze favorurile, de unde omniprezența în marketing. În cadrul conferințelor sale, Robert Cialdini folosește adesea exemplul Etiopiei, care a oferit mii de dolari ajutor umanitar Mexicului imediat după cutremurul din 1985, în ciuda faptului că Etiopia suferea de o foamete îngrozitoare și de război civil la vremea respectivă. Etiopia răspundea astfel sprijinului diplomatic acordat de Mexic atunci când Italia a invadat Etiopia în 1935. Politica se bazează, de asemenea, pe acest principiu. Angajament și - dacă oamenii se angajează, oral sau în scris, la o idee sau un scop, aceștia sunt mult mai probabil să-și onoreze angajamentul, deoarece au declarat că acea idee sau obiectiv se potrivește . Chiar dacă motivația inițială este eliminată după ce s-a convenit, persoanele vor continua să onoreze acordul. Cialdini exemplifică cu spălarea creierului prizonierilor de război americani de către chinezi, prin care îi forța să-și rescrie imaginea de sine pentru a obține conformarea acestora automată și voluntară. Un alt exemplu îl reprezintă comercianții care pun pe butoanele de închidere a popupurilor lor de reclamă texte de genul „Mă înscriu mai târziu” sau „Nu mulțumesc, prefer să nu câștig bani”. Demonstrație socială - Oamenii vor face lucrurile pe care le văd la ceilalți. De exemplu, într-un experiment, una sau mai multe persoane care s-au înțeles între ele au început să se uite pe cer; trecătorii ar privi apoi și ei cerul pentru a vedea ce le scapă. La un moment dat, acest experiment a fost întrerupt, deoarece atât de mulți oameni priveau în sus încât se oprise traficul. Vezi conformitate și . Autoritate - oamenii vor tinde să se supună autorității, chiar dacă li se cere să facă acțiuni care contravin normelor de comportament sau de bun simț. Cialdini citează incidente precum experimentele Milgram de la începutul anilor 1960 și masacrul „My Lai”. Afinitate - oamenii sunt ușor de convins de alți oameni care le plac. Cialdini citează marketingul în ceea ce se poate numi acum marketing viral. Oamenii aveau mai multe șanse să cumpere dacă le plăcea persoana care le vindea. Raritatea - percepția deficitului va genera cerere. De exemplu, afirmația că oferta este disponibilă pentru un „timp limitat” încurajează vânzările.
Patru vectori de social engineering
Vishing Vishing, denumit și „”, este practica infracțională de folosire a social engineeringului prin telefon pentru a obține acces la informații private și financiare, în scopul obținerii de avantaje financiare. De asemenea, este folosit de atacatori pentru recunoaștere în scopul de a aduna mai detaliate informații privind o organizație-țintă.
Phishingul Phishingul este o tehnică de obținere frauduloasă a informațiilor private. În mod tipic, phisherul trimite un e-mail care pare să provină de la o sursă legitimă o bancă sau o companie de carduri de credit care solicită „verificarea” informațiilor avertizând asupra unor dacă nu sunt furnizate. E-mailul conține, de obicei, un link către o pagină web frauduloasă, care pare legitimă cu logourile companiei și conținut asociat ei și are un formular care solicită orice de la adresa de domiciliu până la codul PIN al sau . De exemplu, în 2003, a existat o înșelătorie de tip phishing în care utilizatorii au primit e-mailuri care pretindeau a fi de la eBay și care susțineau că contul utilizatorului era pe punctul de a fi suspendat dacă nu face click pe un link furnizat pentru a actualiza cardul de credit). Deoarece este relativ simplu să faci un site web asemănător site-ului unei organizații legitime, imitând codul HTML și logourile, înșelătoria conta pe faptul că va putea păcăli victimele că sunt contactate de eBay și că, ulterior, ajung pe site-ul eBay pentru a-și actualiza informațiile despre cont. Prin spamarea unor grupuri mari de persoane, „phisherul” se baza că, deși mulți oameni vor vedea prin această perdea de fum, vor fi exista și creduli care se vor conforma instrucțiunilor.
Smishing Smishing este utilizarea mesajelor SMS pentru a atrage victimele într-o astfel de acțiune. Ca și phishingul, acesta poate implica click pe un link malițios sau divulgarea de informații. Îndreptat împotriva utilizatorilor de smartphone-uri, mai limitate în interfața lor decât calculatoarele desktop sau notebook, mizează pe faptul că fraudele descrise mai sus vor trece mai ușor neobservate.
Impostura O altă acțiune asociată cu social engineeringul este aceea de a pretinde a fi o altă persoană cu scopul de a obține acces fizic la un sistem sau la o clădire.
Alte concepte
Pretextarea Unii atacatori folosesc un scenariu inventat () pentru a aborda o victimă vizată într-un mod care crește șansa victimei de a divulga informații sau a efectua acțiuni care ar fi improbabile în circumstanțe obișnuite.The story of HP pretexting scandal with discussion is available at O minciună complexă implică, cel mai adesea, o cercetare sau o pregătire anterioară și utilizarea acestor informații pentru a falsifica identitatea (de exemplu, data nașterii, codul numeric personal, valoarea ultimei facturi) pentru a victimei. " Pretexting: Informațiile dvs. personale au fost dezvăluite ",
Această tehnică poate fi folosită pentru a păcăli o afacere spre a divulga informații despre clienți, precum și de către detectivii particulari pentru a obține liste de apeluri telefonice, liste de accese la utilități, tranzacții bancare și alte informații direct de la reprezentanții serviciului companiei. Informația poate fi apoi utilizată pentru a stabili o legitimitate și mai mare în cadrul chestionării din partea unei persoane mai informate, cum ar fi un manager, pentru a face schimbări de conturi, a obține anumite solduri etc.
Pretextele pot fi folosite de atacatori pentru a pretinde că sunt colegi, poliția, banca, autoritățile fiscale, clerul, anchetatorii societăților de asigurări sau orice altă persoană care ar putea crea în mintea victimei vizate o percepție a autorității sau a dreptului de a ști. Pretextanții trebuie doar să pregătească răspunsuri la întrebările care ar putea fi adresate de victimă. În unele cazuri, tot ce este necesar este o voce care sună autoritar, pe un ton serios, și o abilitate de a gândi continuu pentru a crea un scenariu pretextual.
Vishing Phishingul telefonic (sau „vishing”) utilizează un sistem de (IVR) pentru a recrea o copie legitimă a sistemului bancar sau a unei alte instituții. Victimei i se solicită (de obicei printr-un e-mail de tip phishing) să apeleze „banca” printr-un număr de telefon (în mod ideal gratuit) furnizat pentru a „verifica” informațiile. Un sistem tipic de „vishing” va respinge permanent autentificările, asigurându-se astfel că victima introduce PIN-uri sau parole de mai multe ori, dezvăluind adesea mai multe parole diferite. Sistemele mai avansate transferă victima atacatorului, care pretinde că este un agent de relații cu clienții sau un expert în probleme de pentru a mai pune întrebări victimei.
Spear phishing