Hakerzy łamią ludzi, a nie hasła. Jak być odpornym na socjotechniki?

Przeczytaj także: SMS lub mail o nadpłacie podatku? Uważaj, to może być oszustwo

"Hakerzy łamią ludzi, a nie hasła" jest to fragment tytułu książki pt. "Sztuka Podstępu" napisanej przez największego hakera na świecie - Kevina Mitnicka. Tytuł nawiązuje do socjotechnik wykorzystywanych przez hakerów stosowanych do wyłudzania informacji czy danych dostępowych. Po przeczytaniu tej książki dowiadujemy się z niej, dlaczego warto budować świadomość cyfrową i jakie skutki może wywrzeć jej brak.

Przestępcy cyfrowi dzielą się na różne kategorie. Są tacy, którzy skupiają się na wyłudzaniu, a następnie niszczeniu danych tzw. Crakerzy. Są też tacy, którzy korzystają z gotowych narzędzi w sieci i są to Script Kiddies. Są też tacy, którzy tworzą swoje programy, a istnieją też tacy, którzy nie korzystają z technologii, a ze sprytu, wyłudzenie danych pomaga im w kradzieży. Oczywiście naprzeciw hakerom przestępcom stoi sztab specjalistów tzw. białych hakerów, którzy wykorzystują talent i wiedzę o bezpieczeństwie informacji i socjotechnice, aby pomagać rządom czy firmom w zapobieganiu lub wykrywaniu ataków. Autor książki na początek nabył doświadczenie jako przestępca, a następnie przeszedł na drugą stronę, skutecznie odpierając ataki, pomagając innym.

W dobie, gdy liczba ataków cybernetycznych na firmy i instytucje wzrosła o 88% w 2021 w stosunku do 2020, warto poznać, ale także zrozumieć, w jaki sposób działają hakerzy. Jakich manipulacji i psychologicznych sztuczek będą próbować atakujący i jak możesz się przed tym bronić?

Jakie mechanizmy manipulacji są wykorzystywane najczęściej?

• wymuszenie autorytetem - podszywanie się pod prezesa/dyrektora,
• udawana chęć nawiązania relacji z kolegami z pracy lub potencjalnym klientem,
• wzbudzanie współczucia - udawanie nieporadnego pracownika, w celu wymuszenia czyjejś pomocy,
• stwarzanie poczucia wyjątkowości - atrakcyjne promocje, często ograniczone czasowo, aby zmusić do bezrefleksyjnego zakupu,
• generowanie sensacji - wykorzystywanie ludzkiej ciekawości, wścibskości, do skłonieniu ofiary do kliknięcia linku lub pobrania pliku.

To tylko przykłady. Przestępcy wyłudzają informację przez miłą rozmowę telefoniczną, wiadomość e-mail lub SMS z odpowiednim komunikatem czy linkiem.

Warto poznać, ale także zrozumieć, w jaki sposób działają hakerzy.

Jak hakerzy docierają do pracownika?

Podszywanie się pod innego nadawcę realizowane jest nie tylko poprzez wysyłanie wiadomości e-mail, ale także innymi kanałami cyfrowymi. Najpopularniejsze odmiany phishingu bez użycia poczty elektronicznej to:

1. Vishing, słowo powstałe z połączenia słów voice (głos) i phishing to rodzaj ataku poprzez rozmowę telefoniczną, często z użyciem podmiany prawdziwego numeru dzwoniącego na fałszywy, np. numer infolinii banku. Najczęściej rozmówcy przedstawiają się jako pracownik banku X i prosi o potwierdzenie danych osobowych, często w ten sposób chcąc zyskać Twoje zaufanie i przy okazji sprawdzić dane o Tobie, które posiada.
2. Smishing, czyli sms phishing to atak, w którym cyberprzestępca podszywa się pod firmę w wiadomości SMS. Bez problemu może także podszyć się pod prawdziwy numer firmy, od której takie wiadomości normalnie dostajesz. W wiadomości najczęściej znajdziesz link do fałszywej strony wyłudzającej dane osobowe lub udającej serwis płatniczy. Może to być informacja o konieczności dopłaty do kosztów dostawy paczki lub też dopłaty do rachunku za prąd.
3. Podobne manipulacje wykorzystywane są w wysyłanych wiadomościach poprzez komunikatory (takie jak WhatsApp, Messenger, iMessage, Signal), udostępniane w mediach społecznościowych (Facebook, Instagram), czy jako reklamy na stronach WWW. Najczęściej będzie to próba grania na Twoich emocjach, np. komunikat do wszystkich mężczyzn ze wschodnich województw do stawienia się w Wojskowych Komendach Uzupełnień z powodu kryzysu na granicy z Białorusią.

Jak sobie poradzić w sytuacji, gdy podejrzewasz oszustwo?

Pomocne będzie zadanie sobie kilku szybkich pytań w sytuacji, gdy dostajesz nietypowy telefon lub wiadomość, np.:

1. Czy to na pewno ta osoba, za którą się podaje? Może znasz to imię i nazwisko, ale nigdy nie słyszałeś jej głosu? A może styl językowy w otrzymanej wiadomości jest niepoprawny i wzbudza wątpliwości?
2. Czy wcześniej osoba, która próbuje nawiązać kontakt, też w ten sposób się ze mną kontaktowała? Czy nie jest tak, że zawsze piszecie sobie szybkie wiadomości przez komunikator, a nie długie i oficjalne maile? A może ta osoba zawsze dzwoni, a tym razem postanowiła do Ciebie napisać?
3. Czy wcześniej ta osoba prosiła mnie o podobne rzeczy? Nie przypominasz sobie, by kolega z marketingu chciał kiedykolwiek oglądać Twoje umowy z klientami. Jako księgowa nigdy nie byłaś proszona o akceptację przelewu przez pracownika tego działu.

Jak być odpornym na socjotechniki?

Poniżej 6 zasad, które pozwolą na uniknięcie skutków oszustwa.

1. Twoje hasła, Twoja sprawa
   Nie podawaj swoich haseł - nawet, jeśli otrzymasz wiadomość od szefa bezpieczeństwa IT, prezesa firmy lub Twojego najlepszego przyjaciela.
2. Sprawdź, z kim rozmawiasz lub piszesz zanim podasz swoje dane
   Pamiętaj sam Twój nr telefonu, data urodzenia i e-mail mogą pozwolić na odzyskanie hasła do poczty lub banku.
3. Bądź czujny - Hakerzy podszywają się pod wiarygodne nr telefonów
   Gdy dzwoni do Ciebie nawet pozornie wiarygodny numer telefonu, nigdy NIE MOŻESZ być w 100% pewien, że numer telefonu, który widzisz na ekranie, to ten, z którego faktycznie dzwoni rozmówca.
4. Udostępniając dane, informacje czy też zdjęcia, miej na uwadze ryzyko
   Odpowiednie zestawienie danych z udostępnionych przez z nas materiałów lub ich metadane (np. metadane zdjęcia) mogą być wykorzystane do zaplanowania skutecznego ataku.
5. Podczas pracy w firmie/urzędzie stwórz i postępuj z jasnymi zasadami cyberbezpieczeństwa
6. Korzystaj ze szkoleń i ćwiczeń zwiększających świadomość pracowników w zakresie bezpieczeństwa informacji
   Nie od dziś wiadomo, że utrwalenie wiedzy przychodzi poprzez powtarzanie. Warto też pamiętać, że zagrożenia i sposoby na ich niwelowanie dynamicznie się zmieniają.

Podsumowując - trzeba zachować czujność. Poprzez wzbudzanie sensacji, wymuszenia i lub poprzez inne techniki manipulacji hakerzy próbują zachęcić Cię do podania danych czy też ściągnięcia zainfekowanego pliku lub kliknięcia linku. Skutkami ataku może być brak dostępu do baz danych, czy też wyciek poufnych informacji firmy.

1 marca od 13:00 do 14:30 wraz ze specjalistą ds. Cyberbezpieczeństwa Pawłem Deykiem omówimy socjotechniki, skutki i metody zabezpieczeń. Zapraszamy na darmowy webinar. Zapisy tutaj: