9 τύποι επιθέσεων Κοινωνικής μηχανικής (Social engineering)

Αυτή είναι η πιο παρεμβατική μέθοδος εφαρμογής κοινωνικής μηχανικής. Οι χάκερ χρησιμοποιούν μηνύματα ηλεκτρονικού ταχυδρομείου, ιστοσελίδες και μηνύματα κειμένου για να κλέψουν ευαίσθητες προσωπικές ή οργανωτικές πληροφορίες από ανυποψίαστα θύματα.

Οι τεχνικές ηλεκτρονικού ταχυδρομείου phishing είναι πλέον γνωστές, ωστόσο ένας στους πέντε υπαλλήλους εξακολουθεί να κάνει κλικ σε αυτούς τους ύποπτους συνδέσμους.

Αυτή η απάτη phishing (ηλεκτρονικό ταχυδρομείο) χρησιμοποιείται για την εξαπόλυση στοχευμένων επιθέσεων εναντίον ιδιωτών ή επιχειρήσεων. Το spear phishing είναι πιο πολύπλοκο από το γενικό μαζικό phishing μέσω ηλεκτρονικού ταχυδρομείου και απαιτεί ενδελεχή έρευνα σχετικά με τον πιθανό στόχο και τον οργανισμό του.

Αυτός ο τύπος επίθεσης μπορεί να πραγματοποιηθεί διαδικτυακά ή σε φυσικό περιβάλλον. Οι εγκληματίες του κυβερνοχώρου συνήθως υπόσχονται κάποιο είδος ανταμοιβής σε αντάλλαγμα για εμπιστευτικές πληροφορίες ή γνώσεις που κατέχει το θύμα.

Κατηγορία επιθέσεων που περιλαμβάνουν ransomware. Στα θύματα αποστέλλεται μήνυμα με υποσημείωση που υποδεικνύει την επείγουσα ανάγκη εγκατάστασης κακόβουλου λογισμικού στη συσκευή τους.

Κατά ειρωνεία της τύχης, ένας συνηθισμένος τρόπος λειτουργίας είναι να τους ειδοποιούν ότι το κακόβουλο λογισμικό έχει ήδη εγκατασταθεί στον υπολογιστή του θύματος και ότι ο αποστολέας θα αφαιρέσει το λογισμικό αν πληρώσουν κάποια χρήματα.

Σε αυτόν τον τύπο επίθεσης, οι δράστες χρησιμοποιούν ψεύτικες ταυτότητες για να εξαπατήσουν τα θύματα και να αποσπάσουν πληροφορίες. Αυτή η επίθεση χρησιμοποιείται συχνά από οργανισμούς με πλούσια δεδομένα πελατών, όπως τράπεζες, χρηματοπιστωτικά ιδρύματα και επιχειρήσεις κοινής ωφέλειας.

Αυτή η επίθεση επικεντρώνεται στην ανταλλαγή πληροφοριών ή υπηρεσιών προκειμένου να παρακινήσει το θύμα να αναλάβει δράση. Συνήθως, οι εγκληματίες του κυβερνοχώρου που εκτελούν αυτό το σενάριο δεν διεξάγουν πιο προηγμένη και λεπτομερή έρευνα σχετικά με τον στόχο, αλλά προσφέρονται να παράσχουν “βοήθεια” παριστάνοντας κάποιον άλλον, όπως έναν εμπειρογνώμονα τεχνικής υποστήριξης.

Αυτή η επίθεση στοχεύει οποιονδήποτε επιτρέπει στον δράστη φυσική πρόσβαση σε ένα προστατευόμενο ή ελεγχόμενο κτίριο ή χώρο. Πολύ συχνά, αυτές οι απάτες επιτυγχάνονται με την εύνοια του θύματος, όπως το να αφήνει τις πόρτες ανοιχτές για να επιτρέψει σε έναν αόρατο μεταμφιεσμένο “υπάλληλο” να περάσει.

Σε αυτό το σενάριο, οι εγκληματίες του κυβερνοχώρου αφήνουν φωνητικά μηνύματα προσποιούμενοι επείγοντα περιστατικά, πείθοντας τα θύματα ότι πρέπει να δράσουν γρήγορα για να προστατευτούν από τη σύλληψη ή άλλους κινδύνους. Οι τράπεζες, οι κυβερνητικές υπηρεσίες και οι υπηρεσίες επιβολής του νόμου είναι συνήθως θύματα της μίμησης σε τέτοιες απάτες.

Αυτή η επίθεση χρησιμοποιεί προηγμένες τεχνικές κοινωνικής μηχανικής για να μολύνει ιστότοπους και τους επισκέπτες τους με κακόβουλο λογισμικό. Η μόλυνση εξαπλώνεται συνήθως μέσω ιστότοπων που σχετίζονται με το θύμα (π.χ. σχετίζονται με την εργασία), όπως δημοφιλείς ιστότοποι που το θύμα επισκέπτεται τακτικά.

Οι έμπειροι εγκληματίες στον κυβερνοχώρο γνωρίζουν ότι η κοινωνική μηχανική είναι πιο αποτελεσματική όταν επικεντρώνεται στα ανθρώπινα συναισθήματα και τους κινδύνους. Η εκμετάλλευση των ανθρώπινων συναισθημάτων είναι πολύ πιο εύκολη από την αναζήτηση παραβιάσεων δικτύου ή τρωτών σημείων ασφαλείας.

Ακολουθούν ορισμένα κυριότερα σημεία που εξηγούν γιατί οι επιθέσεις κοινωνικής μηχανικής είναι επανειλημμένα επιτυχείς.

Λαμβάνετε ένα φωνητικό μήνυμα που αναφέρει ότι ερευνάται η υπόθεση φορολογικής απάτης και ότι πρέπει να καλέσετε αμέσως για να αποφύγετε τη σύλληψη και την ποινική έρευνα. Αυτή η επίθεση κοινωνικής μηχανικής πραγματοποιείται κατά τη διάρκεια της φορολογικής περιόδου, όταν οι άνθρωποι είναι ήδη αγχωμένοι για τους φόρους τους.

Οι εγκληματίες του κυβερνοχώρου εκμεταλλεύονται το άγχος και την αγωνία της υποβολής της φορολογικής δήλωσης και χρησιμοποιούν το συναίσθημα του φόβου για να εξαπατήσουν τα θύματα ώστε να ακολουθήσουν τις εντολές του φωνητικού μηνύματος.

Φανταστείτε να μπορούσατε να μεταφέρετε 10 δολάρια ηλεκτρονικά σε έναν επενδυτή και να τα παρακολουθήσετε να αυξάνονται σε 10.000 δολάρια χωρίς καμία δική σας προσπάθεια. Οι εγκληματίες του κυβερνοχώρου χρησιμοποιούν τα βασικά ανθρώπινα συναισθήματα της εμπιστοσύνης και της επιθυμίας για να κάνουν τα θύματά τους να πιστέψουν ότι μπορούν πραγματικά να δημιουργήσουν κάτι από το τίποτα.

Ένα προσεκτικά διατυπωμένο μήνυμα ηλεκτρονικού ταχυδρομείου που λειτουργεί ως δόλωμα λέει στο θύμα να δώσει τα στοιχεία του τραπεζικού του λογαριασμού και τα χρήματα μεταφέρονται αργότερα την ίδια ημέρα.

Οι απατεώνες και οι εγκληματίες του κυβερνοχώρου επικεντρώνονται σε γεγονότα που έχουν μεγάλη δημοσιότητα στον κόσμο των ειδήσεων και χρησιμοποιούν την ανθρώπινη περιέργεια για να εξαπατήσουν τα θύματά τους. Για παράδειγμα, μετά τη δεύτερη συντριβή ενός αεροσκάφους Boeing MAX 8, οι κυβερνοεγκληματίες άρχισαν να στέλνουν μηνύματα ηλεκτρονικού ταχυδρομείου με συνημμένα αρχεία που ισχυρίζονταν ότι περιείχαν δεδομένα που διέρρευσαν σχετικά με τη συντριβή.

Αυτό το συνημμένο εγκαθιστούσε μια έκδοση του Hworm RAT στον υπολογιστή του θύματος.

Οι άνθρωποι εμπιστεύονται και βοηθούν ο ένας τον άλλον. Κατά τη διάρκεια μιας έρευνας σε μια εταιρεία, οι κυβερνοεγκληματίες στόχευσαν δύο ή τρεις υπαλλήλους με ένα μήνυμα ηλεκτρονικού ταχυδρομείου που φαινόταν να προέρχεται από τον διευθυντή τους.

Το μήνυμα ηλεκτρονικού ταχυδρομείου ζητούσε από τον υπεύθυνο πληροφορικής να στείλει τον κωδικό πρόσβασης στη λογιστική βάση δεδομένων, τονίζοντας ότι ο διευθυντής τον χρειαζόταν προκειμένου να λάβει εγκαίρως τον μισθό του.

Το μήνυμα ηλεκτρονικού ταχυδρομείου χρησιμοποιούσε τη γλώσσα του επείγοντος, η οποία έκανε το θύμα να πιστέψει ότι θα μπορούσε να βοηθήσει το αφεντικό του αν ενεργούσε γρήγορα.

Λαμβάνετε ένα μήνυμα ηλεκτρονικού ταχυδρομείου από την υποστήριξη πελατών σε ένα ηλεκτρονικό κατάστημα που επισκέπτεστε συχνά, στο οποίο αναφέρεται ότι πρέπει να επαληθεύσουν τα στοιχεία της πιστωτικής σας κάρτας για να προστατεύσουν τον λογαριασμό σας.

Το email σας ζητά να απαντήσετε γρήγορα για να αποτρέψετε εγκληματίες από το να κλέψουν τα στοιχεία της πιστωτικής σας κάρτας.

Ως αποτέλεσμα, το άλλο μέρος χρησιμοποίησε τα στοιχεία σας για να πραγματοποιήσει αγορές αξίας χιλιάδων δολαρίων.