Социальная инженерия

Что это значит

Социальная инженерия - набор манипулятивных приёмов, которыми злоумышленник убеждает человека раскрыть информацию, дать доступ или провести платёж. Вместо взлома техники она использует человеческое доверие, желание помочь, авторитет, давление времени или страх.

Самая известная форма - фишинг через письма или SMS. Другие - телефонные обманы, когда злоумышленник выдаёт себя за банк или IT-поддержку, мошенничество от имени директора, срочно требующего платёж, подложные счета с изменённым счётом или физическое проникновение в здание вслед за сотрудником.

Злоумышленники часто собирают информацию с сайта фирмы, из соцсетей и публичных реестров. Благодаря этому они выглядят убедительно, знают имена коллег, поставщиков и текущие проекты и могут сочинить правдоподобную историю.

Как это работает на практике

Защита - прежде всего ясные правила. Для платежей действует правило: смена банковского счёта поставщика или срочная просьба о мгновенном платеже всегда проверяется звонком по известному номеру, а крупные платежи одобряют два человека.

Технически помогают двухфакторный вход, менеджер паролей и доступ по принципу нулевого доверия, при котором даже внутренним запросам не доверяют автоматически. Но одной техники мало, если человек сам сообщит злоумышленнику пароль или код.

Мы регулярно обучаем своих сотрудников и советуем это клиентам. Эффективнее всего короткие практические примеры реальных обманов и простое правило: кто сомневается, останавливается и проверяет просьбу по другому каналу.

На что обратить внимание

Атаки нацелены на людей с доступом к деньгам или данным: бухгалтеров, ассистентов, финансовых директоров. Именно для них правила проверки должны быть строже всего и не должны обходиться даже при давлении руководителя.

Социальная инженерия угрожает и коммерческой тайне, и персональным данным. Утечка данных клиентов может означать обязанность сообщить об инциденте по GDPR и подорвать доверие, которое строится годами.