Соціальна інженерія

Що це означає

Соціальна інженерія - набір маніпулятивних прийомів, якими зловмисник переконує людину розкрити інформацію, дати доступ чи здійснити платіж. Замість злому техніки вона використовує людську довіру, бажання допомогти, авторитет, тиск часу чи страх.

Найвідоміша форма - фішинг через листи чи SMS. Інші - телефонні ошуканства, коли зловмисник видає себе за банк чи IT-підтримку, шахрайство від імені директора, що терміново вимагає платіж, підроблені рахунки зі зміненим рахунком чи фізичне проникнення до будівлі слідом за працівником.

Зловмисники часто збирають інформацію із сайту фірми, соцмереж і публічних реєстрів. Завдяки цьому вони виглядають переконливо, знають імена колег, постачальників і поточні проєкти й можуть вигадати правдоподібну історію.

Як це працює на практиці

Захист - передусім чіткі правила. Для платежів діє правило: зміна банківського рахунку постачальника чи термінове прохання про миттєвий платіж завжди перевіряється дзвінком на відомий номер, а великі платежі схвалюють дві людини.

Технічно допомагають двофакторний вхід, менеджер паролів і доступ за принципом нульової довіри, за якого навіть внутрішнім запитам не довіряють автоматично. Але самої техніки замало, якщо людина сама повідомить зловмисникові пароль чи код.

Ми регулярно навчаємо своїх працівників і радимо це клієнтам. Найефективніші короткі практичні приклади реальних ошуканств і просте правило: хто сумнівається, зупиняється й перевіряє прохання іншим каналом.

На що звернути увагу

Атаки націлені на людей із доступом до грошей чи даних: бухгалтерів, асистентів, фінансових директорів. Саме для них правила перевірки мають бути найсуворішими й не повинні обходитися навіть під тиском керівника.

Соціальна інженерія загрожує й комерційній таємниці, і персональним даним. Витік даних клієнтів може означати обов’язок повідомити про інцидент за GDPR і підірвати довіру, яка будується роками.