Ingineria socială este un tip de înșelătorie care se bazează pe indicii sociale, nu digitale. Escrocii folosesc cunoștințe detaliate despre afacerea dvs., angajații dvs., proiectele dvs. și multe altele, pentru a vă convinge să le oferiți o resetare a parolei sau să aprobați o plată. Aceștia combină adesea aceste informații cu urgența, încurajându-vă să luați o decizie rapidă.

Nicio listă de semnale de alarmă nu pregătește o persoană pentru acest lucru, deoarece manipularea nu are loc prin intermediul tehnologiei. Aceasta se produce în mintea cuiva în timp ce ia o decizie.

Am prezentat deja ce este ingineria socială la nivel fundamental: definițiile, categoriile comune de atacuri, mecanismele generale ale atacurilor bazate pe manipulare în comparație cu cele pur tehnice. Construirea unui program eficient de conștientizare privind securitatea, modul de structurare a instruirilor, stabilirea ritmului și măsurarea eficienței acestora reprezintă un subiect separat despre care am scris, de asemenea.

Acest articol se situează între cele două. În loc de definiții sau conceperea programului, este vorba despre ceea ce trebuie inclus efectiv în instruirea angajaților dvs.: mecanismele psihologice pe care se bazează atacatorii și cum arată rezistența reală atunci când cineva se află în acel moment, în loc să citească despre asta pe un diapozitiv.

De ce funcționează ingineria socială: șase pârghii, un unghi mort

Ingineria socială nu reușește pentru că angajații sunt neatenți. Reușește pentru că împrumută scurtături pe care creierul uman le folosește zilnic pentru a lua rapid decizii obișnuite, iar apoi le îndreaptă către o țintă greșită. Cercetările lui Robert Cialdini privind persuasiunea au identificat șapte dintre aceste scurtături în urmă cu zeci de ani, iar șase dintre ele descriu aproape fiecare tentativă de inginerie socială pe care o va întâmpina o afacere:

  • Reciprocitate
  • Raritate
  • Autoritate
  • Consecvență
  • Dovadă socială
  • Unitate

Autoritate

Escrocii se bazează cel mai des pe autoritate. Oamenii se conformează mai repede unei solicitări care pare să vină de la o persoană din conducere, de la un administrator IT sau de la un organism extern, cum ar fi o autoritate de reglementare sau un furnizor, adesea fără a verifica dacă acea autoritate este reală.

Urgență

Urgența amplifică acest lucru: un termen-limită, un cont blocat sau o plată care trebuie trimisă înainte de închiderea băncii îi împinge pe oameni spre acțiune și îi îndepărtează de verificare, deoarece o suspendare pentru a verifica dă impresia că ar putea cauza chiar problema cu care amenință atacatorul.

Raritate

Raritatea funcționează în același mod, dar sub o altă formă: o ofertă pe durată limitată, o fereastră unică de accesare, un mesaj care sugerează că ezitarea înseamnă ratarea unei oportunități.

Dovadă socială

Dovada socială îi convinge pe oameni că o solicitare este legitimă deoarece alții au acceptat-o deja, de exemplu „restul echipei financiare a aprobat deja acest lucru” sau un fir care arată ca o conversație internă reală. Simpatia exploatează relaționarea: un atacator prietenos, amabil sau aparent familiarizat cu mediul de lucru reduce vigilența unei ținte pur și simplu prin faptul că este plăcut în comunicare.

Reciprocitate

Reciprocitatea este cea mai discretă dintre cele șase: o mică favoare, o informație aparent utilă sau un compliment oferit mai întâi, care creează un sentiment subtil, adesea inconștient, de obligație de a întoarce gestul.

Niciuna dintre aceste pârghii nu este sofisticată. Sunt aceleași instincte care fac posibilă cooperarea obișnuită la locul de muncă. Orice solicitare care utilizează unul sau mai multe dintre aceste principii arată ca o solicitare normală, ușor urgentă; genul de solicitare la care oamenii sunt instruiți de-a lungul întregii cariere să răspundă rapid și util.

Atacurile pe care angajații le întâmpină efectiv într-un context de afaceri

Majoritatea organizațiilor se concentrează pe măsuri anti-phishing și am scris despre apărarea împotriva atacurilor de tip phishing. Însă instruirea privind ingineria socială care se limitează la e-mail pierde din vedere majoritatea amenințărilor reale cu care se confruntă angajații, în special la birou sau într-un mediu hibrid, unde apelurile telefonice, vizitatorii și accesul fizic fac încă parte din rutina zilnică.

Phishing vocal (vishing)

Phishingul vocal, sau vishing, se bazează pe apeluri telefonice false sau mesaje vocale. Un apelant se poate da drept asistență IT, cerând cuiva să-și confirme parola înainte de o actualizare a sistemului, drept o bancă ce verifică o tranzacție sau drept un curier care are nevoie de un cod de unică folosință pentru a finaliza o livrare.

Vocea unei persoane adaugă urgență și autoritate pe care textul nu le poate falsifica convingător, motiv pentru care rămâne eficientă chiar și împotriva celor care se consideră vigilenți la e-mailurile de phishing. Din ce în ce mai mult, atacatorii folosesc și instrumente de clonare a vocii pentru a imita vocea unui coleg sau a unui director real, lucru pe care NCSC l-a semnalat ca fiind un risc în creștere(fereastră nouă) atât pentru persoane fizice, cât și pentru organizații. De asemenea, am scris despre prevenirea atacurilor deepfake.

Pretextare

Pretextingul implică crearea unei povești pe care un atacator o folosește apoi pentru a justifica o solicitare neobișnuită. Aceștia se pot da drept un furnizor nou care are nevoie de detalii despre cont pentru a configura o plată, un auditor care solicită jurnale de acces sau un candidat la un loc de muncă ce cere unui contact de la resurse umane să confirme date personale pentru verificarea antecedentelor.

Scenariul este adesea construit din mici fragmente de informații publice, cum ar fi o funcție și numele unui furnizor îmbinate pentru a părea plauzibile.

Momeală (baiting)

Baitingul oferă ceva ce își dorește un angajat: o resursă gratuită, o unitate USB sau un hard disk personalizat, un document intitulat „Evaluarea salariilor pe T3”, în schimbul unei acțiuni care compromite un dispozitiv sau un cont. Funcționează deoarece nu cere încredere în modul în care o face un e-mail de phishing; se bazează pe curiozitate pentru a convinge.

Acces neautorizat prin urmărire (tailgating)

Tailgatingul, sau piggybackingul, este singurul atac din această listă care nu are nicio legătură cu un ecran. Un atacator urmărește un angajat printr-o ușă securizată cu cartelă de acces, adesea cărând cutii, purtând ceva ce seamănă cu o uniformă sau pur și simplu sincronizându-și sosirea pentru un moment în care ținerea ușii deschise este un gest de politețe. Acesta exploatează direct curtoazia de la locul de muncă, motiv pentru care instruirea privind securitatea fizică tinde să fie trecută cu vederea în programele create exclusiv în jurul căsuțelor de e-mail.

Cum arată în realitate rezistența la atacurile de inginerie socială

Simplul fapt de a le spune angajaților să „fie mai suspicioși” nu funcționează sub presiune reală. Suspiciunea este un sentiment, iar atacatorii încearcă în mod specific să o anuleze. Instruirea trebuie să înlocuiască această instrucțiune vagă cu comportamente specifice, repetabile, care nu depind de faptul că o persoană observă în acel moment că este manipulată.

Verificați întotdeauna

Verificarea printr-un canal separat este cel mai util obicei pe care o afacere îl poate implementa. Dacă o solicitare sosește prin e-mail, confirmați-o telefonic sau în persoană, folosind un număr sau un contact existent deja în evidențe, nu unul furnizat chiar în mesaj. Acest comportament unic blochează o mare parte din tentativele de uzurpare a identității, indiferent cât de convingător a fost contactul inițial, deoarece elimină controlul atacatorului asupra etapei de verificare.

Încetiniți ritmul

Urgența trebuie tratată ca un semnal de a încetini ritmul, nu ca un motiv de omitere a unui pas. Angajații ar trebui să fie instruiți să observe când o solicitare îi împinge spre rapiditate în detrimentul procesului, deoarece acea presiune este rareori accidentală. O solicitare legitimă cu adevărat urgentă poate tolera un apel de verificare de două minute; una care nu poate suporta această întârziere ar trebui tratată cu suspiciune, indiferent din partea cui pare să vină.

Obțineți confirmare

Solicitările financiare și cele legate de date de conectare ar trebui să necesite confirmarea unei a doua persoane ca practică standard, nu ca o excepție rezervată tranzacțiilor mari. Acest lucru elimină presiunea socială pe care se bazează un atacator atunci când izolează un singur angajat și îi cere să acționeze singur, oferindu-i acelui angajat o modalitate simplă, lipsită de reproșuri, de a spune „lăsați-mă să verific cu cineva”, fără a părea necooperant sau suspicios.

Raportați incidentele evitate la limită

Raportarea incidentelor evitate la limită închide cercul. Un angajat care s-a conformat parțial unei solicitări, a ezitat dar a cedat în cele din urmă sau a realizat ulterior că ceva nu era în regulă ar trebui încurajat să raporteze incidentul chiar și după aceea, chiar dacă pare că nu s-a întâmplat nimic grav. Aceste rapoarte reprezintă adesea cel mai timpuriu avertisment pe care îl primește o afacere că este vizată și apar doar într-o cultură în care raportarea nu implică stânjeneală sau vinovăție.

Același instinct se aplică odată ce banii sau datele au fost deja transferate: Action Fraud(fereastră nouă), centrul național de raportare din Regatul Unit pentru fraudă și infracțiuni cibernetice, există deoarece, cu cât un incident este raportat mai devreme, cu atât este mai util pentru toți ceilalți vizați de același tipar.

De ce diapozitivele nu dezvoltă rezistența, dar simularea o face

Lectura despre cele șase pârghii de persuasiune este utilă pentru context, dar nu schimbă modul în care cineva se comportă sub o presiune reală, la fel cum cititul despre un exercițiu de evacuare în caz de incendiu nu pregătește o persoană să găsească cea mai apropiată ieșire. Rezistența la manipulare este o abilitate practicată, nu o informație reținută dintr-o prezentare de diapozitive, motiv pentru care cea mai solidă instruire împotriva ingineriei sociale se bazează pe simulare, nu doar pe instrucțiuni teoretice.

O simulare eficientă îi supune pe angajați unei versiuni realiste a presiunii cu care se vor confrunta în realitate: un apel simulat de la un furnizor care solicită modificări ale contului, o solicitare urgentă fabricată de la cineva care pretinde că este manager sau un vizitator simulat care cere să fie lăsat să intre pe o ușă securizată, oferind apoi un feedback imediat și specific, mai degrabă decât un simplu calificativ admis/respins.

Scopul este de a le permite angajaților să experimenteze momentul de presiune într-un mediu sigur, să observe ce pârghie a fost folosită și să-și dezvolte instinctul de a face o pauză și a verifica înainte ca situația să devină critică.

Dificultatea ar trebui să crească treptat, iar scenariile ar trebui să reflecte roluri reale. O persoană din departamentul financiar se confruntă cu pretexte diferite față de cineva de la recepție, iar exercițiul ar trebui să se încheie cu o sesiune de analiză care explică mecanismul utilizat, nu doar dacă persoana a trecut sau nu testul.

Realizată corect, simularea transformă cele șase pârghii psihologice în concepte ușor de înțeles și identificat pe care angajații le pot recunoaște, acesta fiind chiar scopul unei instruiri concepute pentru a funcționa în afara sălii de curs.

Instruirea oamenilor, nu doar a politicilor

Ingineria socială are succes țintind instinctele care fac posibilă munca obișnuită în echipă: încrederea în autoritate, receptivitatea la urgență, disconfortul de a pune la îndoială o persoană din conducere sau amabilă. O instruire care doar definește aceste atacuri sau le listează categoriile îi lasă pe angajați la fel de expuși ca înainte, deoarece recunoașterea unei definiții și recunoașterea unei tentative reale de manipulare sunt abilități complet diferite.

O programă de instruire care denumește cele șase pârghii psihologice, explică modul în care vishingul, pretextingul, baitingul și tailgatingul se manifestă efectiv la locul de muncă și le oferă angajaților comportamente concrete și exersate (verificați separat, tratați urgența ca pe un semnal de alarmă și nu ca pe un termen-limită, implicați o a doua persoană, raportați chiar și incidentele evitate la limită) le oferă oamenilor instrumente pe care le pot folosi cu adevărat sub presiune.

Consolidată prin simulare, nu prin diapozitive, și susținută de parole unice și MFA care limitează accesul obținut printr-o tentativă reușită, această combinație transformă conștientizarea în rezistență.

Nimic din toate acestea nu înlocuiește munca de elaborare a programului de instruire propriu-zis: frecvența, structura, periodicitatea repetării, modul în care măsurați eficiența acestuia. Acestea sunt aspectele pe care le acoperă ghidul nostru complementar despre crearea unui program de conștientizare privind securitatea. Ceea ce este inclus aici reprezintă nivelul de bază al programului: psihologia cu care se confruntă efectiv angajații și obiceiurile specifice, exersate, care rezistă atunci când presiunea devine reală, nu ipotetică.

O echipă care poate numi o tactică de persuasiune în timp ce este folosită împotriva ei și știe exact pe cine să apeleze înainte de a acționa este o țintă fundamental mai dificilă decât una căreia i s-a spus doar să fie vigilentă. Aceasta este lacuna pe care o puteți elimina cu acest tip de instruire.

Legătura cu datele de conectare: de ce izolarea incidentelor contează chiar și după o greșeală

Instruirea reduce frecvența cu care reușește ingineria socială, dar nu poate reduce acest număr la zero. Un program creat cu acest obiectiv va eșua întotdeauna. La un moment dat, cineva va divulga o parolă la telefon, va accesa o pagină falsă de conectare sau va confirma un detaliu pe care nu ar fi trebuit să-l divulge. Ceea ce limitează daunele în acel moment nu este conștientizarea, ci măsurile de control al accesului care erau deja implementate înainte de începerea apelului.

O acreditare obținută prin inginerie socială este mult mai puțin utilă unui atacator dacă este unică pentru un singur serviciu și protejată prin autentificare cu mai mulți factori (MFA). Parolele unice împiedică refolosirea unei acreditări compromise pentru a accesa alte servicii, în timp ce MFA poate împiedica parola furată să ofere acces de una singură chiar și la contul căruia îi aparține.

Aceasta este aceeași logică de izolare prezentată în ghidurile noastre despre crearea unei culturi solide de securitate la locul de muncă și crearea unor politici de parole robuste, și merită repetată aici deoarece ingineria socială și igiena parolelor sunt de obicei tratate ca probleme separate, când în realitate sunt două etape ale aceluiași atac.

Un manager de parole pentru companii precum Proton Pass for Business face ca această limitare să fie realist de menținut la scară largă, în loc de ceva care depinde de fiecare angajat în parte dacă își amintește să respecte politica.

Când acreditările sunt stocate, generate și partajate în siguranță printr-un seif de parole gestionat, în loc de memorie, browsere sau foi de calcul, o singură tentativă reușită de inginerie socială nu mai reprezintă o cale de acces către toate sistemele utilizate de un angajat.

Proton Pass for Business facilitează gestionarea acreditărilor pentru fiecare membru al echipei, nu doar pentru echipa dvs. IT:

Reduceți expunerea echipei dvs. la ingineria socială cu un manager de parole pentru companii securizat.