О социальной инженерии, как взламывают людей

С подключением, юзернейм! Наверняка тебе знаком термин «социальная инженерия». Обычно под социальной инженерией понимают способы манипуляции поведением человека с целью получения выгоды – конфиденциальной информации, денег или определённых услуг. Мошенники всегда использовали социальную инженерию, но цифровая эпоха подарила им новые возможности. Криптограф Брюс Шнайер говорит, что в плане безопасности математика безупречна, компьютеры уязвимы, а люди просто отвратительны. Действительно, человек – самое слабое звено любой системы защиты, его легко взломать, играя на эмоциях и слабостях. И сегодня мы поговорим о методах, которые используют социальные инженеры. Техники социальных инженеров разнообразны, применяются и комбинируются в зависимости от контекста. Но их объединяет одно: в основе лежат когнитивные искажения. То есть человеческая глупость и невнимательность.

ФИШИНГ – самый распространённый способ мошенничества в сети. Ежегодно с его помощью крадут 3,5 миллиарда рублей. Соблюдение элементарных правил кибербезопасности спасает, но и на старуху бывает проруха. Так, в даркнете намного проще замаскировать фишинговый сайт под легитимный из-за их хитровыделанных названий. В прошлом году хакер Майкл Рико просто засеял форумы ссылками на липовые торговые площадки и поимел 365 тысяч долларов в биткоинах с невнимательных покупателей. Особый вид фишинга в даркнете – это выманивание не очень честных пользователей в клирнет по специальной ссылке, чтобы запалить их айпишник, а потом шантажировать.

ТРОЯНЫ до сих пор используются мошенниками, но уже не так дерзко, как в 90-ые. Порно-приложения для смартфонов и подброшенные флешки помогают получить доступ к финансовым данным жертвы, но не только. Шпионские программы сливают список контактов, расписание встреч, почтовую переписку и прочую, казалось бы, незначительную информацию. Всё для того, чтобы мошенники могли разыграть целый спектакль.

ПРЕТЕКСТИНГ – это метод, при котором мошенник заранее собирает информацию о жертве и её окружении, чтобы потом притвориться человеком, которому невозможно отказать. При этом важны даже мелкие детали: кличка мёртвого хомячка, номер кабинета начальника, размер бюстика лучшей подруги и так далее. В 2015 году мошенники от имени топ-менеджера компании Ubiquiti Networks потребовали у якобы своих подчиненных перевести им 40 миллионов долларов. И те перевели. Психологи доказали, что под давлением авторитета мы пойдём на что угодно. По результатам эксперимента, 95% медсестер без вопросов введут пациенту смертельную дозу, если им прикажет врач.

ОБРАТНАЯ ИНЖЕНЕРИЯ подразумевает, что жертва сама обращается за помощью к мошеннику. И тут в действие вступает принцип qui pro quo – в качестве ответной услуги жертва готова пойти даже на мелкое должностное преступление. В чемпионате по кибербезопасности была задача: «Что можно сделать за 2 минуты с компьютером отошедшего сотрудника, чтобы потом получить доступ ко всей сети?» Самое простое решение – прикрепить стикер с фальшивым номером телефона техподдержки. Ведь сисадмин – это царь и бог, которому доверяют без сомнений, несмотря на технику безопасности.

Социальная инженерия повсюду – везде, где есть информация, то есть и в офлайне. Интересными уловками пользуются копы, торгаши, журналюги и простые любители халявы. Правоохранительные органы – мастера в области социальной инженерии. Они используют её для получения сведений, когда закон мешается на пути. «Мы вас ни в чём не обвиняем, просто расскажите, как всё было…» – наиболее распространённый обход 51-ой статьи Конституции РФ, которая разрешает не свидетельствовать против себя. Другой пример – «дилемма заключённого». Это когда тебя лечат, что подельник, друзья, мама и даже собака уже запели, осталось только услышать твою версию событий.

Ещё одна сфера применения социальной инженерии – реклама. И, несмотря на наличие более современных направлений типа нейромаркетинга, классика всегда в моде. Повторное проговаривание информации о товаре, ссылки на авторитетное или экспертное мнение, эксплуатация стереотипных образов – это самые популярные уловки рекламщиков. Устаревшие, несомненно, но до сих пор эффективные. СМИ – тоже кладезь разнообразных техник социальной инженерии. Тут тебе и навязывание мыслей, и ложные причинно-следственные связи, и манипуляция чувствами, и подмена понятий. В каком-то смысле социальная инженерия – это язык, на котором говорит пропаганда. Но не унывай, навыки социальной инженерии могут быть полезны и лично тебе. Хочешь скидку в магазине? Прямо попроси её и обязательно уточни, что тебе ради неё нужно сделать. А затем напомни продавцу о его праве отказать – это повысит шансы на успех. Если же ты хочешь пролезть куда-нибудь без очереди, просто назови рандомную причину. Психологи провели эксперимент: девушка просила пустить её к ксероксу – ей уступили 60% людей. Когда в другой группе она добавила «Потому что я очень спешу!» – ей уступили уже 94%. Короче, области применения социальной инженерии безграничны.

Но противостоять психологическому давлению на самом деле проще, чем кажется. Усвой важное правило: вступая в любой из видов общения, обращай внимание не только на содержание, но и на сам процесс. Почаще задавай себе вопрос: «А что всё это может значить?» Психологические игры бывают разные, но их суть остаётся неизменной. Критическое отношение ко входящей информации, настороженность и здравый смысл помогут тебе не стать жертвой социальных инженеров.