Ce este ingineria socială?

Amenințările cibernetice la care suntem expuși devin tot mai sofisticate pe măsură ce tehnologia și transformarea digitală evoluează în multiple industrii și arii ale vieții noastre. Ne vom referi, însă, la un tip de amenințare ce a fost prezent înainte de a avea dispozitive inteligente sau acces la internet, acesta fiind ulterior preluat și în mediul online.

Ingineria socială poate fi descrisă ca arta manipulării folosită pentru a obține acces la informații personale și financiare sau controlul asupra unui sistem informatic ori a unor dispozitive. Spre deosebire de atacurile cibernetice uzuale, care se bazează pe vulnerabilități de securitate ale unor aplicații, dispozitive sau sisteme informatice, atacurile bazate pe tehnici de inginerie socială vizează vulnerabilitățile umane.

În cadrul unui atac de inginerie socială, atacatorul va încerca să convingă că reprezintă o sursă de încredere: o companie (bancă, companie de curierat, furnizor de energie etc.) sau o persoană pe care victima o cu­noaște.

Dacă manipularea funcționează, atacatorul va încuraja victima să întreprindă o serie de acțiuni, precum oferirea de informații personale sau sensibile (parolele sau detaliile cardului bancar), accesarea/ vizitarea unui site web fals sau instalarea unui program malware ce poate afecta dispozitivul victimei sau chiar permite preluarea acestuia.

Tipuri de atacuri de inginerie socială

Printre cele mai răspândite tipuri de atacuri de inginerie socială digitală se regăsesc:

■ Atacuri de tip phishing. Considerat cel mai uzual tip de atac de inginerie socială, phishingul reprezintă procesul prin care se încearcă obținerea de informații sensibile, cum ar fi numele de utilizator, parolele și detaliile cardului de credit, atacatorul impersonând o entitate de încredere. Atacurile sunt realizate prin intermediul e-mailurilor, mesajelor text sau prin telefon. Mesajele de phishing creează un sentiment de urgență, curiozitate sau teamă și vor determina victima să dezvăluie informații sensibile, să acceseze site-uri web rău intențio­nate sau să deschidă atașamente care conțin programe malware.

Atacuri de tip pretext. În acest caz, atacatorii se concentrează pe crearea unui pretext sau a unui scenariu fals, pe care îl vor folosi pentru a fura informațiile personale ale victimei. În aceste tipuri de atacuri, impostorul abuzează de identitatea unei entități sau a unui individ de încredere (de exemplu, pretinde că este o rudă, un polițist, un medic, un avocat, un angajat al băncii etc.) și cere anumite detalii de la victimă pentru a-i confirma identitatea. Dacă victima oferă informațiile cerute, atacatorul comite furt de identitate sau folosește datele pentru a întreprinde alte acțiuni rău intenționate.

■ Atacuri de tip „baiting”. Atacurile de tip „momeală” sunt foarte asemănătoare cu phishingul. Diferența principală constă în faptul că, pentru a atrage victima, acesteia i se oferă promisiunea unui bun. Atacatorii pot oferi soft­ware sau materiale digitale (de exemplu, muzică, filme etc.) gratuite pentru a păcăli utilizatorul să acceseze un anumit site web sau să introducă date de autentificare (nume utilizator și parolă).

■ Atacuri Quid Pro Quo. La fel ca în cazul atacurilor de tip „momeală”, atacurile quid pro quo promit ceva în schimbul informațiilor. Acest beneficiu ia de obicei forma unui serviciu, în timp ce pentru atacurile de tip „momeală” ia de obicei forma unui bun.

■ Atacuri de tip „scareware”. Scareware este o aplicație malițioasă care are ca obiectiv să sperie victima și să o determine să ia o acțiune rapidă într-un timp scurt. Se regăsește sub forma unei ferestre pop-up sau e-mailuri care avertizează că software-ul de securitate este învechit sau că a fost detectat conținut malițios pe dispozitiv. Astfel, victimele sunt păcălite să viziteze site-uri web malițioase sau să cumpere produse fără valoare. 

Cum recunoaștem un atac de tip inginerie socială

Există mai multe indicii care ne pot semnala un atac de inginerie socială, printre care se numără: Primim un mesaj neobișnuit de la un prieten; Cererea este urgentă; Propunerea primită sună prea bine ca să pară reală; Mesajul ne intensifică emoțiile de frică, curiozitate, furie, vină sau supărare; Mesajul conține greșeli ortografice; Primim ajutor nesolicitat; Persoana care ne-a contactat nu își poate dovedi identitatea; Adresa de e-mail a expeditorului este suspectă.

Cum ne protejăm de un astfel de atac? Așa cum ilustrează atacurile discutate mai sus, ingineria socială implică exploatarea psihologiei umane și a curiozității pentru a obține informații personale sau acces la dispozitivele victimei. Rămânând informați și punând în practică o serie de măsuri simple, ne putem pregăti și evita să cădem în capcanele întinse de infractorii cibernetici: nu deschidem e-mailuri sau atașamente primite din surse nesigure; nu deschidem site-uri web nesolicitate; utilizăm soluții antivirus pe dispozitivele noastre; pentru conturile noastre online folosim parole complexe și le schimbăm periodic; nu ne lăsăm dispozitivele nesupravegheate; suntem rezer­vați cu privire la oferte primite de la persoane străine care sună prea bine ca să fie adevărate; validăm autenticitatea mesajului sau identitatea persoanei.

(Pagină realizată în parteneriat cu ANIS, cu sprijinul companiei Zitec)