Zapomnij o hollywoodzkiej wersji hakowania. Dzięki mediom społecznościowym nie masz do czynienia ze świecącym zielonym kodem ani skomplikowanymi backdoorami. Prawdziwe ataki socjotechniczne nie wymagają żadnych umiejętności technicznych. Opierają się na czymś znacznie bardziej niebezpiecznym: ludzkiej psychologii.
Większość ludzi myli „hakowanie” ze złośliwym oprogramowaniem lub wykorzystywaniem luk w kodzie. Ale inżynieria społeczna w sieciach społecznościowych to coś innego. To jest gra zaufania. Atakujący wykorzystują dane osobowe, które dobrowolnie przesyłasz, aby zdobyć zaufanie nieznajomych. Nie przenikają do systemu. Są zaproszeni do wejścia.
Czynnik ludzki jest najsłabszym ogniwem
Tradycyjne systemy bezpieczeństwa są niezawodne. Zapory sieciowe działają. Szyfrowanie działa. Ludzie nie.
Inżynieria społeczna wykorzystuje najsłabsze ogniwo w bezpieczeństwie informacji: Ty i ja. Używa perswazji, strachu lub poczucia pilności, aby ominąć logiczne kontrole bezpieczeństwa. Rozważmy te klasyczne przykłady:
- Rozmówca udający wściekłego dyrektora, który zapomniał hasła i żąda natychmiastowego dostępu.
- Fikcyjny pracownik banku proszący o dane karty kredytowej w celu „zweryfikowania” konta.
- Mężczyzna udający, że zgubił plakietkę i proszący o przytrzymanie drzwi do biura.
To nie są scenariusze science fiction. Zdarzają się codziennie. Cel jest prosty: ominąć technologię, oszukując osobę za ekranem.
Twój profil publiczny to mapa skarbów
Tworząc profil w mediach społecznościowych, prawdopodobnie skupiasz się na nawiązywaniu kontaktów. Rzadko myślisz o zagrożeniach bezpieczeństwa. Każdy publikowany przez Ciebie szczegół ułatwia atakującemu wykorzystanie tego zaufania.
Wyobraź sobie, że jesteś inżynierem. Prowadzisz bloga na temat poufnego, niepublikowanego projektu na swojej stronie na Facebooku. Napastnik to widzi. Zna twoje imię. Zna twoją rolę. Zna twoją firmę.
Tworzy profil imitujący kolegę z tej samej firmy. Kiedy się z tobą skontaktuje, jesteś już skłonny mu zaufać. Jest „jednym z nas”. Gdy nawiążesz kontakt, może on spróbować ukraść Twoje hasło lub zastrzeżone dane, aby sprzedać je konkurencji. Wszystko to jest możliwe, ponieważ otwarcie podzieliłeś się swoim kontekstem zawodowym.
Iluzja „tylko dla przyjaciół”.
Większość sieci obiecuje bezpieczeństwo. Twierdzą, że tylko Twoi „znajomi” mają pełny dostęp do Twojego profilu. To brzmi wiarygodnie. Ale to nieprawda.
Ta funkcja działa tylko wtedy, gdy jesteś wyjątkowo selektywny. Jeśli akceptujesz prośby o dodanie do grona znajomych od wszystkich, zapraszasz chaos. Jeden z tych obcych jest najprawdopodobniej intruzem.
Głównym problemem internetowych sieci społecznościowych jest brak wbudowanego uwierzytelniania. Nie ma systemu, który mógłby udowodnić, że dana osoba jest tym, za kogo się podaje. Na platformie takiej jak LinkedIn osoba atakująca może utworzyć profil, który idealnie pasuje do zainteresowań biznesowych ofiary.
Gdy zaakceptujesz połączenie, uzyska ono dostęp do Twojego kręgu znajomych. Widzi Twoje kontakty. Widzi Twoje posty. Widzi twoje powiązania. Dzięki tej karcie może zbudować złożony plan kradzieży tożsamości. Nie musi hakować serwera. Wystarczy, że klikniesz „Akceptuj”.
Świadomość to Twoja jedyna obrona
Nie ma poprawki oprogramowania na paranoję. Jedyną obroną przed inżynierią społeczną w mediach społecznościowych jest świadomość.
Powinieneś wiedzieć, że tacy napastnicy istnieją. Trzeba uważać na to, co publikujesz. Ale co ważniejsze, oszustwo należy rozpoznać w momencie, gdy do niego dochodzi, a nie wtedy, gdy szkody już zostały wyrządzone.
Jeśli każdą interakcję w Internecie potraktujesz jako potencjalny test swojego zaufania, możesz przetrwać to spotkanie. A może po prostu zostaniesz następną statystyką.
Następnie przyjrzymy się, w jaki sposób specjaliści IT mogą korzystać z tych samych sieci, aby rozwijać swoją karierę, nie wpadając w pułapkę.
