Пользователь, которому предлагают починить программу после передачи кода, может воспринять это условие как техническую формальность. Проблема мешает работе, а собеседник выглядит компетентным и уже объясняет порядок ремонта, поэтому смысл запрошенной операции легко упустить. В социальной инженерии кви про кво, quid pro quo, означает обещание услуги или выгоды за действие, нужное атакующему. Посмотрим, как оценивать такое предложение, пока обещанный ремонт не закончился чужим доступом.
Собеседник знает имя руководителя, правильно называет проект и объясняет, зачем ему нужен документ, поэтому разговор выглядит продолжением работы. Но прежде чем отправлять сведения, всё равно придётся установить, кто их запрашивает и имеет ли он право их получить. Претекстинг использует как раз такую подмену. Человеку предлагают вымышленную роль и обстоятельства, под которые просьба выглядит естественной. Посмотрим, как устроена легенда и где её проверять.
Поддельная страница входа, звонок из «поддержки» и посетитель без пропуска могут решать одну задачу. Добиться действия, на которое у постороннего нет права. Но называть все три случая почтовым фишингом было бы странно. Социальная инженерия охватывает обман и манипуляцию людьми. Фишинг входит в эту область и использует обманные сообщения и ресурсы. Разберём, где проходит различие и почему оно полезно для защиты.
Обычно мошенник сам ищет собеседника, когда звонит, пишет или пытается попасть в офис. При обратной социальной инженерии он заранее подготавливает контакт помощи, к которому пользователь обращается самостоятельно, столкнувшись с настоящей или вымышленной проблемой. Поскольку человек сам выбрал, куда обратиться, у него может быть меньше сомнений в помощнике. Однако найденный номер или страницу мог разместить злоумышленник, поэтому самостоятельный звонок ещё не подтверждает, что пользователь попал в настоящую поддержку.
Сотрудник может без ошибок объяснить, что такое фишинг, а через час выполнить ложное поручение в рабочем чате. Название атаки он знает, а вот что делать со срочной просьбой от «руководителя», в компании так и не объяснили. На обучении стоит отрабатывать действия, которые понадобятся в такой ситуации, например подтверждение новых реквизитов, обращение в настоящую поддержку или сообщение об уже переданном коде. Ниже приведена программа, в которой эти навыки можно проверить на рабочих задачах.
Совет проверять отправителя мало помогает, когда письмо приходит из настоящей захваченной почты поставщика. А требование никому не доверять плохо сочетается с работой, в которой приходится помогать клиентам и выполнять поручения, поэтому сотруднику нужны понятные правила проверки конкретных операций. Разберём, как проверять запросы на деньги и доступ, что должна подготовить компания и куда обращаться, если опасное действие уже выполнено.
В одном списке методов социальной инженерии легко встретить фишинг, звонок из поддержки, подброшенную флешку и обещание бесплатной услуги. Разобраться в таком перечне непросто. Одни названия описывают канал связи, другие объясняют легенду, третьи говорят о том, как человек оказался в разговоре. Разложим эти названия по смыслу и посмотрим, как они соединяются в одной атаке. Это пригодится и для обучения сотрудников, и для разбора реального инцидента.
Злоумышленник может получить пароль, просто убедив владельца его сообщить. Для этого он придумывает правдоподобный повод, представляется подходящим человеком и подводит собеседника к действию, которое даст ему нужные сведения или доступ. Так устроена социальная инженерия, при которой получатель сам отправляет документ, переводит деньги или разрешает подключиться к компьютеру. При этом просьба может выглядеть совершенно рабочей, поэтому сотрудник выполняет привычную операцию и замечает подмену уже после неё. Разберём, как злоумышленник использует знакомую ситуацию и на каком шаге его просьба требует проверки.