Ако не сте чували какво е „социално инженерство“ или „инженерия“, както казва, че е правилно да го наричаме днешният ни гост, сигурно си представяте сюжет като от „Франкенщайн“ – инженерът си прави човек… Или пък от конспиративните теории за контрол на масите.

Независимо дали сте го чували обаче, важно е все повече да си говорим по тази тема. Защото става дума за най-опасната и най-ефективната атака в дигиталния свят. Която не засяга компютри, мрежи, сървъри или програми, а най-слабото звено във веригата: човека.

„Днес пробивите в киберсигурността стават все по-често през социалната инженерия – метод, който използва манипулации и манипулативни техники, така че хората да бъдат измамени и така да бъде получен достъп до чувствителна информация“, казва специалистът по киберсигурност Пламен Цветанов.

Но кои са най-важните стъпки, за да се предпазим? Какви са най-големите рискове да подценим човек, от другата страна? Защо доверието онлайн трябва да бъде дефицитна стока? Темата е важна за всеки, дори да не си дава сметка…

Инж. Социален

Гостът ни определено знае какво говори, темата го вълнува от десетилетия. Преди повече от 20 години Пламен Цветанов започва да издава култовото списание „Хакер“, което, както пише на корицата, разказва „за тъмната страна на нещата“. Самото издание има прелюбопитна история, която си струва да разкажем отделно. Но в него, още в първите години на хилядолетието, Пламен пише за социалната инженерия – кибератаката, която е насочена не към технологиите, а към потребителя. Ето защо е важен опитът, който ще сподели…, идващ и от двете страни на барикадата.

„Хората често са слабата връзка в киберсигурността“, казва днешният ни гост. „Например, те могат да бъдат подведени да споделят пароли или лична информация чрез фалшиви имейли, социални мрежи или телефонни обаждания. За да се предпазите от такива атаки, е важно да бъдете внимателни, винаги да проверявате и удостоверявате идентичността на онези, които искат чувствителна информация“.

„Социалната инженерия е формата, използвана при над 80% от кибератаките по статистика на ФБР и на Европейската агенция по киберсигурност. Тя е плацдарм и за други, още по-опасни пробиви, но и самата тя е атака от най-чист и плашещ вид.“

Не хакнеш ли, ще те хакнат

Естествено, няма как да пропусна да попитам Пламен дали сам не е ставал жертва на подобен проблем. Оказва се, че не, но пък… се случило на баща му.

„Той беше служител в Министерството на вътрешните работи, над 30 години преподаваше „Оперативно издирвателна дейност“, един от най-големите криминалисти и профайлъри. И… загуби огромна сума след подобна атака“, разказва Пламен. Ето един повече от сигурен знак, че никой не е застрахован и всеки си струва да бъде нащрек онлайн.

В случая с бащата на нашия гост е избран претекстинг. Този тип социална инженерия изиства щателно проучване и добра подготовка. Атакуващият опознава жертвата, влиза в комуникация с нея, успявайки да я убеди да сподели информация, която в никакъв случай не би трябвало.

„Става дума за разновидност на популярните преди телефонни измами“, допълва Пламен. „Най-често ставаше дума за обаждане от човек, който се представя за здравен служител в спешно отделение, който убеждаваше хората, да „спасят“ своя уж пострадал близък, на когото се налага спешна операция.“

И така, след като… криминалист с 30-годишен опит се поддава, наистина ли мислите, че някой би могъл да бъде сигурен?

Хак да му е

Социалната инженерия може да се яви в много неочаквани форми и ситуации. Някои от тях включват:

• Физическа социална инженерия

Например, ако някой се представя за работник на доставчик на услуги или техническа поддръжка, за да получи достъп до сграда или компютърна система.

• Използване на обществени събития

Атакуващият може да е ролята на участник в благотворително събитие или конференция, за да събере информация от хората, които присъстват.

• Фалшиви кампании за социални медии

Нападателите могат да създадат фалшиви профили, понякога копиращи оригиналните, за да се приближат до целите си, като се представят за приятели или колеги.

• Физически подаръци или зарибяване

Могат да използват подаръци, като флашпамети или други устройства, които да съдържат зловреден софтуер.

• Фалшива поддръжка на клиенти

Атакуващите могат да се представят за служители на компании, за да съберат информация от потребителите чрез телефонни обаждания или имейли.

Разбира се, примерите са условни дотолкова, доколкото граници няма. Днешната мрежа дава толкова много възможности за подобен тип атаки, които са ограничени само от въображението на „социалните инженери“.

Лайкове всекиму, доверие – никому

„За съжаление, огромна част от хората и бизнеса си мислят, че „на нас“ не могат да ни се случат подобни неща!“, обобщава Пламен.

И ако започнахме с телефонните измами, при които потенциалните пострадали бяха основно по-възрастни хора, то от социалната инженерия и безбройните ѝ форми никой не е застрахован:

• Обикновени потребители

Всеки, който използва интернет и социални мрежи, може да бъде цел на социална инженерия. Например, хората могат да бъдат подведени да кликнат на вредни връзки или да споделят чувствителна информация в резултат на фалшиви имейли или съобщения в социални мрежи.

• Бизнеси и организации

Корпорации, малки бизнеси и други организации също са податливи на социална инженерия. Атаки, като например фишинг и бизнес измами, могат да нанесат сериозни щети на бизнеса, като изложат чувствителна информация или предизвикат директни финансови загуби.

• Публични, известни личности, инфлуенсъри

Хората със сериозно публично присъствие са още по-„ценна“ жертва на социална инженерия.

• Служители

Социалната инженерия може да се използва, за да се манипулират служителите на дадена организация, така че да разкрият чувствителна информация или да извършат действия, които биха могли да бъдат вредни за работното им място.

Герои на нашето време

И ако технологиите се променят постоянно, същото важи и за атаките. Както стана дума, Пламен Цветанов следи темата повече от две десетилетия и ето някои от нещата, които са се променили за това време:

• Ръст на социалния ландшафт онлайн

Социалните мрежи и онлайн платформите днес са неизменна част от ежедневието ни. Това отваря нови възможности за социална инженерия, като фалшиви новини, дезинформация и манипулации чрез социалните медии.

• Развитие на изкуствения интелект и дийпфейк

С напредъка на технологиите днес е по-лесно от всякога да се създадат реалистични фалшиви видео и аудио, които да бъдат използвани за манипулации и измами.

• По-целенасочени атаки и персонализирани манипулации

Атаките на социална инженерия често са по-персонализирани. Злоумишлениците използват данните за поведението и предпочитанията на хората, за да създадат манипулативни съобщения, които е по-вероятно да постигнат целта си.

• По-широко информиране, обучение по киберсигурност и осведоменост

За сметка на това, че социалната инженерия се развива, се забелязва и по-голямо внимание към киберсигурността, повече обучения и осведоменост по темата. Организациите и отделни хора все повече оценяват и се стремят да разберат рисковете и да се предпазят от потенциални атаки.

В крайна сметка именно затова сме се събрали и тук, за да помогнем повече хора да се замислят, когато получат следващия имейл, следващото съобщение, прочетат следващата новина, които им изглеждат съвсем истински. Поне първосигнално…

Хакнат каша духа

Но кое е най-важното, за да се предпазим? С извинение за повторението…, да бъдем предпазливи. Или, както казва Пламен, по-добре да духаме кашата, отколкото да се опарим, след това „пареният“ така или иначе го прави.

Що се отнася до компаниите, единственото решение е комбинацията от много фактори – осведоменост, процедури за сигурност, технологични решения. И доколкото не винаги служителите обръщат внимание на скучноватите клипове или уроци на живо, задължително е редовно да се правят тестове и симулации. Защото едно е да четеш абстрактни размисли, а друго – да се подведеш и да кликнеш убедително изглеждащия линк в служебния имейл…, който обаче се оказва, че е изпратен от специалистите по киберсигурност, успели да ти покажат, че всеки може да се подведе.

И ако за тези страни на социалната инжерия си говорим доста, сравнително встрани остава гледната точка, според която социална инженерия е и… отношението на самите социални платформи към нас. Алгоритмите им, които ни затварят в балоните на филтрите, маркетинговите им подходи. Дори начинът, по който днес формират обществения дневен ред, определено и категорично също са форма на социална инженерия, съгласен е специалистът по киберсигурност.

А всичко това ще се задълбочава, благодарение и на генеративните технологии. Както показа експериментът на Дигитални истории, вече е въпрос на минути и минимални технически познания човек да генерира изцяло измислен от алгоритмите онлайн „герой“. А оттук до това той да се превърне в оръжие на социалната инженерия пътят е кратък…

Едно наум

„По никакъв начин не можем да кажем, че са измислени всички форми на социална инженерия“, казва Пламен. „Този вид атаки и манипулации постоянно еволюират и се приспособяват към новите технологии, обществения и културен контекст, към промените в поведението на хората. Напредъкът в технологиите, особено в областта на изкуствения интелект и социалните мрежи, може да открие нови възможности за манипулация и атаки“.

И още нещо, социалната инженерия не е ограничена само до цифровия свят. „Тя може да се извършва и в реалния живот, като се използват психологически техники и манипулации“, обобщава специалистът. „Важно е да се осъзнае, че социалната инженерия е продукт на човешката креативност и манипулативни умения. Затова трябва да бъдем постоянно бдителни, да развиваме критично мислене и да бъдем информирани за потенциалните заплахи, които може да срещнем както он-, така и офлайн“.

Преди да се разделим, Пламен казва нещо, което смята за неписан закон, а на мен ми остава само да се присъединя. „Доверието не бива да съществува в интернет! По-добре бъдете параноици, отколкото да изгорите.“ (Още за нашия гост и работата му ще намерите тук.

Е, аз искрено се надявам, че с Дигитални истории съм успял да заслужа доверието ви за това, че се опитвам да събирам важни късчета информация, истории, които ни позволяват да се ориентираме в суматохата на технологичното настояще. Но ако случайно видите да ви рекламирам казина, криптовалути или някого, за когото да гласувате… да, онлайн оригиналите почти винаги могат да бъдат различени от фалшификати. Достатъчно е обаче най-важното и може би най-дефицитното качество днес. Здравият разум…