Какво е социално инженерство (social engineering) и как измамниците манипулират поведението ни?

За да открадне парола, банкови данни или достъп до социален профил, измамникът невинаги трябва да преодолява сложни технически защити. Понякога е достатъчно да спечели доверието ни, да ни уплаши или да ни убеди, че трябва да действаме незабавно. Този подход се нарича социално инженерство (social engineering). Как работи, кои психологически механизми използва и защо дори добре информирани хора могат да станат негова жертва?

Какво е социално инженерство?

Социалното инженерство е метод за манипулиране на хора, при който чрез заблуда, психологическо въздействие или злоупотреба с доверие се цели получаване на поверителна информация, достъп до системи, финансови средства или извършване на действие в полза на нападателя.

В киберсигурността понятието обхваща широк спектър от измами, които използват човешкото поведение като средство за заобикаляне на защитата.

Американският Национален институт за стандарти и технологии (NIST) определя социалното инженерство като измамно въздействие върху човек с цел разкриване на чувствителна информация, получаване на неразрешен достъп или извършване на злоупотреба.

За разлика от техническата кибератака, при която се експлоатира уязвимост в софтуер или устройство, при социалното инженерство основната цел е човекът да бъде убеден сам да съдейства.

Например вместо да разбива парола, измамникът може да се представи за техническа поддръжка и да поиска потребителят да му я съобщи.

Вместо да прониква в банковата система, може да убеди клиента да потвърди превод.

Вместо да преодолее защитата на социален профил, може да подведе неговия собственик да разреши достъп на злонамерено приложение.

Социалното инженерство не е една конкретна измама. То е общият механизъм зад множество различни схеми.

Защо социалното инженерство е толкова ефективно?

Повечето хора са свикнали да вземат решения въз основа на доверие, опит и социални правила.

Обикновено приемаме, че служител на банка има необходимите знания за банковите операции, че техническата поддръжка може да ни помогне при проблем и че познат колега има основателна причина да поиска определен документ.

Тези обичайни механизми на общуване улесняват ежедневието.

Измамниците обаче могат да ги използват, като се представят за лица, на които сме склонни да се доверим.

Те често създават ситуация, в която човек трябва да вземе решение под натиск.

Например получавате съобщение, че профилът ви ще бъде изтрит след 30 минути, ако не потвърдите самоличността си.

В подобен момент вниманието се насочва към предотвратяване на предполагаемата загуба, вместо към проверка на самоличността на подателя.

Социалното инженерство работи особено добре, когато измамната ситуация изглежда свързана с реални обстоятелства от живота или професионалната дейност на човека.

Шест психологически механизма, които използват измамниците

1. Авторитет – „Обаждаме се от банката“

Една от най-разпространените техники е представянето за човек с институционална или професионална власт.

Измамникът може да твърди, че е банков служител, полицай, адвокат, служител на държавна институция или специалист по сигурността.

Той използва официален език, професионални термини и уверено поведение, за да създаде впечатление за компетентност.

Целта е получателят да изпълни инструкциите, без да ги поставя под съмнение.

Но професионалният тон и познатото име на институцията не доказват самоличността на събеседника.

2. Спешност – „Имате само десет минути“

Измамниците често внушават, че времето за реакция е силно ограничено.

Може да твърдят, че банкова сметка ще бъде блокирана, плащане трябва да бъде потвърдено незабавно или профил в социална мрежа ще бъде изтрит.

Краткият срок е средство за психологически натиск.

Когато човек е принуден да действа бързо, вероятността да пропусне важна проверка може да се увеличи.

3. Страх – „Някой източва парите ви“

Заплахата от финансова загуба, санкция или загуба на достъп до важен профил е силен мотиватор.

Измамникът първо създава тревога, а след това предлага решение.

Така човек може да започне да възприема самия нападател като спасител.

Това е характерен механизъм при телефонните банкови измами.

4. Любопитство – „Вижте какво публикуваха за вас“

Не всички измами започват със заплаха.

Понякога примамката е любопитна информация, предполагаема снимка, видеозапис, тайна или документ.

Човекът е подканен да отвори файл или връзка, за да разбере повече.

Зад съдържанието може да стои фалшива страница за вход или опит за инсталиране на злонамерен софтуер.

5. Възнаграждение – „Спечелихте награда“

Измамникът обещава подарък, отстъпка, възнаграждение или изгодно предложение.

За да получи обещаното, човекът трябва да се регистрира, да предостави данни или да заплати определена такса.

Тук се използва желанието за получаване на полза.

Подобни сценарии могат да бъдат особено убедителни, когато са свързани с реални интереси или професионални дейности на получателя.

6. Доверие и взаимност – „Помагам ви, помогнете и вие“

Измамникът може да предложи услуга, съвет или съдействие, преди да поиска нещо в замяна.

Например се представя за технически специалист, който е открил проблем с профила ви и предлага безплатно отстраняване.

След това иска код за достъп или инсталиране на приложение.

Този подход използва естествената склонност на хората да отвръщат на оказана помощ.

Какви са основните видове социално инженерство?

Социалното инженерство може да се осъществява чрез различни комуникационни канали и методи.

Фишинг (phishing) – измамни електронни съобщения

При фишинга престъпниците изпращат съобщения, които се представят за легитимна кореспонденция от известни организации.

Целта може да бъде кражба на пароли, банкови данни или достъп до профили.

Подробно сме разгледали този механизъм в материала „Какво е фишинг (phishing) и как да се предпазим?“.

Спиър фишинг (spear phishing) – персонализирана измама

При тази разновидност нападателят предварително проучва конкретен човек или организация.

Използва публични данни за професията, контактите и интересите на жертвата, за да създаде убедителна примамка.

Например инфлуенсър може да получи фалшиво предложение за рекламно партньорство, съобразено с действителните му публикации.

Вижте и как работи спиър фишингът и как измамниците използват личната ни информация.

Вишинг (vishing) – телефонна манипулация

Вишингът използва телефонни разговори и друга гласова комуникация.

Измамникът може да се представи за банков служител и да поиска код за сигурност под претекст за защита на сметката.

Прочетете повече в статията „Какво е вишинг (vishing) и как да се предпазим от телефонни измами?“.

Смишинг (smishing) – измами чрез SMS

Смишингът използва текстови съобщения, например фалшиви известия за задържана пратка или неплатена глоба.

Потребителят се приканва да отвори връзка и да предостави данни.

Разгледайте конкретните сценарии в материала за смишинг и измамните SMS съобщения.

Куишинг (quishing) – измами чрез QR кодове

При куишинга опасният интернет адрес е скрит в QR код.

Той може да бъде поставен върху паркомат, рекламен плакат, билет или друг физически обект.

Повече за проверката на подобни кодове прочетете в „Какво е куишинг (quishing) и как QR кодовете могат да бъдат използвани за измами?“.

Претекстинг (pretexting) – измислена правдоподобна история

При претекстинга измамникът изгражда сценарий, който оправдава неговото искане.

Например се представя за служител от отдел „Човешки ресурси“, който трябва да потвърди данни, или за счетоводител, който проверява плащане.

Целта е искането за информация или достъп да изглежда логично в контекста на измислената ситуация.

Бейтинг (baiting) – примамка с обещана полза

Бейтингът използва привлекателно предложение или предмет, за да предизвика опасно действие.

Например безплатен софтуер, предполагаем подарък или намерена USB памет могат да служат като примамка.

В някои случаи крайният резултат е изтегляне на злонамерен файл или предоставяне на поверителни данни.

Quid pro quo – услуга срещу информация

При тази техника се предлага определена услуга или помощ в замяна на действие от страна на жертвата.

Например предполагаем технически специалист обещава да отстрани проблем, ако получи достъп до устройство или акаунт.

Общото между всички тези методи е опитът човекът да бъде подведен да извърши действие, което нарушава собствената му сигурност.

Как социалните мрежи подпомагат социалното инженерство?

Социалните платформи съдържат огромно количество публична информация.

Потребителите публикуват снимки, професионални контакти, интереси, месторабота, участия в събития и данни за текущи проекти.

Тази информация може да бъде използвана за създаване на убедителна измамна история.

Например престъпник може да види, че определен човек е участвал в конференция, и да му изпрати фалшива покана за следващото издание.

Може да използва името на реален работодател или партньор, за да изглежда съобщението достоверно.

При инфлуенсърите подобни атаки могат да бъдат насочени към рекламни договори, предложения за партньорство, достъп до платформи и управление на социални профили.

Важно е да се подчертае, че социалните мрежи не са причината за измамата. Проблемът е злонамереното използване на информацията и доверието между хората.

Измамите с фалшива техническа поддръжка

Една от най-характерните форми на социално инженерство е представянето за техническа поддръжка.

Човекът получава съобщение или обаждане, че има проблем с компютъра, електронната поща или социалния му профил.

Предлага се помощ за отстраняването му.

Следва искане да инсталира приложение за дистанционен достъп или да предостави определени разрешения.

При подобна ситуация нападателят може да получи контрол върху устройството или възможност да наблюдава действията на потребителя.

Трябва да се прави разлика между легитимната дистанционна техническа помощ и неочаквано предложение от непроверен събеседник.

Ключовият въпрос е дали самият потребител е потърсил услугата и дали е потвърдил самоличността на специалиста.

Как изкуственият интелект променя социалното инженерство?

Съвременните системи за изкуствен интелект позволяват създаване на убедителни текстове, изображения, синтетична реч и видеоматериали.

Тези технологии имат множество легитимни приложения, но могат да бъдат използвани и от измамници.

Генеративният изкуствен интелект улеснява съставянето на персонализирани съобщения, които изглеждат професионално написани.

Възможно е създаването на фалшиви снимки, гласови записи или видеоизображения, които имитират реални хора.

Така познатият глас или изображението на действителна личност невинаги са достатъчно доказателство за автентичност.

Особено внимание заслужават неочакваните искания за плащане, промяна на банкова информация или предоставяне на достъп, дори когато изглеждат отправени от познат човек.

По-широките рискове са разгледани в материала за злонамереното използване на изкуствен интелект.

Може ли социалното инженерство да се използва без интернет?

Да.

Социалното инженерство не е ограничено до електронната комуникация.

Например човек може да се представи за служител на доставчик и да поиска достъп до служебно помещение.

Възможно е да се опита да премине през контролирана врата непосредствено след упълномощено лице. Тази техника се нарича tailgating.

Може също да използва физически документи, фалшиви служебни карти или устни инструкции, за да получи информация.

Това показва, че социалното инженерство е преди всичко метод за злоупотреба с човешкото доверие, а не непременно компютърна техника.

Как да разпознаем опит за социално инженерство?

Няма един-единствен признак, който гарантира, че дадена ситуация е измамна.

Но има характерни предупредителни сигнали.

Обърнете внимание, ако някой:

• Създава усещане за неотложна опасност и изисква незабавно действие.
• Представя се за служител на институция, но отказва независима проверка на самоличността.
• Иска пароли, еднократни кодове или данни от банкови карти.
• Настоява да инсталирате непознато приложение или да предоставите дистанционен достъп.
• Изисква превод към нова банкова сметка по неочаквана инструкция.
• Моли да запазите разговора в тайна или да не се консултирате с други хора.
• Използва познати имена и вярна информация, но отправя необичайно искане.
• Опитва се да ви убеди, че проверката ще доведе до санкция, загуба или пропускане на възможност.

Особено важно е да не се приема, че човекът отсреща е надежден само защото знае истински подробности за вас.

Как да се защитим от социално инженерство?

Най-ефективната защита започва с навика за независима проверка.

Когато получите необичайно искане, не бързайте да го изпълнявате.

Свържете се с организацията чрез официален телефон, сайт или приложение, които сте намерили самостоятелно.

Не използвайте непременно координатите, предоставени в подозрителното съобщение.

При искания за финансови преводи, промяна на банкови сметки или предоставяне на чувствителна информация въведете допълнителна проверка.

Използвайте различни пароли за важните си профили и активирайте многофакторно удостоверяване.

Когато е възможно, предпочитайте устойчиви на фишинг методи като passkeys или хардуерни ключове за сигурност.

Преглеждайте редовно разрешенията на приложенията, които имат достъп до вашите социални профили, електронна поща и облачни услуги.

Ограничете ненужното публично разкриване на лична и организационна информация.

При съмнение е по-разумно да прекъснете комуникацията и да проверите фактите, отколкото да изпълните инструкция само защото събеседникът настоява.

Как бизнесът може да намали риска?

За организациите социалното инженерство представлява риск не само за информационната сигурност, но и за финансовата дейност, репутацията и отношенията с партньорите.

Няколко организационни правила могат значително да ограничат възможностите за злоупотреба.

При промяна на банкови данни на доставчик трябва да се изисква независима проверка чрез предварително установен контакт.

За значими плащания може да се прилага допълнително одобрение от второ упълномощено лице.

Достъпът до важни системи трябва да бъде предоставян само на хората, които действително се нуждаят от него.

Служителите трябва да знаят към кого да се обърнат при подозрително съобщение, обаждане или искане за достъп.

Особено важно е да могат да докладват съмнителна ситуация своевременно, без да се притесняват, че ще бъдат обвинени за самото получаване на измамно съобщение.

Организационната култура, която насърчава проверката, е съществена част от защитата.

Какво да направим, ако вече сме станали жертва?

Първата стъпка е да установите каква информация или достъп сте предоставили.

Ако сте съобщили парола, сменете я незабавно чрез официалната услуга.

Ако сте предоставили банкови данни или сте извършили превод под влияние на измамник, свържете се незабавно с банката.

Ако сте разрешили достъп на непознато приложение, отнемете разрешенията му и проверете активните сесии.

Ако сте инсталирали съмнителен софтуер, прекратете използването на устройството за чувствителни операции и потърсете техническа помощ.

При компрометиран служебен акаунт уведомете отговорното лице в организацията.

Запазете съобщенията, телефонните номера, документите и останалите доказателства.

При данни за престъпление можете да подадете сигнал до полицията или чрез портала за киберпрестъпност на ГДБОП.

Най-важният принцип: проверявайте искането, а не само самоличността

Съвременните измами стават все по-убедителни, защото използват действителни имена, реални обстоятелства, професионално оформени съобщения и технологии за имитация на човешко поведение.

Но основният механизъм остава сходен: човекът трябва да бъде убеден да направи нещо, което е в интерес на нападателя.

Затова защитата не се състои единствено в разпознаване на фалшиви имейли, опасни линкове или подозрителни телефонни номера.

Тя изисква да задаваме и няколко основни въпроса:

Защо получавам това искане? Очаквах ли го? Има ли основание да предоставя тази информация? Мога ли да проверя независимо кой я иска?

Доверието е необходимо за общуването, но не трябва да замества проверката, когато става дума за пари, лични данни и достъп до дигиталната ни идентичност.

Това е най-важният урок от социалното инженерство – често най-силната защита е способността да разпознаем момента, в който някой се опитва да управлява решението ни чрез страх, авторитет или обещание за полза.