Претекстинг — это тип атаки социальной инженерии , которая включает ситуацию или предлог , созданный злоумышленником, чтобы заманить жертву в уязвимое положение и обманом заставить ее предоставить личную информацию, в частности информацию, которую жертва обычно не предоставила бы вне контекста предлога. [1] В своей истории претекстинг был описан как первый этап социальной инженерии и использовался ФБР для помощи в расследованиях. [2] Конкретным примером претекстинга является обратная социальная инженерия, при которой злоумышленник обманом заставляет жертву сначала связаться с ним.
Причиной распространенности предлогов среди атак социальной инженерии является их зависимость от манипулирования человеческим разумом для получения доступа к информации, необходимой злоумышленнику, а не от манипулирования технологической системой. При поиске жертв злоумышленники могут обращать внимание на различные характеристики, такие как способность доверять, низкое восприятие угрозы, реакция на авторитет и восприимчивость к реакции со страхом или волнением в различных ситуациях. [3] [4] На протяжении всей истории атаки предлогов становились все более сложными, эволюционировав от манипулирования операторами по телефону в 1900-х годах до скандала с Hewlett Packard в 2000-х годах, в котором использовались номера социального страхования , телефоны и банки . [5] Современные образовательные рамки социальной инженерии используются в организациях, хотя исследователи в академических кругах предложили возможные улучшения этих рамок. [6]
Социальная инженерия — это тактика психологической манипуляции , которая приводит к нежелательной или неосознанной реакции цели/жертвы. [7] Это одна из главных угроз информационной безопасности в современном мире, влияющая на организации, управление бизнесом и отрасли. [7] Атаки социальной инженерии считаются труднопредотвратимыми из-за их истоков в психологической манипуляции. [8] Эти атаки также могут достигать более широких масштабов. В других атаках на безопасность может быть взломана компания, которая хранит данные клиентов. При атаках социальной инженерии как компания (в частности, работники внутри компании), так и непосредственно клиент могут стать целью. [8]
Примером может служить банковская сфера, где атакам могут подвергаться не только сотрудники банка, но и клиенты. Преступники социальной инженерии напрямую нацелены на клиентов или сотрудников, чтобы обойти попытки взломать чисто технологическую систему и использовать человеческие уязвимости. [8]
Хотя определение социальной инженерии в отношении кибербезопасности в разной литературе трактуется по-разному, общей темой является то, что социальная инженерия (в кибербезопасности) использует уязвимости человека для взлома таких объектов, как компьютеры и информационные технологии. [2]
В настоящее время по социальной инженерии мало литературы и исследований. Однако основная часть методологии при исследовании социальной инженерии заключается в создании выдуманного предлога. При оценке того, какие атаки социальной инженерии являются наиболее опасными или вредоносными (например, фишинг , вишинг , water-holing ), тип предлога является в значительной степени незначительным фактором, поскольку некоторые атаки могут иметь несколько предлогов. Таким образом, сам предлог широко используется не только как отдельная атака, но и как компонент других. [9]
В кибербезопасности претекстинг можно считать одним из самых ранних этапов эволюции социальной инженерии. Например, в то время как атака социальной инженерии, известная как фишинг, опирается на современные предметы, такие как кредитные карты, и в основном происходит в электронном пространстве, претекстинг был и может быть реализован без технологий. [10]
Претекстинг был одним из первых примеров социальной инженерии. Придуманная ФБР в 1974 году концепция претекстинга часто использовалась для помощи в их расследованиях. На этом этапе претекстинг состоял из звонка злоумышленника жертве, просто спрашивая информацию. [2] Атаки с претекстингом обычно состоят из тактики убеждения. После этой начальной фазы развития социальной инженерии (1974–1983) претекстинг изменился не только с тактики убеждения, но и с тактики обмана. По мере развития технологий методы претекстинга развивались вместе с ними. Вскоре хакеры получили доступ к более широкой аудитории жертв благодаря изобретению социальных сетей. [2]
Обратная социальная инженерия — более конкретный пример предлога. [11] Это неэлектронная форма социальной инженерии, при которой злоумышленник создает предлог, с помощью которого пользователь манипулируется, чтобы сначала связаться со злоумышленником, а не наоборот.
Обычно атаки обратной инженерии включают в себя рекламу злоумышленником своих услуг как типа технической помощи, создавая доверие. Затем жертву обманывают, заставляя связаться с злоумышленником после просмотра рекламы, без прямого контакта злоумышленника с жертвой в первую очередь. После того, как злоумышленник успешно выполняет атаку обратной социальной инженерии, тогда может быть установлен широкий спектр атак социальной инженерии из-за фальсифицированного доверия между злоумышленником и жертвой (например, злоумышленник может дать жертве вредоносную ссылку и сказать, что это решение проблемы жертвы. Из-за связи между злоумышленником и жертвой жертва будет склонна поверить злоумышленнику и нажать на вредоносную ссылку). [12]
Претекстинг был и продолжает считаться полезной тактикой в атаках социальной инженерии. По мнению исследователей, это связано с тем, что они не полагаются на технологии (такие как взлом компьютерных систем или технология взлома ). Претекстинг может происходить в сети, но он больше зависит от пользователя и аспектов его личности, которые злоумышленник может использовать в своих интересах. [13] Атаки, которые больше зависят от пользователя, сложнее отслеживать и контролировать, поскольку каждый человек по-разному реагирует на атаки социальной инженерии и претекстинга. Однако прямая атака на компьютер может потребовать меньше усилий для решения, поскольку компьютеры работают относительно схожими способами. [13] Существуют определенные характеристики пользователей, которые злоумышленники выявляют и на которые нацеливаются. В академической среде некоторые общие характеристики [14] :
Если жертва «ценна», это означает, что у нее есть некая информация, которая нужна социальному инженеру. [3]
Доверие идет рука об руку с симпатией, поскольку обычно чем больше кто-то нравится, тем больше ему доверяют. [14] Аналогично, когда между социальным инженером (злоумышленником) и жертвой устанавливается доверие, также устанавливается и доверие. Таким образом, жертве легче разгласить личную информацию злоумышленнику, если жертва более способна доверять. [4]
Насколько легко человек реагирует на события и в какой степени это может быть использовано в пользу социального инженера. В частности, такие эмоции, как волнение и страх, часто используются для того, чтобы убедить людей раскрыть информацию. Например, может быть создан предлог, в котором социальный инженер дразнит жертву захватывающим призом, если она согласится предоставить социальному инженеру свою банковскую информацию. Чувство волнения может быть использовано, чтобы заманить жертву в предлог и убедить ее предоставить злоумышленнику искомую информацию. [14]
Несмотря на понимание того, что существуют угрозы при выполнении чего-либо в сети, большинство людей будут совершать действия, противоречащие этому, например, нажимать на случайные ссылки или принимать неизвестные запросы на добавление в друзья. [14] Это происходит из-за того, что человек воспринимает действие как имеющее низкую угрозу или негативные последствия. Это отсутствие страха/угрозы, несмотря на осознание ее наличия, является еще одной причиной, по которой атаки социальной инженерии, особенно предлоги, распространены. [15]
Если жертва покорна и послушна, то вероятность успеха нападения у нападающего выше, если будет создан предлог, при котором жертва будет думать, что нападающий выдает себя за некую авторитетную фигуру. [14]
В статье за октябрь 1984 года Switching centers and Operators подробно описывалась распространенная в то время предлоговая атака. Злоумышленники часто связывались с операторами, которые работали специально для глухих людей, используя телетайпы. Логика заключалась в том, что эти операторы часто были более терпеливыми, чем обычные операторы, поэтому их было легче манипулировать и убеждать в получении информации, необходимой злоумышленнику. [2]
Ярким примером является скандал с Hewlett Packard . Компания Hewlett Packard хотела узнать, кто сливал информацию журналистам. Для этого они предоставили частным детективам персональные данные сотрудников (например, номера социального страхования), а частные детективы, в свою очередь, звонили в телефонные компании, выдавая себя за этих сотрудников, в надежде получить записи звонков. Когда скандал был раскрыт, генеральный директор ушел в отставку. [16]
В целом, социальные боты — это управляемые машиной поддельные профили в социальных сетях, используемые злоумышленниками, занимающимися социальной инженерией. На таких сайтах социальных сетей, как Facebook, социальные боты могут использоваться для массовой рассылки запросов на добавление в друзья, чтобы найти как можно больше потенциальных жертв. [5] Используя методы обратной социальной инженерии, злоумышленники могут использовать социальных ботов для получения огромного количества личной информации о многих пользователях социальных сетей. [17] В 2018 году мошенник выдавал себя за предпринимателя Илона Маска в Twitter , изменяя его имя и фотографию профиля. Он приступил к инициированию обманного мошенничества с раздачей подарков, обещая умножить криптовалюту, отправленную пользователями. Впоследствии мошенник удерживал отправленные им средства. Этот инцидент служит примером того, как предлог использовался в качестве тактики в атаке с использованием социальной инженерии. [18]
Текущие образовательные рамки по теме социальной инженерии делятся на две категории: осведомленность и обучение. Осведомленность — это когда информация о социальной инженерии предоставляется предполагаемой стороне, чтобы информировать ее о теме. Обучение — это, в частности, обучение необходимым навыкам, которые люди изучат и будут использовать в случае, если они подвергнутся атаке социальной инженерии или могут столкнуться с ней. [6] Осведомленность и обучение можно объединить в один интенсивный процесс при построении образовательных рамок.
Хотя были проведены исследования успешности и необходимости программ обучения в контексте образования в области кибербезопасности, [19] до 70% информации может быть потеряно, когда дело доходит до обучения социальной инженерии. [20] Исследование обучения социальной инженерии в банках по всему Азиатско-Тихоокеанскому региону показало, что большинство структур касались только осведомленности или обучения. Кроме того, единственным типом атаки социальной инженерии, которому обучали, был фишинг. Рассматривая и сравнивая политики безопасности на веб-сайтах этих банков, можно сказать, что политики содержат обобщенный язык, такой как «вредоносное ПО» и «мошенничество», а также упускают подробности, лежащие в основе различных типов атак социальной инженерии, и примеры каждого из этих типов. [6]
Это обобщение не приносит пользы пользователям, обучаемым этими фреймворками, поскольку значительная глубина отсутствует, когда пользователь обучается только общим терминам, как в примерах выше. Кроме того, чисто технические методы борьбы с социальной инженерией и предлоговыми атаками, такие как брандмауэры и антивирусы , неэффективны. Это происходит потому, что атаки социальной инженерии обычно включают эксплуатацию социальных характеристик человеческой природы, поэтому чистое противодействие технологиям неэффективно. [21]