Mivel az IT-technológia fejlődésével a kiberbűnözők lehetőségei is sokasodnak, az ellenük való védekezési módszereknek is folyamatosan fejlődniük kell. Azonban hiába adottak erre a technikai lehetőségek, ha a felhasználók óvatlanok.
Christopher Hadnagy definíciója szerint „a social engineering a megtévesztés, a manipuláció és a befolyásolás művészete, amellyel ráveszünk egy embert arra, hogy olyat tegyen, ami veszélyezteti saját vagy a szervezete biztonságát”. Az ilyen típusú nyomásgyakorlás egyáltalán nem újkeletű dolog, hiszen ehhez technikai háttér egyáltalán nem szükséges. Azonban az információtechnológia rohamos fejlődésének köszönhetően a csalók eszköztára is bővült. Az életünket megkönnyítő technikai vívmányok új lehetőségeket kínálnak a bűnözők számára is, akik így már számtalan módon és csatornán keresztül bevethetik ellenünk a pszichológiai befolyásukat.
Manapság a social engineering vált az adatbiztonság egyik legsúlyosabb problémájává. A támadások megtervezéséhez és személyre szabásához szükséges adatok gyorsan és egyszerűen beszerezhetők az interneten elérhető nyilvános adatbázisokból vagy a közösségi médián elérhető tartalmakból.
Sajnos a mesterséges intelligencia, a gépi tanulás és az adatelemzés fejlődése nagymértékben segíti a bűnözőket abban, hogy pontos és személyre szabott támadásokat hajtsanak végre. Az automatizált chatbotok részvételének köszönhetően pedig a kiberbűnözők kevesebb idő és erőforrás felhasználásával jóval több támadást tudnak végrehajtani. A deepfake technológiával készült hamis hang- és képüzenetek rendkívül megtévesztőek lehetnek az áldozat számára, aki ezért gondolkodás nélkül végrehajtja „főnöke” utasításait.
2024-ben Oroszországhoz köthető kiberbűnözők hamis vacsorameghívásokat küldtek német CDU-politikusoknak. Amikor ezeket az email-üzeneteket megnyitották, egy trójai kártevő települt fel a képviselők számítógépeire.
2026-ban ugyancsak a CDU politikusai ellen hajtották végre azt az adathalász támadáshullámot, ami a Signal üzenetküldő alkalmazáshoz kötődött. Ennek során a politikusokat social engineering módszerekkel rávették arra, hogy megadják jelszavukat, vagy beolvassák a kiberbűnözők által küldött QR-kódokat.
A social engineering pszichológiai háttere
A támadók manapság az emberi tényező gyengeségét és a digitális technológia által nyújtott lehetőségeket egyaránt kihasználják. A folyamat alapja az egyének megtévesztése és manipulálása annak érdekében, hogy a támadó információhoz jusson. Oroszi Eszter 2017-ben írt tanulmánya szerint a social engineer olyan általános emberi tulajdonságokat használ ki, melyek velünk születettek: segítőkészség, naivitás, nyitottság, kíváncsiság, befolyásolhatóság, lustaság, hanyagság, rajongás stb. A csalók legtöbbször arra törekednek, hogy áldozatukat olyan lélektani helyzetbe hozzák, hogy emberi ösztöneinek engedve, automatikusan cselekedjen.
A social engineering támadások lebonyolítása
A támadás első lépése mindig a kiszemelt célponttal kapcsolatos információk begyűjtése. Ezt követően kerül sor a bizalmi kapcsolat kiépítésére és annak kihasználására, majd ezután a támadás végrehajtására.
A sebezhetőséget nagymértékben növeli, ha az áldozat nincs tisztában az információk értékével, ha a vállalati rendszerekhez emelt szintű hozzáférésekkel rendelkezik, ha nem ismeri a személyazonosság és jogosultság ellenőrzésére vonatkozó eljárásrendeket, ha nem részesül rendszeres IT-biztonsági oktatásban, illetve ha rutinszerűen nem tartja be az ott tanult szabályokat. Ha elvonatkoztatunk a munkahelyi környezettől, különösen veszélyeztetettek a gyermekek és az idősek. Előbbiek a túlzott naivitásuk és a trendinek vélt dolgok meggondolatlan követése által, utóbbiak pedig a szükséges ismeretek hiánya miatt.
Social engineering támadásra utaló jelek
Annak érdekében, hogy ne váljunk áldozattá, már a folyamat elején sokat tehetünk, ugyanis vannak olyan jelek, melyek felhívhatják a figyelmünket a veszélyre.
- Gyakran előfordul, hogy a bűnözők a bennfentesség látszatát keltik. Ehhez sok szakkifejezést és szlenget használnak, valamint innen-onnan felcsipegetett belsős információkat osztanak meg.
- A csalók gyakran olyan szakmát vagy társadalmi státuszt választanak, melyhez az emberek a megbízhatóságot társítják. Emellett azt is kihasználják, hogy az emberek tisztelik a tekintélyt, ami miatt nagyobb valószínűséggel követik a kapott utasításokat.
- A támadók gyakran sürgetik az áldozatuk döntését akár fenyegetéssel, akár pozitív előny felkínálásával. Céljuk, hogy ne legyen idő alaposan átgondolni a kérés teljesítésének következményeit. Az üzenet hangneme lehet félelemkeltő, fenyegető, benne érzelmi manipuláció jelei figyelhetők meg.
- A támadók gyakran hivatkoznak valakire (például barátra, kollégára, felettesre), ezáltal nyomást gyakorolnak ránk. Mivel az emberek szívesen követik mások példáját, a csalók gyakran hivatkoznak a többiek véleményére, valamint készítenek hamis visszajelzéseket és értékeléseket.
- A csaló túlzott segítőkészséget mutat egy probléma kezelésével kapcsolatban, vagy a kíváncsiságunkat szeretné felkelteni.
- A támadók személyre szabott kommunikációt is alkalmazhatnak, melynek során felhasználják az áldozatról korábban begyűjtött információkat.
- Az email-üzenetben hamis feladó vagy gyanús linkek találhatók, melyek látszólag nagyon hasonlítanak egy hivatalos URL-re.
- Az üzenetekben olvasható megszólítás általános, a szöveg stílusa gépi fordításra utal, nyelvezete magyartalan, elírásokat és helyesírási hibákat tartalmaz.
- Az álcaként megnevezett feladótól szokatlan kérdések, kérések érkeznek (például a bankunk nevében belépési adatokat kérnek). A kommunikáció nem a hivatalos csatornán folyik (például „hatóságok és pénzintézetek” nevében e-mailben, vagy SMS-ben kérnek bizalmas adatokat).
- A felkínált ajánlat túl szép ahhoz, hogy igaz legyen.
Védekezés a social engineering támadások ellen
A csalások elleni védekezés egyetlen módja a folyamatos figyelem. Ennek előfeltétele, hogy megfelelő ismeretekkel rendelkezzünk a social engineering támadások pszichológia hátterével, jellemzőivel, típusaival, a csalók által alkalmazott technikákkal és a védekezési lehetőségekkel kapcsolatban.
- Kontrolláljuk érzelmi reakciónkat! Ne engedjük meg, hogy pánik, félelem vagy szorongás uralkodjon el rajtunk, vagy egy idegen sürgetésének essünk áldozatául!
- Mindig álljunk meg és gondolkodjunk el, mielőtt pénzt utalunk valahová, vagy személyes adatokat és munkahelyi információkat osztunk meg valakivel. A lelassulás, a tudatos hátralépés, a jelek és a körülmények mérlegelése révén megfontoltabban dönthetünk egy elhamarkodott kattintás helyett.
- A jelszavakat és időalapú azonosítókat (kétfaktoros hitelesítés) soha ne áruljuk el!
- Szokatlan üzenet esetén mindig ellenőrizzük annak forrását! Ez az információ az e-mail fejlécében olvasható. Ellenőrzési szándékkal se hívjuk fel a gyanús levélben szereplő telefonszámot!
- Érdemes minden információt ellenőrizni, melyet a lehetséges támadók megosztanak velünk. Kérjük például személyazonosságuk igazolását. Amíg a kérést, a kérő személyt, vagy a jogosultságát nem tudjuk ellenőrizni, udvariasan hárítsunk, és kérjünk időt az ellenőrzés lefolytatására. Törekedjünk arra, hogy ne engedjünk az ösztönös segítségnyújtó szándékunknak!
- Harmadik félre való hivatkozás vagy közvetített kérés, illetve utasítás esetén mindig ellenőrizzük azt a megnevezett személy megkérdezésével. Ha valaki a kollégák nevével és belsős információk megadásával próbál bennfentesnek tűnni, gondoljunk arra, hogy ezeket az adatokat social engineering módszerek alkalmazásával is megszerezhette.
- Használjuk fel a technológia által kínált lehetőségeket, például a kétfaktoros hitelesítést, a spamszűrőket, biztonsági szoftvereket. Programjainkat rendszeresen frissítsük!
- Legyünk óvatosak személyes adataink, magánjellegű információink megosztásával, hiszen ezeket a kiberbűnözők fel tudják használni a támadásaik során. Jelszavakat, bankkártya-adatokat, igazolványmásolatokat soha nem szabad megadni kéretlen telefonhívások, e-mailek vagy SMS-üzenetek alapján. Digitális lábnyomunkat érdemes korlátozni a közösségi médiában is.
- Amennyiben létezik munkahelyi információbiztonsági szabályzat, annak előírásait pontosan be kell tartani! Ezt a protokollt fokozott figyelemmel kell összeállítani.
- Szigorú és egyértelmű szabályrendszert kell kidolgozni, melyek betartása csökkenti a sikeres social engineering támadások esélyét.
- Rendszeres auditokat és teszteket kell szervezni a szabályzat alkalmazásával kapcsolatban. A napi tapasztalatokat, valamint az incidensek kivizsgálása során gyűjtött információkat be kell építeni az információbiztonsági szabályzatba és a biztonsági oktatások tematikájába.
- Ismeretlentől származó kérés esetén mindig ellenőrizni kell az illető személyazonosságát. Minden esetben meg kell vizsgálni, hogy a kérő személy jogosult-e a kért információ megismerésére. Tudatosítani kell a munkavállalókban, hogy social engineering áldozattá válni nem kínos és nem szégyellnivaló dolog. Ha megtörténik, azonnal jelezni kell a kijelölt felettes felé, aki így el tudja indítani a kármentéshez szükséges folyamatokat.
