Útoky s využitím sociálního inženýrství

Útoky s využitím sociálního inženýrství (také sociotechnika) jsou jedním z druhů internetové kriminality. Jejich cílem je vylákání informací z uživatele (např. čísla kreditní karty, čísla účtu, hesel, přístupových údajů atd.). Jsou založeny na specifických způsobech lidského rozhodování známých jako kognitivní chyby úsudku (mozek provádí rychlé analýzy, na nichž pak staví další konstrukce – nejčastěji jde o mylný první dojem).

Jejich cílem je vytvořit v uživateli dojem, že situace je jiná, než ve skutečnosti je; na základě klamu má pocit, že komunikuje s někým jiným – důvěryhodným.

Druhy a způsoby sociálního inženýrství

Sociální inženýrství se používá i v reálném životě, nejvíce však v kybernetickém prostoru. Existuje několik způsobů, jak od oběti získat data. Jednotlivé způsoby se rychle mění v závislosti na rychlém vývoji IT technologií, i když základ zůstává stejný. Např:

• Vytváření lži za účelem získání nějaké informace. Často se kloubí lež s malým kouskem pravdy (např. n základě znalosti rodného čísla získáme další informace – oběť k nám na základě nějaké znalosti získá důvěru)
• Phishing – technika, jejímž účelem je získávání citlivých údajů uživatelů (heslo, číslo účtu atd.) pomocí emailu nebo sociálních sítí.
• Telefonní phishing – falešný telefonní hovor, který má „ověřit“ určité informace, které je možné získat např. po zadání PINu.
• Baiting – obdoba trojského koně. Útočník zanechá na veřejně přístupném místě médium se škodlivým kódem a nechá pracovat zvědavost uživatele.

Phishing

Nejznámějším a nejrozšířenějším způsobem je phishing (odvozen od slova fishing – rybaření; do češtiny se občas překládá jako rhybaření).

Základní znaky phishingu:

• Tváří se jako email odeslaný od nějaké organizace (např. banky). Toho dosahuje například podobnou grafickou podobou emailu nebo zfalšováním adresy odesílatele.
• Text vypadá jako informace o neprovedení platby, žádost o schválení příchozí platby ze zahraničí, prosba o přihlášení do konta, výzkum klientské spokojenosti, informace o zablokování karty atd. V textu zprávy je vždy odkaz, který má vzbudit dojem, že vede na stránky dané instituce. Ve skutečnosti odkazuje na jiné místo (lze to poznat podle příkazního řádku).
• Často se využívají zkrácených webových adres nebo překlepů, falešné stránky, vyskakovací okna atd.
• Komunikace probíhá na běžném a nezabezpečeném protokolu (http:// a nikoliv https:// ), přestože by formuláře měly být zabezpečené.
• Snahou je vzbudit zdání naléhavosti, aby uživatel jednal rychle a neměl čas si vše řádně promyslet

Jak se sociálnímu inženýrství bránit

Je potřeba si vždy uvědomit, že podobné informace banky nikdy podobné informace nezasílají emailem nebo že pro přihlášení nikdy nepožadují citlivé informace (např. číslo a PIN karty). Jedinou obranou je neklikat na neznámé odkazy, dávat pozor při přihlašování na zabezpečené stránky.

V případě jakékoliv nejistoty je dobré si vše ověřit (například na zákaznické podpoře dané banky či telefonicky). Platí, že při dodržování zásad bezpečnosti na internetu (silná hesla, zdravá nedůvěra) nehrozí žádné nebezpečí. Problém je v tomto případě totiž vždy „mezi klávesnicí a židlí“.

Odkazy

Použité zdroje

• Phishing a pharming. In: Bezpečný internet [online]. [cit. 2015-01-29]. Dostupné z: http://www.bezpecnyinternet.cz/pokrocily/internetove-bankovnictvi/phishing-a-pharming.aspx
• Phishing. In: Wikipedie [online]. [cit. 2015-01-29]. Dostupné z: http://cs.wikipedia.org/wiki/Phishing
• Phishing. In: Hoax [online]. [cit. 2015-01-29]. Dostupné z: http://hoax.cz/phishing/
• ŠIMEK, Richard. Sociotechnika. In: Fakulta informatiky MU [online]. 2003 [cit. 2015-01-29]. Dostupné z: http://www.fi.muni.cz/usr/jkucera/pv109/2003p/xsimek3sociotechnika.htm
• SLINTÁK, Jiří. Nebezpečí sociálního inženýrství a jak se mu účinně bránit. In: Svět sítí [online]. 2009 [cit. 2015-01-29]. Dostupné z: http://www.svetsiti.cz/clanek.asp?cid=Nebezpeci-socialniho-inzenyrstvi-a-jak-se-mu-ucinne-branit-26102009