Nebezpečí jménem sociotechnika

Sociotechnika – sociální inženýrství je činnost, jejímž hlavním cílem je manipulace s lidmi, získat od nich požadovaná data, dokumenty, informace, věci atp. V podstatě jde o selhání lidského faktoru s využitím lidské důvěřivosti a naivity. Sociotechnika se nepoužívá pouze ve virtuálním světě, ale i v tom reálném. Nejznámnějším člověkem z minulosti, který bezvadně ovládal sociotechniku byl Adolf Hitler, neskutečný lhář a masový vrah. V tomto odstrašujícím případě je vidět, co vše může sociotechnika způsobit. Sociotechnika je bezpochyby nelegální činnost, útočník se touto činností dopouští minimálně trestného činu podvodu. Sociotechnikou se např. získávají hesla k e-mailům, FTP serverům, sociálním sítím, internetovému bankovnictví, PINy ke kreditním kartám, získávání tajných firemních dat nebo dokumentů, informace o lidech, získávání finančních prostředků, politické informace, tajné policejní informace a dokumenty a mnoho jiného. V současnosti lze považovat za odborníka v sociotechnice Kevin Mitnicka, o kterém byl dokonce natočen i film. Sociotechnika je velice efektivní, rychlý a levný způsob získávání informací, tuto techniku může použít v podstatě kdokoliv, i člověk bez znalosti programování. Její největší nebezpečí tkví především v tom, že oběť často ani neví, že sdělila důležité informace nezprávné osobě (žije v domění, že učinila zprávně), svou chybu se často dozví zpravidla, když je již pozdě …

Čeho útočník při sociotechnickém útoků využívá a jak se tomu bránit?

U získávání přihlašovacích údajů je to především časová tíseň, kdy útočník záměrně vyvolá stresovou situaci, kdy se oběť musí rychle rozhodnout, proto používejte svůj vlastní rozum, každé své jednání si vždy rozumně  si logicky odůvodněte, rozhodně nejednejte ukvapeně a nezasílejte hesla administrátorům, je přeci jasné, že administrátor heslo nikdy od uživatele požadovat nebude.

U fyzické sociotechniky, která se často provádí ve firmách,  si útočník mění identitu, vypustí informaci ve firmě, kde chce zcizit důvěrná data, o nějakém hrozícím nebezpečí, poté v panice zcizuje data, dokumenty. Nebo se útočník vydává za vedoucího pracovníka firmy, kde mu jsou podřízení zaměstnanci nápomocni, např.  vložení přihlašovacích údajů do systému atp. . U sociotechniky ve firmách také často dochází k rozesílání podvodných e-mailů útočníkem, zpravidla s výhodnou nabídkou pro zaměstnance, která je podmíněna vložením přihlašovacích údajů.

Jak již bylo řečeno :  útočník využívá lidské důvěřivosti a naivity, takže pozor na to!

Virtuální sociotechnika

Útočník se vám snaží hacknout e-mail: útočník chce od oběti získat přihlašovací údaje na e-mail. Útočník zašle fake mail oběti, v němž se vydává za administrátora e-mailu a požaduje obratem zaslat zpět přihlašovací údaje. Zpráva v e-mailu je v atmosféře výhružek, např. zrušení e-mailu a zamezení přístupu na server.

Útočník chce získat přihlašovací údaje k FTP serveru a získat tak soubory, které se nacházejí na tomto serveru včetně php scriptů. Útočník si nejprve zaregistruje stránku na freehostingu, poté si vytvoří stránku s formulářem, kam má obět zapsat přihlašovací údaje, zašle oběti fake e-mail, kde se vydává za administrátora FTP serveru, a kde má oběť svou stránku, uloženy soubory. E-mail od „administrátora“ je v duchu výhružek, např. okamžitě zadejte přihlašovací údaje do formuláře na této stránce…, jinak budou vaše data na serveru navždy smazána. Oběť se zalekne a přihlašovací údaje do připravené formuláře obratem vloží.

Fyzická sociotechnika

Útočník se vydává za nového zaměstnance firmy  (ve velkým firmách není přehled o zaměstnancích…)  a využije důvěřivosti pracovníků firmy k získání tajných dokumentů, informací. Často také dochází ke sblížení útočníka a zaměstnance firmy v osobním životě, ale poté následnému zcizení informací, dokumentů prostřednictvím tohoto zaměstnance.

Útočník se vydává za počítačové  odborníka přes počítače, jde ve firmě odstranit viry z počítače, útočník však naistaluje do počítače škodlivý software, který bez vědomí uživatele odesílá data na e-mail nebo FTP server útočníka.