1-qism (maqola kattaligiga qarab qismlarga bo'lingan. 50 marta ko'rishim bilan ikkinchisini joylayman).

Doimiy ravishda xakerlik bilan shug'ullanadigan ko'plab haqiqiy xakerlar har doim bir nechta SI hiylalariga ega, chunki kodda zaiflikni topishning iloji bo'lmaganda, uni ko'pincha qo'llab-quvvatlash xizmati yoki elektron pochta egasining ongida topish mumkin. -pochta, ICQ yoki veb-sayt...

Nazariyadan amaliyotga
Siz allaqachon sevimli jurnalingizning oldingi sonlaridan birida ijtimoiy muhandislik nima ekanligini o'qib chiqdingiz, shuning uchun biz ishonch bilan aytishimiz mumkinki, apparat muvaffaqiyatli o'zlashtirildi. Endi men mashq qilishni taklif qilaman.

Ijtimoiy muhandislar suhbatlashish uchun juda yoqimli odamlardir: madaniyatli, do'stona, ajoyib hazil tuyg'usiga ega. Ular aql bovar qilmaydigan darajada moslashuvchan aqlga, innovatsion fikrlashga va o'z maqsadlariga qanday qilib samaraliroq erishish bo'yicha ko'plab g'oyalarga ega. Materialni tayyorlashda yordam so'rab ularga murojaat qildim. Bizning maslahatchilarimiz quyidagilar bo'ladi: GoodGod - socialware.ru ijtimoiy muhandisligi bo'yicha eng mashhur rus tilidagi loyihalardan birini yaratuvchisi; Ayumi (spylabs.org); Ivan xakerlikning yana bir ustasi inson miyalari, kim inkognito rejimida qolishni xohladi.

Bor!

ICQ raqamini o'g'irlash (asosiy elektron pochtasiz)
ICQ-ni o'g'irlash uchun sizga kerak bo'ladi:

• elektron pochta manzillari ro'yxatdan o'tgan domenlar ro'yxati (ularni qanday olish mumkinligini 2009 yil dekabr sonida ][, GoodGod'dan "Ommaviy domen o'g'irlash" videosida o'qing);
• Dastlabki hujum sodir bo'ladigan ICQ raqami;
• ICQ raqami ostida berilgan SEO mutaxassisi(ma'lumotda tegishli ma'lumotlar va tafsilotlar bilan).

Agar siz darhol tanishishni istamasangiz, bu suhbatni bir muddat to'xtating, chunki agar siz juda qattiq bossangiz, ta'sir aksincha bo'lishi mumkin; Bu masalaga biroz keyinroq boshqa bahona bilan qaytgan ma'qul.

Aytgancha, agar jabrlanuvchi tabiiy ravishda uyatchan bo'lsa, siz uni notanish odam bilan aloqa qilishga majburlamaysiz, shuning uchun tanishish amalga oshishi uchun siz "pimping" bilan shug'ullanishingiz kerak bo'ladi. Shunday qilib, mijoz SEO do'stiga (ya'ni, sizga) murojaat qiladi. “Siz loyiha haqida qayerdan eshitgansiz? Sashadanmi? Ahh, Sasha... Ha, eslayman. Xo'sh, endi men sizga ishning mohiyatini aytib beraman." Keyinchalik, ICQ Search loyihasi, veb-sayt reklamasi haqida gapirib bering, to'lov imkoniyatlarini tavsiflang (kuniga 200 rubl yoki haftasiga 1400 rubl - u o'zi uchun qulay bo'lgan variantni tanlashiga ruxsat bering). Doimiy ravishda "mijoz" e'tiborini haqiqiy tafsilotlarga qarating, shunda siz uni keraksiz fikrlardan chalg'itasiz. Hujum qanchalik kuchli bo'lsa va shuncha ko'p yangi ma'lumotlar, nima bo'layotgani haqida o'ylash uchun kamroq vaqt kerak. Va nihoyat, pul ishlash sxemasini tasvirlab bering: u boshida tayyorlangan ro'yxatdan saytni tanlasin, sayt bog'langan elektron pochtani whois orqali ko'rib chiqing (uning o'zi buni qilsin) va uni "E-mail" ga kiriting. ” maydoni uning ICQ profilida. Agar ICQ va domen ma'lumotlarida bir xil elektron pochta manzili ko'rsatilgan bo'lsa, qidiruvda ICQ qanchalik tez-tez qidirilsa, qidiruv tizimidagi sayt reytingi shunchalik yuqori bo'lishini tushuntirishga ishonch hosil qiling. Jabrlanuvchi bog'lashni tugatgandan so'ng, siz ko'rsatilgan elektron pochtaga parolni tiklaysiz va UIN sizniki!

Agar parol elektron pochta orqali kelmasa, bu raqam allaqachon asosiy pochtaga ega ekanligini anglatadi va o'g'irlash boshqa usulda tashkil etilishi kerak.

Pochtani buzish
Yashirin savolga javob toping
uchun savollar pochta serverlari, qoida tariqasida, juda o'xshash:

• Onasining yoshlikdagi familiyasi;
• Sevimli taom;
• Uy hayvonlari nomi;
• Pasport raqami;
• Shaxsiy savol (birinchi o'qituvchining ismi; indeks; sevimli film; sevimli ijrochi).

Qanday sxemalar ishlaydi? Onaning qizlik ismi - oila daraxti yoki onangiz turmush qurishdan oldin qanday kulgili familiyaga ega bo'lganligi haqida mavzuni boshlang. Sevimli taom - bu erda hamma narsa aniq. Hayvonlarning nomi - uy hayvonlari haqida gapiring: o'tmish, hozirgi va kelajak, chunki kod so'zi xayr-ehson qilingan birinchi hamsterning nomi bo'lishi mumkin. Pasport raqami bilan qiyinroq bo'ladi. Bu erda siz arzon, taqchil mahsulotni sotib olishga vasvasaga tushishingiz mumkin, masalan, etkazib berish paytida to'lov bilan yetkazib beriladi, ammo buyurtma berish uchun sizga pasport ma'lumotlari va identifikatsiya kodi. Siz birinchi o'qituvchining ismini jabrlanuvchining sinfdoshlaridan bilib olishingiz yoki u bilan bevosita uning sevimli o'qituvchilari haqida gaplashishingiz mumkin; Shahar ma'lumotlar bazasini yuklab olish orqali indeksni olish osonroq va jabrlanuvchidan uning qaysi hududda yashashini bilib olishingiz mumkin. Bu erda asosiy narsa zukkolik, tasavvur va sabr-toqatdir.

Bitta kichik, ammo muhim nuance bor. Ba'zan, "Sevimli taom" so'ralganda, javob, masalan, telefon raqami bo'lishi mumkin, ya'ni savol va javob o'rtasidagi to'liq nomuvofiqlik. Bu erda siz bema'ni kombinatsiyalar va xavfsizlik savollarining ma'nosizligi haqida suhbatni boshlashingiz kerak va keyin hammasini qaytadan boshlashingiz kerak, yaxshisi boshqa hisob ostida.

Mijozlarni qo'llab-quvvatlash xizmatiga murojaat qilish
Bu usul ko'proq mehnat talab qiladigan va qo'rqinchli, ammo agar jabrlanuvchi "in'ektsiya qilishni" xohlamasa yoki quti "o'lik" bo'lsa, ya'ni egasi uzoq vaqt davomida unga tashrif buyurmagan bo'lsa kerak. Buning uchun kerakli elektron pochta xizmatining qo'llab-quvvatlash sahifasiga o'ting va o'g'irlangan parolni tiklashni so'rab xat yozing. Ehtimol, sizdan ismingiz, familiyangiz (yoki ro'yxatdan o'tish paytida ko'rsatilgan ma'lumotlar), tug'ilgan kuningiz va qutini ro'yxatdan o'tkazishning taxminiy sanasi (kamida bir yil) so'raladi. Shuning uchun, jabrlanuvchi va uning qutisi haqida iloji boricha ko'proq ma'lumot olishga harakat qiling. Ular bu borada sizga yordam berishadi qidiruv tizimlari, ijtimoiy tarmoqlar va bloglar.

Fishing
Eng biri samarali usullar parolni olish va egasi bu haqda hatto bilmaydi. Jabrlanuvchiga uning foydalanuvchi nomi va parolini kuzatib borish va kiritish uchun havola taklif etiladi. Ushbu ma'lumotlar hisobot fayliga, ma'lumotlar bazasiga (agar o'g'irlik katta bo'lsa) yoki elektron pochtaga yuboriladi. Asosiy hiyla - jabrlanuvchini ushbu havolani bosishga majbur qilish. Shakl har qanday bo'lishi mumkin:

• Ushbu pochta qutisidan spam haqida "ma'muriyatdan" xabar (o'qing: soxta manzilli pochta xizmatidan). Misol: “Hurmatli foydalanuvchi, (foydalanuvchi nomi)! Hisobingizga spam haqida shikoyatlar kelib tushdi, shuning uchun ma'muriyat uning faoliyatini vaqtincha to'xtatib qo'yish yoki bloklash huquqiga ega. Hujumchilar unga kirish huquqiga ega bo'lishlari mumkin. Hisobingiz egaligini tasdiqlash uchun ushbu havoladan foydalanib qayta avtorizatsiya qiling (soxtaga giperhavola). Agar 5 kun ichida tasdiqlanmasa, pochta hisobi bloklanadi. Hurmat bilan, qo'llab-quvvatlash xizmati (pochta xizmati nomi)." Qutini yo'qotish qo'rquvida o'ynash.
• Jabrlanuvchining sevimli mashg'ulotlari haqida bilib, siz qiziqishingiz mumkin. Masalan, qiziqish mavzusi bo'lgan xat, unda ma'lumotlarning faqat bir qismi yoritilgan, qolgan qismi havolani bosish orqali yoritiladi. Havola psevdo-login sahifasiga olib boradi va qolgan ma'lumotlarni faqat tizimga kirganingizdan so'ng o'qishingiz mumkin.

Dehqonchilik
Bundan tashqari, jabrlanuvchi havolalarni bosmaslik uchun etarlicha aqlli (yoki befarq) bo'ladi. Bunday holda, siz manipulyatsiya qilish uchun troyanlar/birlashtiruvchilar/skriptlardan foydalanishga murojaat qilishingiz kerak bo'ladi. HOSTS fayli, yoki provayderning DNS yoki DHCP serverini buzish. Shu bilan birga, foydalanuvchi elektron pochtani tekshirish uchun saytga borganida, aynan bir xil manzilga qayta yo'naltirish sodir bo'ladi, faqat fishing. Hech narsadan shubhalanmasdan, foydalanuvchi o'z ma'lumotlarini kiritadi va ichki avtorizatsiya skriptidan foydalanib, o'zining "mahalliy" elektron pochtasiga kiradi va login va parol sizning elektron pochtangizga yuboriladi. Go'zallik shundaki, qurbon nima bo'lganini ham bilmaydi.

Ijtimoiy muhandislik- maxfiy ma'lumotlar, parollar, bank va boshqa himoyalangan ma'lumotlar va tizimlarga kirish usuli.
Kiberjinoyatchilar maqsadli hujumlarni (kompaniyalar yoki davlat idoralari infratuzilmasiga hujumlar) amalga oshirish uchun ijtimoiy muhandislikdan foydalanadilar. Ular tashkilotning himoyasini oldindan sinchkovlik bilan o'rganadilar.

Ushbu maqolaning www.portalda e'lon qilinishi. Maqoladan olingan ma'lumotlardan noto'g'ri foydalanish uchun sayt muharrirlari ham, maqola muallifi ham javobgar emas!

Ijtimoiy muhandislik

Ijtimoiy muhandislik tashkilotlarga hujumning eng xavfli va halokatli turi hisoblanadi. Ammo, afsuski, konferentsiyalarda axborot xavfsizligi Bu masalaga deyarli e'tibor berilmaydi.

Shu bilan birga, Internetning rusiyzabon segmentidagi aksariyat holatlar xorijiy manbalar va kitoblardan berilgan. Men RuNet-da bunday holatlar kam deb aytmayapman, ular biron sababga ko'ra ular haqida gapirishmaydi. Men ijtimoiy muhandislik qanchalik xavfli ekanligini aniqlashga va undan ommaviy foydalanish oqibatlari qanday bo'lishi mumkinligini taxmin qilishga qaror qildim.

Axborot xavfsizligi va pentesting sohasidagi ijtimoiy muhandislik odatda ma'lum bir tashkilotga maqsadli hujum bilan bog'liq. Ushbu holatlar to'plamida men "hujumlar" ommaviy (alohida) yoki ommaviy maqsadli (ma'lum bir hududdagi tashkilotlarga) amalga oshirilganda ijtimoiy muhandislikdan foydalanishning bir nechta misollarini ko'rib chiqmoqchiman.

Keling, nima demoqchi ekanligimni hamma tushunishi uchun tushunchalarni aniqlaylik. Maqolada men "ijtimoiy muhandislik" atamasini quyidagi ma'noda ishlataman: "insonning zaif tomonlaridan foydalanishga asoslangan maqsadga erishish usullari to'plami". Bu har doim ham jinoiy narsa emas, lekin u shubhasiz salbiy ma'noga ega va firibgarlik, manipulyatsiya va shunga o'xshash narsalar bilan bog'liq. Lekin do'konda chegirma olish uchun har xil psixologik hiylalar ijtimoiy muhandislik emas.

Bu sohada men faqat tadqiqotchi sifatida ishlayman, men hech qanday zararli saytlar yoki fayllar yaratmaganman. Agar kimdir mendan saytga havola bilan xat olgan bo'lsa, u sayt xavfsiz edi. U erda sodir bo'lishi mumkin bo'lgan eng yomon narsa - Yandex.Metrica hisoblagichi tomonidan kuzatilgan foydalanuvchi.

Ijtimoiy muhandislik misollari

Ehtimol siz “tugallangan ish sertifikatlari” yoki ularga oʻrnatilgan troyanlar bilan tuzilgan shartnomalar bilan spam haqida eshitgandirsiz. Siz buxgalterlarni bunday pochta xabarlari bilan ajablantirmaysiz. Yoki videolarni tomosha qilish uchun plaginni yuklab olish uchun "tavsiyalari" bilan qalqib chiquvchi oynalar - bu allaqachon zerikarli. Men bir nechta kamroq aniq stsenariylarni ishlab chiqdim va ularni bu erda fikrlash uchun oziq-ovqat sifatida taqdim etdim. Umid qilamanki, ular harakat uchun qo'llanma bo'lmaydi, aksincha, Runetni xavfsizroq qilishga yordam beradi.

Tasdiqlangan yuboruvchi

Ba'zida sayt ma'murlari nazorat orqali ro'yxatdan o'tish formasidagi "Ism" maydonini filtrlashni yoqmaydi (masalan, axborot byulleteniga obuna bo'lganda yoki ariza topshirishda). Ism o'rniga matnni (ba'zan kilobayt matn) va zararli saytga havolani kiritishingiz mumkin. Elektron pochta maydoniga jabrlanuvchining manzilini kiriting. Ro'yxatdan o'tgandan so'ng, bu odam xizmatdan xat oladi: "Salom, azizim ...", keyin esa - bizning matnimiz va havolamiz. Xizmatdan kelgan xabar eng pastki qismida bo'ladi.

Qanday qilib buni ommaviy qirg'in quroliga aylantirish mumkin?

Boshlang'ich. Mana mening amaliyotimdan bitta holat. 2017-yil dekabr oyida qidiruv tizimlaridan biri zahiraviy elektron pochta havolasi shakli orqali xabar yuborish imkoniyatini topdi. Men bug bounty dasturi bo'yicha hisobot yuborishdan oldin, kuniga 150 ming xabar yuborish mumkin edi - siz shunchaki shaklni to'ldirishni biroz avtomatlashtirishingiz kerak edi.

Ushbu hiyla sizga haqiqiy veb-sayt texnik yordam manzilidan soxta elektron pochta xabarlarini yuborish imkonini beradi raqamli imzolar, shifrlash va boshqalar. Ammo butun yuqori qism hujumchi tomonidan yozilgan bo'lib chiqadi. Bunday xatlarni nafaqat booking.com yoki paypal.com kabi yirik kompaniyalardan, balki unchalik mashhur bo‘lmagan saytlardan ham oldim.

Va bu erda 2018 yil aprel oyining "trend".

Google Analytics-dan elektron pochta xabarlari

Men sizga mutlaqo yangi ish haqida gapirib beraman - 2018 yil aprelidan. Pochtadan Google Analytics Bir nechta manzillarimga spam kela boshladi. Bir oz tadqiqotdan so'ng, men uni yuborish usulini topdim.

"Buni qanday qo'llash kerak?" - deb o'yladim. Va bu erda aqlga kelgan narsa: firibgar, masalan, bunday matnni yaratishi mumkin.

Ushbu parollar to'plami nafaqat maqsadli, balki ommaviy ravishda ham amalga oshirilishi mumkin; siz Google Analytics-dan domenlarni yig'ish va ushbu saytlardan elektron pochta xabarlarini tahlil qilish jarayonini biroz avtomatlashtirishingiz kerak.

Qiziqish

Biror kishini havolani bosishning bu usuli biroz tayyorgarlikni talab qiladi. Soxta kompaniya uchun veb-sayt darhol e'tiborni tortadigan noyob nom bilan yaratilgan. Masalan, "ZagibaliVigibali" MChJ. Biz qidiruv tizimlarini indekslashni kutmoqdamiz.

Endi biz ushbu kompaniya nomidan tabriklar yuborish uchun qandaydir sabablar topmoqdamiz. Qabul qiluvchilar darhol uni Google orqali qidirishni boshlaydilar va bizning veb-saytimizni topadilar. Albatta, qabul qiluvchilar xatni spam papkasiga o'tkazmasliklari uchun tabrikning o'zini g'ayrioddiy qilish yaxshiroqdir. Kichkina sinovdan so'ng, men mingdan ortiq konvertatsiyani osonlik bilan oldim.

Soxta axborot byulleteniga obuna

U erda nima yozilgan?

Ochiq sharhlar bilan biron bir forum yoki saytdan odamlarni jalb qilish uchun siz jozibali matnlarni o'ylab topishingiz shart emas - shunchaki rasm qo'ying. Faqat jozibaliroq narsani tanlang (memning bir turi) va matnni ajratib bo'lmasligi uchun uni siqib qo'ying. Qiziqish har doim foydalanuvchilarni rasmga bosishga majbur qiladi. Tadqiqotlarimda men tajriba o'tkazdim va shu ibtidoiy usulda 10 mingga yaqin o'tishlarni oldim. Xuddi shu zararli usul bir marta LJ (Live Journal) orqali troyanlarni etkazib berish uchun ishlatilgan.

Ismingiz nima?

Foydalanuvchini faylni yoki hatto hujjatni makro yordamida ochishga undash unchalik qiyin emas, garchi ko'pchilik bu bilan bog'liq xavf haqida eshitgan bo'lsa ham. Ommaviy xabarlarni yuborishda, hatto odamning ismini bilish ham muvaffaqiyatga erishish imkoniyatini sezilarli darajada oshiradi.

Masalan, biz “Ushbu elektron pochta hali ham faolmi?” matni bilan elektron pochta xabarini yuborishimiz mumkin. yoki "Iltimos, veb-saytingiz manzilini yozing." Kamida 10-20% hollarda javob jo'natuvchining nomini o'z ichiga oladi (bu yirik kompaniyalarda ko'proq uchraydi). Va bir muncha vaqt o'tgach, biz "Alena, salom. Sizning veb-saytingizda nima bo'ldi (ilova qilingan rasm)? Yoki “Boris, xayrli kun. Narxlar ro'yxatini aniqlay olmayapman. Menga 24-o'rin kerak. Men narxni ilova qilaman." Xo'sh, narxlar ro'yxatida "Tarkibni ko'rish uchun makrolarni yoqing ..." degan oddiy ibora mavjud bo'lib, barcha oqibatlarga olib keladi.

Umuman olganda, shaxsan yuborilgan xabarlar kattalik tartibida tez-tez ochiladi va qayta ishlanadi.

Ommaviy razvedka

Bu stsenariy hujum emas, balki unga tayyorgarlikdir. Aytaylik, biz biron bir muhim xodimning ismini bilmoqchimiz - masalan, buxgalter yoki xavfsizlik xizmati rahbari. Agar siz ushbu ma'lumotga ega bo'lishi mumkin bo'lgan xodimlardan biriga quyidagi mazmundagi xat yuborsangiz, buni qilish oson: "Iltimos, menga direktorning otasining ismini va ish jadvalini ayting. Biz kurer yuborishimiz kerak."

Biz ko'zimizni yopish uchun ish soatlarini so'raymiz, lekin o'rta ismni so'rash - bu ism va familiyalarimizni bilmaganimizni bermaslikka imkon beradigan hiyla. Ikkalasi ham jabrlanuvchining javobida bo'lishi mumkin: to'liq ism ko'pincha to'liq yoziladi. Tadqiqotlarim davomida ikki mingdan ortiq rejissyorlarning nomlarini shu tariqa jamlashga muvaffaq bo‘ldim.

Agar siz xo'jayiningizning elektron pochta manzilini bilishingiz kerak bo'lsa, kotibga ishonch bilan yozishingiz mumkin: "Salom. Men Andrey Borisovich bilan anchadan beri gaplashmadim, uning manzili ishlayaptimi? Va keyin men undan javob olmadim. Roman Gennadievich." Kotib direktorning haqiqiy ismi asosida tuzilgan va kompaniya veb-saytini o'z ichiga olgan elektron pochta xabarini ko'radi va Andrey Borisovichning haqiqiy manzilini beradi.

Ushbu maqolada biz "ijtimoiy muhandislik" tushunchasiga e'tibor qaratamiz. Bu erda biz umumiylarini ko'rib chiqamiz.Ushbu kontseptsiyaning asoschisi kim bo'lganligi haqida ham bilib olamiz. Keling, tajovuzkorlar tomonidan qo'llaniladigan asosiy ijtimoiy muhandislik usullari haqida alohida gapiraylik.

Kirish

Texnik vositalar to'plamidan foydalanmasdan inson xatti-harakatlarini to'g'rilash va uning faoliyatini boshqarishga imkon beradigan usullar umumiy tushuncha ijtimoiy muhandislik. Barcha usullar inson omili har qanday tizimning eng halokatli zaifligi haqidagi bayonotga asoslanadi. Ko'pincha bu tushuncha qonunga xilof faoliyat darajasida ko'rib chiqiladi, bu orqali jinoyatchi insofsiz yo'llar bilan jabrlanuvchidan sub'ektdan ma'lumot olishga qaratilgan harakatni amalga oshiradi. Masalan, shunday bo'lishi mumkin ma'lum bir turi manipulyatsiya. Biroq, ijtimoiy muhandislik odamlar tomonidan qonuniy faoliyatda ham qo'llaniladi. Bugungi kunda u ko'pincha maxfiy yoki qimmatli ma'lumotlarga ega resurslarga kirish uchun ishlatiladi.

asoschisi

Ijtimoiy muhandislik asoschisi - Kevin Mitnik. Biroq, tushunchaning o'zi bizga sotsiologiyadan kelgan. Bu amaliy ijtimoiy media tomonidan qo'llaniladigan umumiy yondashuvlar to'plamini bildiradi. fanlar inson xulq-atvorini aniqlashga va uni nazorat qilishga qodir bo'lgan tashkiliy tuzilmani o'zgartirishga qaratilgan. Kevin Mitnikni ushbu fanning asoschisi deb hisoblash mumkin, chunki aynan u ijtimoiy tarmoqlarni ommalashtirgan. 21-asrning birinchi o'n yilligida muhandislik. Kevinning o'zi ilgari turli xil ma'lumotlar bazalarini nishonga olgan xaker bo'lgan. Uning ta'kidlashicha, inson omili har qanday murakkablik va tashkiliy darajadagi tizimning eng zaif nuqtasidir.

Agar biz ijtimoiy muhandislik usullari haqida maxfiy ma'lumotlardan foydalanishga (odatda noqonuniy) huquqlarni olish usuli sifatida gapiradigan bo'lsak, unda ular juda uzoq vaqtdan beri ma'lum bo'lgan deb aytishimiz mumkin. Biroq, aynan K.Mitnik ularning ma'nosi va qo'llanish xususiyatlarining ahamiyatini bera oldi.

Fishing va mavjud bo'lmagan havolalar

Har qanday ijtimoiy muhandislik texnikasi kognitiv buzilishlarning mavjudligiga asoslanadi. Xulq-atvor xatolari kelajakda muhim ma'lumotlarni olishga qaratilgan hujumni yaratishi mumkin bo'lgan malakali muhandisning qo'lida "qurol" ga aylanadi. Ijtimoiy muhandislik usullari orasida fishing va mavjud bo'lmagan havolalar mavjud.

Fishing - bu shaxsiy ma'lumotlarni, masalan, login va parolni olish uchun mo'ljallangan Internetdagi firibgarlikdir.

Mavjud bo'lmagan havola - oluvchini uni bosish va ma'lum bir saytga tashrif buyurish orqali olish mumkin bo'lgan ma'lum imtiyozlar bilan jalb qiladigan havoladan foydalanish. Ko'pincha ishlatiladigan ismlar yirik firmalar, ularning nomlariga nozik tuzatishlar kiritish. Jabrlanuvchi havolani bosish orqali shaxsiy ma'lumotlarini tajovuzkorga "ixtiyoriy ravishda" o'tkazadi.

Brendlar, nuqsonli antiviruslar va soxta lotereyalardan foydalanish usullari

Ijtimoiy muhandislik shuningdek, taniqli brendlar, nuqsonli antiviruslar va soxta lotereyalar yordamida firibgarlik usullaridan foydalanadi.

"Firibgarlik va brendlar" - bu aldash usuli bo'lib, u ham fishing bo'limiga tegishli. Bunga yirik va/yoki "tashviqot qilingan" kompaniya nomini o'z ichiga olgan elektron pochta va veb-saytlar kiradi. Ularning sahifalaridan ma'lum bir musobaqadagi g'alabangiz haqida xabarlar yuboriladi. Keyinchalik muhim ma'lumotlarni kiritishingiz kerak hisob va ularning o'g'irlanishi. Shuningdek bu shakl firibgarlik telefon orqali amalga oshirilishi mumkin.

Soxta lotereya - jabrlanuvchiga lotereyani yutganligi haqidagi matnli xabar yuboriladigan usul. Ko'pincha, xabarnoma yirik korporatsiyalarning nomlari yordamida yashiringan.

Noto'g'ri antiviruslar dasturiy ta'minotning firibgarlaridir. Antiviruslarga o'xshash dasturlardan foydalanadi. Biroq, aslida ular ma'lum bir tahdid haqida noto'g'ri xabarnomalar paydo bo'lishiga olib keladi. Ular, shuningdek, foydalanuvchilarni tranzaksiya sohasiga jalb qilishga harakat qilishadi.

Vishing, freaking va bahona

Yangi boshlanuvchilar uchun ijtimoiy muhandislik haqida gapirganda, vishing, freaking va bahonani ham eslatib o'tish kerak.

Vishing - bu firibgarlikning bir turi telefon tarmoqlari. Bu oldindan yozib olingandan foydalanadi ovozli xabarlar, uning maqsadi bank tuzilmasi yoki boshqa IVR tizimining "rasmiy chaqiruvi" ni qayta yaratishdir. Ko'pincha har qanday ma'lumotni tasdiqlash uchun sizdan login va/yoki parolni kiritish so'raladi. Boshqacha qilib aytganda, tizim foydalanuvchidan PIN kodlar yoki parollar yordamida autentifikatsiya qilishni talab qiladi.

Phreaking - telefon aldashning yana bir shakli. Bu ovoz bilan manipulyatsiya va ohangli terishdan foydalanadigan xakerlik tizimi.

Pretexting - bu oldindan o'ylangan rejadan foydalangan holda hujum bo'lib, uning mohiyati uni boshqa mavzuga taqdim etishdir. Aldashning juda qiyin usuli, chunki u ehtiyotkorlik bilan tayyorgarlikni talab qiladi.

Quid-pro-kvo va "yo'l olma" usuli

Ijtimoiy muhandislik nazariyasi ko'p qirrali ma'lumotlar bazasi bo'lib, u aldash va manipulyatsiya usullarini va ularga qarshi kurashish usullarini o'z ichiga oladi. Hujumchilarning asosiy vazifasi, qoida tariqasida, qimmatli ma'lumotlarni olishdir.

Boshqa turdagi firibgarliklarga quyidagilar kiradi: quid-pro-quo, "yo'l olma" usuli, elkama-sörfing, ochiq manbalardan foydalanish va teskari ijtimoiy media. muhandislik.

Quid-pro-kvo (lotinchadan - "buning uchun") kompaniya yoki firmadan ma'lumot olishga urinishdir. Bu telefon orqali u bilan bog'lanish yoki elektron pochta orqali xabarlar yuborish orqali sodir bo'ladi. Ko'pincha hujumchilar o'zlarini texnik xodimlar sifatida tanishtiradilar. xodimning ish joyida muayyan muammo mavjudligi haqida xabar beradigan qo'llab-quvvatlash. Ular qo'shimcha ravishda uni yo'q qilish yo'llarini taklif qiladilar, masalan, o'rnatish orqali dasturiy ta'minot. Dasturiy ta'minot nuqsonli bo'lib chiqdi va jinoyatning rivojlanishiga hissa qo'shadi.

Yo'l olma - bu troyan oti g'oyasiga asoslangan hujum usuli. Uning mohiyati jismoniy vositalardan foydalanish va axborotni almashtirishda yotadi. Misol uchun, ular xotira kartasini jabrlanuvchining e'tiborini tortadigan, faylni ochish va ishlatish istagini uyg'otadigan yoki flesh-disk hujjatlarida ko'rsatilgan havolalarga amal qiladigan ma'lum bir "yaxshi" bilan ta'minlashi mumkin. "Yo'l olma" ob'ekti ijtimoiy joylarga tashlanadi va ba'zi bir ob'ekt tajovuzkorning rejasini amalga oshirishini kutadi.

Ochiq manbalardan ma'lumot to'plash va qidirish - bu firibgarlik bo'lib, unda ma'lumotlarni olish psixologik usullarga, kichik narsalarni sezish qobiliyatiga va mavjud ma'lumotlarni, masalan, ijtimoiy tarmoq sahifalarini tahlil qilishga asoslangan. Bu yetarli yangi yo'l ijtimoiy muhandislik.

Yelka sörfing va teskari ijtimoiy. muhandislik

"Elka sörfing" tushunchasi o'zini tom ma'noda mavzuni jonli tomosha qilish deb belgilaydi. Ushbu turdagi ma'lumotlarni qidirish bilan tajovuzkor jamoat joylariga, masalan, kafe, aeroport, vokzalga boradi va odamlarni kuzatib boradi.

Ushbu usulni e'tiborsiz qoldirmaslik kerak, chunki ko'plab so'rovlar va tadqiqotlar shuni ko'rsatadiki, diqqatli odam shunchaki kuzatuvchan bo'lish orqali juda ko'p maxfiy ma'lumotlarni olishi mumkin.

Ijtimoiy muhandislik (sotsiologik bilim darajasi sifatida) ma'lumotlarni "qo'lga olish" vositasidir. Jabrlanuvchining o'zi tajovuzkorga kerakli ma'lumotlarni taqdim etadigan ma'lumotlarni olish usullari mavjud. Biroq, u jamiyat manfaati uchun ham xizmat qilishi mumkin.

Teskari ijtimoiy Muhandislik - bu fanning yana bir usuli. Yuqorida aytib o'tganimizdek, ushbu atamadan foydalanish maqsadga muvofiq bo'ladi: jabrlanuvchining o'zi tajovuzkorga kerakli ma'lumotlarni taqdim etadi. Bu bayonotni bema'ni deb qabul qilmaslik kerak. Gap shundaki, faoliyatning muayyan sohalarida vakolatga ega bo'lgan sub'ektlar ko'pincha sub'ektning ixtiyoriga ko'ra identifikatsiya ma'lumotlariga kirish huquqiga ega bo'ladilar. Bu erda asos ishonchdir.

Esda tutish muhim! Yordam xodimlari hech qachon foydalanuvchidan parol so'ramaydi, masalan.

Ogohlik va himoya

Ijtimoiy muhandislik mashg'ulotlari shaxs tomonidan shaxsiy tashabbus asosida ham, maxsus o'quv dasturlarida qo'llaniladigan qo'llanmalar asosida ham amalga oshirilishi mumkin.

Jinoyatchilar manipulyatsiyadan tortib dangasalik, ishonuvchanlik, foydalanuvchilarning mehribonligi va hokazolargacha bo'lgan turli xil aldov turlaridan foydalanishlari mumkin. O'zingizni bunday hujumdan himoya qilish juda qiyin, bu jabrlanuvchining o'zini (u) bilmasligi bilan bog'liq. ) aldangan. Ushbu xavf darajasida o'z ma'lumotlarini himoya qilish uchun turli firmalar va kompaniyalar ko'pincha baholaydilar Umumiy ma'lumot. Keyinchalik, zarur himoya choralari xavfsizlik siyosatiga kiritilgan.

Misollar

Global fishing jo'natmalari sohasidagi ijtimoiy muhandislik (uning harakati) misoli 2003 yilda sodir bo'lgan voqeadir. Ushbu firibgarlikning bir qismi sifatida eBay foydalanuvchilariga elektron pochta xabarlari yuborildi: elektron pochta manzillari. Ular o'zlariga tegishli hisoblar bloklanganini da'vo qilishdi. Bloklashni bekor qilish uchun siz hisob ma'lumotlarini qayta kiritishingiz kerak edi. Biroq, xatlar soxta edi. Ular rasmiy sahifaga o'xshash, ammo soxta sahifaga yo'naltirishdi. Ekspert hisob-kitoblariga ko'ra, yo'qotish unchalik katta bo'lmagan (bir million dollardan kam).

Mas'uliyat ta'rifi

Ijtimoiy muhandislik ba'zi hollarda jazolanishi mumkin. Qo'shma Shtatlar kabi bir qator mamlakatlarda bahona qilish (o'zini boshqa shaxs sifatida ko'rsatish orqali aldash) shaxsiy hayotga tajovuz qilish bilan tenglashtirilgan. Biroq, agar bahona paytida olingan ma'lumotlar sub'ekt yoki tashkilot nuqtai nazaridan maxfiy bo'lsa, bu qonun bilan jazolanishi mumkin. Yozib olish telefon suhbati(ijtimoiy muhandislik usuli sifatida) ham qonun bilan ko'zda tutilgan va jismoniy shaxslar uchun 250 000 AQSh dollari miqdorida jarima yoki o'n yilgacha qamoq jazosini to'lashni talab qiladi. shaxslar Tashkilotlar 500 000 AQSh dollari to'lashlari kerak; muddat bir xil bo'lib qoladi.

Ijtimoiy muhandislik - shaxs ongini manipulyatsiya qilish orqali maxfiy ma'lumotlarga ruxsatsiz kirish. Ijtimoiy muhandislik usullari psixologiyaning o'ziga xos xususiyatlariga asoslanadi va insonning zaif tomonlaridan (soddalik, e'tiborsizlik, qiziquvchanlik, tijorat manfaatlari) foydalanishga qaratilgan. Ular Internetda ham, undan tashqarida ham ijtimoiy xakerlar tomonidan faol foydalaniladi.

Biroq, nisbatan raqamli texnologiyalar, veb-resurslar, kompyuterlar, smartfonlar - tarmoq foydalanuvchilarining "miya tumanlari" biroz boshqacha tarzda sodir bo'ladi. Firibgarlar “tuzoq”, “tuzoq” va boshqa hiyla-nayranglarni istalgan joyda va qanday bo‘lmasin, ijtimoiy tarmoqlarda, o‘yin portallarida, elektron shaklda joylashtiradilar. pochta qutilari va onlayn xizmatlar. Ijtimoiy muhandislik usullariga misollar keltiramiz:

Bayram tuhfasi sifatida... troyan oti

Xarakter, kasb, moliyaviy to'lov qobiliyatidan qat'i nazar, har bir kishi bayramlarni intiqlik bilan kutadi: Yangi yil, 1-may, 8-mart, Sevishganlar kuni va boshqalar, albatta, ularni nishonlash, dam olish, ruhiy aurangizni ijobiylik bilan to'ldirish va shu bilan birga do'stlaringiz va o'rtoqlaringiz bilan tabriklar almashish uchun.

Ayni paytda ijtimoiy xakerlar ayniqsa faol. Bayram oldidan va bayram kunlarida ular hisob raqamlariga yuboriladi pochta xizmatlari otkritkalar: yorqin, rang-barang, musiqa va... xavfli virus Troyan Jabrlanuvchi bunday yolg'on haqida hech narsa bilmasdan, o'yin-kulgining eyforiyasida yoki oddiygina qiziqish bilan otkritkani bosadi. Shu bilan birga, zararli dastur OTni yuqtiradi va keyin ro'yxatga olish ma'lumotlarini, telefon raqamini o'g'irlash uchun to'g'ri vaqtni kutadi. to'lov kartasi yoki brauzeringizdagi onlayn-do'kon veb-sahifasini soxta bilan almashtiring va hisobingizdan pul o'g'irlang.

Qulay chegirma va virus "yuklangan"

Ijtimoiy muhandislikning ajoyib namunasi. Mashaqqatli pulingizni "tejash" istagi to'liq oqlanadi va tushunarli, ammo oqilona chegaralar va muayyan sharoitlarda. Gap “hamma yaltiroq narsa oltin emas” haqida.

Eng yirik brendlar, internet-do‘konlar va xizmatlar niqobi ostidagi firibgarlar tegishli dizaynda tovarlarni aql bovar qilmaydigan chegirmada sotib olishni taklif qiladilar va xariddan tashqari, sovg‘a ham oladilar... Ular soxta xabarnomalar tayyorlaydilar, ijtimoiy tarmoqlarda guruhlar yaratadilar. va forumlarda tematik "iplar".

Sodda oddiy odamlar, ular aytganidek, ushbu yorqin tijorat plakati tomonidan "boshlanadilar": ular shoshilib, o'zlarining ish haqi, avans to'lovidan qancha qolganini boshlarida hisoblashadi va "sotib olish", "saytga o'tish" havolasini bosing. sotib olish" va boshqalar. Shundan so'ng, 100 ta holatdan 99 tasida foydali xarid o'rniga ular shaxsiy kompyuterlarida virus oladi yoki ijtimoiy xakerlarga bepul pul jo'natadi.

O'g'rilik qobiliyatlari uchun o'yinchining xayr-ehsoni +300%

Onlayn o'yinlarda va umuman ko'p o'yinchi o'yinlarida, kamdan-kam istisnolardan tashqari, eng kuchlilari omon qoladi: kuchliroq zirh, zarar, kuchli sehr, ko'proq sog'liq, mana va boshqalar.

Va, albatta, har bir o'yinchi har qanday holatda ham o'zining xarakteri, tanki, samolyoti va yana nima ekanligini kim biladi, bu qimmatbaho artefaktlarni olishni xohlaydi. Janglarda yoki kampaniyalarda, o'z qo'llaringiz bilan yoki o'yinning virtual do'konida haqiqiy pul uchun (ehson funktsiyasi). Eng yaxshi, birinchi bo'lish uchun ... rivojlanishning oxirgi darajasiga erishish.

Firibgarlar ushbu "o'yinchilarning zaif tomonlari" haqida bilishadi va har qanday yo'l bilan o'yinchilarni qimmatbaho artefaktlar va ko'nikmalarga ega bo'lishga vasvasaga solishadi. Ba'zan pul uchun, ba'zan bepul, lekin bu yovuz sxemaning mohiyatini va maqsadini o'zgartirmaydi. Soxta saytlardagi jozibali takliflar shunday yangraydi: "ushbu dasturni yuklab oling", "yamoqni o'rnating", "buyumni olish uchun o'yinga o'ting".

Uzoq kutilgan bonus evaziga o'yinchining hisobi o'g'irlanadi. Agar u yaxshi pompalansa, o'g'rilar uni sotadilar yoki undan to'lov ma'lumotlarini chiqaradilar (agar mavjud bo'lsa).

Zararli dastur + ijtimoiy muhandislik = yolg'onning portlovchi aralashmasi

Diqqat piktogramma!

Ko'pgina foydalanuvchilar OSda sichqonchani "avtopilot" da boshqaradi: bu yerga bosing; buni, buni, buni kashf qildi. Ularning har biri kamdan-kam hollarda fayllar turini, ularning hajmini va xususiyatlarini batafsil ko'rib chiqadi. Lekin behuda. Xakerlar zararli dasturlarning bajariladigan fayllarini oddiy fayllar sifatida yashiradilar Windows papkalari, rasmlar yoki ishonchli ilovalar, ya'ni tashqi, ingl., siz ularni ajrata olmaysiz. Foydalanuvchi papkani bosadi, uning mazmuni, tabiiyki, ochilmaydi, chunki u umuman papka emas, balki .exe kengaytmali virus o'rnatuvchisi. Zararli dastur esa OTga "jimgina" kirib boradi.

Bunday hiyla-nayranglarning ishonchli "antidoti" fayl menejeri Umumiy qo'mondon. Birlashtirilgandan farqli o'laroq Windows Explorer, u faylning barcha tafsilotlarini ko'rsatadi: turi, hajmi, yaratilish sanasi. Tizim uchun eng katta xavf kengaytmali noma'lum fayllardir: ".scr", ".vbs", ".bat", ".exe".

Qo'rquv ishonchni kuchaytiradi

1. Пользователь открывает «сайт-страшилку», и ему тут же сообщают пренеприятнейшую новость, или даже новости: «ваш ПК заражён опаснейшим трояном», «в вашей ОС обнаружено 10, 20... 30 вирусов», «с вашего компьютера рассылается спам» va hokazo.
2. Va ular darhol antivirusni o'rnatishni taklif qilishadi ("tashvish" ni ko'rsatish) va shuning uchun saytda bildirilgan xavfsizlik muammosini hal qilish. Va eng muhimi, butunlay bepul.
3. Agar mehmon o'z shaxsiy kompyuteridan qo'rqib ketgan bo'lsa, u havolaga o'tadi va yuklab oladi ... antivirus emas, balki soxta antivirus - viruslar bilan to'ldirilgan soxta. O'rnatish va ishga tushirish - oqibatlar mos keladi.

• Birinchidan, veb-sayt tashrif buyuruvchining shaxsiy kompyuterini bir zumda skanerlay olmaydi va zararli dasturlarni aniqlay olmaydi.
• Ikkinchidan, ishlab chiquvchilar o'zlarining antiviruslarini pullik yoki bepul, o'zlarining, ya'ni rasmiy veb-saytlari orqali tarqatadilar.
• Va nihoyat, uchinchidan, agar OS "toza" yoki yo'qligi haqida shubha va qo'rquv bo'lsa, tekshirish yaxshidir. tizim bo'limi, mavjud bo'lgan narsalar bilan, ya'ni o'rnatilgan antivirus.

Xulosa qilish

Psixologiya va xakerlik bugungi kunda yonma-yon ketmoqda - inson zaif tomonlari va dasturiy ta'minot zaifliklaridan foydalanish tandemidir. Internetda, bayram va ish kunlarida, kunduzi yoki kechasi va kayfiyatingiz qanday bo'lishidan qat'i nazar, siz hushyor bo'lishingiz, soddalikni bosishingiz va tijoriy foyda va "bepul" narsa impulslarini haydashingiz kerak. Chunki, siz bilganingizdek, faqat pishloq behuda va faqat sichqonchaning tuzog'ida beriladi. Faqat parollarni yarating, ularni joylarda saqlang va biz bilan qoling, chunki biz bilganimizdek, ortiqcha xavfsizlik degan narsa yo'q.

Ijtimoiy muhandislik texnikasidan foydalangan kiberjinoyatchilar so'nggi yillarda yanada ilg'or usullarni qo'lladilar, bu esa ularga kirish imkoniyatini oshiradi. zarur ma'lumotlar, korxona xodimlari va umuman odamlarning zamonaviy psixologiyasidan foydalanish. Bunday hiyla-nayrangga qarshi turishning birinchi qadami hujumchilarning taktikasini tushunishdir. Keling, ijtimoiy muhandislikning sakkizta asosiy yondashuvini ko'rib chiqaylik.

Kirish

90-yillarda "ijtimoiy muhandislik" tushunchasi axborot xavfsizligi sohasidagi taniqli shaxs, sobiq jiddiy xaker Kevin Mitnik tomonidan ishlab chiqilgan. Biroq, hujumchilar bu atama paydo bo'lishidan ancha oldin bunday usullardan foydalanganlar. Mutaxassislarning ishonchi komilki, zamonaviy kiberjinoyatchilarning taktikasi ikkita maqsadni ko‘zlash bilan bog‘langan: parollarni o‘g‘irlash va zararli dasturlarni o‘rnatish.

Hujumchilar telefon, elektron pochta va Internetdan foydalangan holda ijtimoiy muhandislikdan foydalanishga harakat qilishadi. Keling, jinoyatchilarga kerakli narsalarni olishga yordam beradigan asosiy usullar bilan tanishaylik. maxfiy ma'lumotlar.

Taktika 1. O'nta qo'l siqish nazariyasi

Ijtimoiy muhandislik uchun telefondan foydalangan tajovuzkorning asosiy maqsadi o'z qurbonini ikkita narsadan biriga ishontirishdir:

1. Jabrlanuvchi kompaniya xodimidan qo'ng'iroqni oladi;
2. Vakolatli organning vakili (masalan, huquqni muhofaza qilish organi xodimi yoki auditor) qo'ng'iroq qiladi.

Agar jinoyatchi o'ziga ma'lum bir xodim haqida ma'lumot to'plash vazifasini qo'ysa, u birinchi navbatda hamkasblari bilan bog'lanib, kerakli ma'lumotlarni olish uchun har tomonlama harakat qilishi mumkin.

Oltita qo'l siqish haqidagi eski nazariyani eslaysizmi? Xavfsizlik bo'yicha mutaxassislarning ta'kidlashicha, kiberjinoyatchi va uning qurboni o'rtasida faqat o'nta "qo'l siqish" bo'lishi mumkin. Mutaxassislar bunga ishonishadi zamonaviy sharoitlar Siz har doim ozgina paranoyaga ega bo'lishingiz kerak, chunki u yoki bu xodim sizdan nimani xohlashini bilmaysiz.

Hujumchilar odatda ierarxiyadan yuqori bo'lgan odamlar haqida ma'lumot to'plash uchun kotibni (yoki shunga o'xshash lavozimni egallagan kishini) nishonga oladi. Mutaxassislarning ta'kidlashicha, do'stona ohang firibgarlarga katta yordam beradi. Sekin-asta, lekin shubhasiz, jinoyatchilar sizga kalitni olishadi, bu esa tez orada siz ilgari hech qachon oshkor qilmagan ma'lumotlarni almashishingizga olib keladi.

Taktika 2. Korporativ tilni o'rganish

Ma'lumki, har bir sohaning o'ziga xos formulalari mavjud. Kerakli ma'lumotlarni olishga harakat qilayotgan tajovuzkorning vazifasi ijtimoiy muhandislik texnikasidan mohirona foydalanish uchun bunday tilning xususiyatlarini o'rganishdir.

Barcha o'ziga xosliklar korporativ tilni, uning atamalarini va xususiyatlarini o'rganishda yotadi. Agar kiberjinoyatchi o'z maqsadlari uchun tanish, tanish va tushunarli tilda gapirsa, u ishonchni osonroq qozonadi va o'ziga kerakli ma'lumotlarni tezda olish imkoniyatiga ega bo'ladi.

Taktika 3: Qo'ng'iroqlar paytida qo'ng'iroqlarni ushlab turish uchun musiqani qarzga oling

Muvaffaqiyatli hujumni amalga oshirish uchun firibgarlarga uchta komponent kerak: vaqt, qat'iyat va sabr. Ko'pincha ijtimoiy muhandislikdan foydalangan holda kiberhujumlar sekin va uslubiy ravishda amalga oshiriladi - nafaqat to'g'ri odamlar to'g'risidagi ma'lumotlarni, balki "ijtimoiy signallar" deb ataladigan ma'lumotlarni ham yig'ish. Bu ishonchni qozonish va maqsadni aldash uchun amalga oshiriladi. Masalan, tajovuzkorlar muloqot qilayotgan odamni hamkasb ekanliklariga ishontirishlari mumkin.

Ushbu yondashuvning xususiyatlaridan biri qo'ng'iroq qiluvchining javobini kutayotgan paytda kompaniya qo'ng'iroqlar paytida foydalanadigan musiqani yozib olishdir. Jinoyatchi avvaliga bunday musiqani kutadi, keyin uni yozib oladi, keyin esa undan o‘z manfaati uchun foydalanadi.

Shunday qilib, jabrlanuvchi bilan to'g'ridan-to'g'ri muloqot bo'lganda, hujumchilar bir nuqtada: "Bir daqiqa kuting, boshqa liniyada qo'ng'iroq bor" deyishadi. Keyin jabrlanuvchi tanish musiqani eshitadi va qo'ng'iroq qiluvchining ma'lum bir kompaniya vakili ekanligiga shubha qilmaydi. Aslida, bu shunchaki aqlli psixologik hiyla.

Taktika 4. Telefon raqamini soxtalashtirish (almashtirish).

Jinoyatchilar ko'pincha firibgarlikdan foydalanadilar telefon raqamlari, bu ularga qo'ng'iroq qiluvchining raqamini soxtalashtirishga yordam beradi. Misol uchun, tajovuzkor o'z kvartirasida o'tirib, qiziqqan odamga qo'ng'iroq qilishi mumkin, ammo qo'ng'iroq qiluvchining identifikatori kompaniyaga tegishli raqamni ko'rsatadi va bu firibgar korporativ raqam yordamida qo'ng'iroq qilayotgani haqidagi tasavvurni yaratadi.

Albatta, shubhasiz xodimlar, agar qo'ng'iroq qiluvchining identifikatori ularning kompaniyasiga tegishli bo'lsa, ko'p hollarda qo'ng'iroq qiluvchiga maxfiy ma'lumotlarni, jumladan parollarni beradi. Ushbu yondashuv jinoyatchilarga kuzatuvdan qochishga ham yordam beradi, chunki agar siz ushbu raqamga qayta qo'ng'iroq qilsangiz, kompaniyaning ichki liniyasiga yo'naltirilasiz.

Taktika 5: Yangilikdan sizga qarshi foydalanish

Joriy yangiliklar sarlavhalari qanday bo'lishidan qat'i nazar, tajovuzkorlar bu ma'lumotlardan spam, fishing va boshqa firibgarlik faoliyati uchun o'lja sifatida foydalanadilar. Mutaxassislar so'nggi paytlarda mavzulari prezidentlik kampaniyalari va iqtisodiy inqirozlar bilan bog'liq bo'lgan spam-maktublar sonining ko'payishini qayd etishlari ajablanarli emas.

Masalan, bankka qilingan fishing hujumi. Elektron pochtada shunday deyilgan:

“Yana bir bank [bank nomi] sizning bankingizni [bank nomi] sotib olmoqda. Shartnoma yopilgunga qadar bank ma'lumotlaringiz yangilanganligiga ishonch hosil qilish uchun ushbu havolani bosing."

Tabiiyki, bu firibgarlar sizning hisobingizga kirishi, pulingizni o'g'irlashi yoki ma'lumotingizni uchinchi tomonga sotishi mumkin bo'lgan ma'lumotlarni olishga urinishdir.

Taktika 6: Ijtimoiy platformalarda ishonchdan foydalaning

Hech kimga sir emaski, Facebook, Myspace va LinkedIn juda mashhur ijtimoiy tarmoq saytlari. Mutaxassis tadqiqotlariga ko'ra, odamlar bunday platformalarga ishonishadi. Yaqinda LinkedIn foydalanuvchilariga qaratilgan nayza-fishing hodisasi ushbu nazariyani qo'llab-quvvatlaydi.

Shunday qilib, ko'p foydalanuvchilar elektron pochtaga ishonishadi, agar u Facebookdan ekanligini da'vo qilsa. Umumiy texnika ijtimoiy tarmoq o'tkazayotganini da'vo qilishdir texnik xizmat, ma'lumotni yangilash uchun "bu yerni bosing" kerak. Shuning uchun mutaxassislar fishing havolalaridan qochish uchun korxona xodimlariga veb-manzillarni qo'lda kiritishni tavsiya qiladi.

Shuni ham yodda tutish kerakki, juda kamdan-kam hollarda saytlar foydalanuvchilarga parolni o'zgartirish yoki hisobini yangilashni taklif qiladi.

Taktika 7. Tinglash

Ushbu zararli usul tajovuzkorlar inson omilidan, ya'ni URL manzilini kiritishda xatolardan foydalanishi bilan ajralib turadi. manzil satri. Shunday qilib, faqat bitta harfni xato qilib, foydalanuvchi tajovuzkorlar tomonidan ushbu maqsad uchun yaratilgan veb-saytga kirishi mumkin.

Kiberjinoyatchilar matn terish uchun zamin tayyorlaydilar, shuning uchun ularning veb-sayti aynan siz tashrif buyurmoqchi bo'lgan qonuniy veb-saytga o'xshaydi. Shunday qilib, agar siz veb-manzilingizni noto'g'ri yozsangiz, siz qonuniy saytning nusxasini topasiz, uning maqsadi biror narsani sotish yoki ma'lumotlarni o'g'irlash yoki zararli dasturlarni tarqatishdir.

Taktika 8. Fond bozoriga ta'sir qilish uchun FUDdan foydalanish

FUD - bu marketing va umuman targ'ibotda qo'llaniladigan psixologik manipulyatsiya taktikasi bo'lib, u biror narsa (xususan, mahsulot yoki tashkilot) haqida ma'lumotni taqdim etishdan iborat bo'lib, auditoriyada uning fazilatlari haqida noaniqlik va shubha uyg'otadi va shu bilan sabab bo'ladi. undan qo'rqish.

Avert kompaniyasining so'nggi tadqiqotiga ko'ra, mahsulotlar va hatto butun kompaniyalarning xavfsizligi va zaifliklari fond bozoriga ta'sir qilishi mumkin. Masalan, tadqiqotchilar Microsoft Patch Seshanba kabi hodisalarning kompaniya aktsiyalariga ta'sirini o'rganib, zaifliklar haqidagi ma'lumotlar e'lon qilinganidan keyin har oy sezilarli tebranishlarni topdilar.

Shuningdek, 2008 yilda tajovuzkorlar Stiv Djobsning sog'lig'i haqida yolg'on ma'lumot tarqatganini, bu esa Apple aksiyalarining keskin pasayishiga olib kelganini ham eslashingiz mumkin. Bu FUDning zararli maqsadlarda ishlatilishining eng tipik misolidir.

Bundan tashqari, foydalanishga e'tibor qaratish lozim Elektron pochta"nasos va dump" texnikasini amalga oshirish uchun (birjada yoki kriptovalyuta bozorida valyuta kursini keyinchalik qulashi bilan manipulyatsiya qilish sxemasi). Bunday holda, hujumchilar yuborishlari mumkin elektron pochta xabarlari, oldindan sotib olingan aktsiyalarning ajoyib salohiyatini tasvirlab beradi.

Shunday qilib, ko'pchilik bu aktsiyalarni imkon qadar tezroq sotib olishga harakat qiladi va ular narxi oshadi.

xulosalar

Kiberjinoyatchilar ko'pincha ijtimoiy muhandislikdan foydalanishda juda ijodiydir. Ularning usullari bilan tanishib, biz turli xil psixologik hiylalar hujumchilarga o'z maqsadlariga erishishda katta yordam beradi degan xulosaga kelishimiz mumkin. Shunga asoslanib, siz firibgarni beixtiyor fosh qilishi mumkin bo'lgan har qanday kichik narsaga e'tibor berishingiz, siz bilan bog'langan odamlar haqidagi ma'lumotlarni tekshirishingiz va ikki marta tekshirishingiz kerak, ayniqsa maxfiy ma'lumotlar muhokama qilinsa.