Co je sociální inženýrství a proč byste se tím měli znepokojovat?

„Ti, kdož jsou ochotni obětovat základní svobodu pro chvilkové bezpečí, nezaslouží si ani jedno, ani druhé.“ – Benjamin Franklin

Sociální inženýrství se v posledních letech stalo významným tématem v oblasti kybernetické bezpečnosti. Odborníci o něm sice často diskutují, avšak jen málokdo si plně uvědomuje jeho potenciální rizika a nebezpečnost.

Pro hackery představuje sociální inženýrství často nejjednodušší a nejefektivnější metodu, jak proniknout do zabezpečených systémů. Rozmach internetu přinesl neuvěřitelné možnosti propojení zařízení, avšak s tím se objevily i mezery, které vedou k narušení soukromí a osobních dat.

Už od pradávna, ještě před technologickým pokrokem, lidé kódovali a chránili informace. Známým příkladem je Caesarova šifra, kde se zprávy šifrovaly posouváním písmen v abecedě. Například „ahoj světe“ by se s posunem o jedno místo zakódovalo jako „ifmmp xpsmf“. Pro dešifrování by se musela písmena posunout o jedno místo zpět.

I když je tato šifrovací technika jednoduchá, používala se téměř 2000 let!

Dnes disponujeme mnohem pokročilejšími bezpečnostními systémy, avšak bezpečnost stále představuje velkou výzvu.

Je důležité si uvědomit, že hackeři používají celou řadu technik k získávání citlivých informací. Nyní se krátce podíváme na některé z nich, abychom pochopili, proč je sociální inženýrství tak nebezpečné.

Útoky hrubou silou a slovníkové útoky

Útok hrubou silou spočívá v tom, že hacker pomocí specializovaných nástrojů zkouší všechny možné kombinace znaků, aby prolomil heslo. Slovníkový útok se naopak zaměřuje na použití seznamu slov z běžného slovníku v naději, že některé z nich bude odpovídat heslu uživatele.

I když jsou útoky hrubou silou velmi účinné, díky současným bezpečnostním algoritmům jsou méně pravděpodobné. Pokud je například heslo mého účtu „[email protected]!!!‘ (22 znaků), počítač by musel vygenerovat 22 faktoriálů různých kombinací, což je obrovské množství výpočtů.

Navíc existují hashovací algoritmy, které z hesla vytvoří hash (např. d734516b1518646398c1e2eefa2dfe99), což znesnadňuje jeho prolomení útokem hrubou silou. Tím se přidává další vrstva zabezpečení. Bezpečnostním technikám se budeme věnovat podrobněji později.

Pokud vlastníte web na platformě WordPress a hledáte ochranu před útoky hrubou silou, prostudujte si tento návod.

DDoS útoky

Zdroj: comodo.com

Při útocích typu Distributed Denial of Service (DDoS) je uživateli zablokován přístup k internetovým zdrojům. Může to být na straně uživatele nebo na straně služby, ke které se uživatel snaží připojit.

DDoS útoky obvykle vedou ke ztrátě příjmů nebo zákaznické základny. Aby byl takový útok možný, hacker může ovládnout velké množství počítačů po celém internetu a vytvořit tzv. „botnet“. Ten se poté použije k zahlcení sítě neúčelnými pakety dat, což způsobuje přetížení a vyřazení síťových zdrojů.

Phishing

Phishing je forma útoku, při které se útočník snaží ukrást přihlašovací údaje uživatele pomocí falešných stránek, které vypadají jako legitimní přihlašovací rozhraní. Útočník obvykle pošle uživateli podvodný e-mail, ve kterém se vydává za důvěryhodnou instituci (např. banku nebo sociální síť) a nabádá uživatele, aby zadal své přihlašovací údaje. Odkazy v e-mailu vedou na falešné webové stránky, které se snaží napodobit ty legitimní.

Například, v minulosti se objevily podvodné odkazy, které používaly paypai.com k oklamání uživatelů PayPal a získání jejich přihlašovacích údajů.

Typický formát phishingového e-mailu:

„Vážený uživateli,

Na vašem účtu jsme zaznamenali podezřelou aktivitu. Klikněte sem a okamžitě si změňte heslo, abyste předešli zablokování vašeho účtu.“

Je dost pravděpodobné, že jste se někdy setkali s phishingem. Stalo se vám někdy, že po přihlášení na webové stránce jste se znovu ocitli na přihlašovací stránce? Pokud ano, pravděpodobně jste se stali obětí phishingu.

Jak funguje sociální inženýrství?

I když jsou šifrovací algoritmy stále sofistikovanější a bezpečnější, techniky sociálního inženýrství jsou stejně účinné jako dřív.

Sociální inženýr nejprve sbírá informace o vás, aby získal přístup k vašim online účtům a chráněným zdrojům. Útočník se snaží oběť přimět k vyzrazení osobních informací prostřednictvím psychologické manipulace. Znepokojující je fakt, že tyto informace nemusí pocházet přímo od vás, ale od někoho z vašeho okolí.

Cílem útoku často nemusí být přímo ta osoba, která se stane obětí sociálního inženýrství.

Například, jedna telekomunikační společnost v Kanadě byla nedávno zapojena do případu sociálního inženýrství, kde pracovníci zákaznické podpory nevědomky odhalili citlivé informace o zákazníkovi. Tato informace byla využita k masivnímu útoku, při kterém došlo ke ztrátě 30 000 dolarů.

Sociální inženýři využívají nejistoty, nedbalosti a neznalosti lidí, aby je přiměli sdělit důležité informace. V době, kdy je vzdálená podpora běžná, jsou organizace zranitelnější vůči podobným útokům z důvodu lidské chyby.

Obětí sociálního inženýrství se může stát kdokoli. Co je ještě znepokojivější, je fakt, že můžete být napadeni, aniž byste si to uvědomovali!

Jak se chránit před sociálním inženýrstvím?

Vyvarujte se používání osobních údajů (datum narození, jméno mazlíčka, jméno dítěte, atd.) jako hesel.
Nepoužívejte slabá hesla. Pokud si nedokážete zapamatovat složitá hesla, využijte správce hesel.
Dávejte pozor na zjevné nepravdy. Sociální inženýři obvykle nemají dostatek informací na to, aby vás hned napadli. Poskytnou vám chybné informace a čekají, že jim poskytnete ty správné. Poté se vás budou ptát na další. Nedovolte jim to!
Než provedete jakoukoli akci na základě e-mailové zprávy, ověřte si pravost odesílatele a domény.
Pokud na svém účtu zaznamenáte podezřelou aktivitu, okamžitě kontaktujte svoji banku.
Pokud vám náhle vypadne signál na mobilním telefonu, kontaktujte svého operátora. Může jít o útok typu SIM swap.
Zapněte si dvoufaktorové ověření (2FA). Podívejte se na služby, které to podporují.

Závěr

Tyto kroky nejsou stoprocentní obranou proti sociálnímu inženýrství, ale pomohou vám ztížit hackerům přístup k vašim údajům.