Многие уверены, что никогда не попадутся на подобные уловки. Однако статистика показывает обратное: жертвами становятся люди любого возраста и профессии, включая сотрудников банков, крупных компаний и IT-специалистов. Дело не в доверчивости. Главный инструмент мошенников – человеческие эмоции, на которые они умеют давить очень профессионально.
В этой статье расскажем:
- что такое социальная инженерия;
- какие методы социальной инженерии используют преступники;
- по каким признакам можно распознать мошенника;
- почему атаки работают даже на осторожных людей;
- как защититься от социальной инженерии;
- что делать, если вы уже стали жертвой обмана.
Что такое социальная инженерия
Социальная инженерия – это способ получения информации или денег с помощью психологических манипуляций. В отличие от классических хакерских атак, преступники атакуют не компьютер, а человека. Главная задача мошенника – заставить жертву добровольно выполнить нужное действие:
- назвать код из SMS;
- сообщить пароль;
- перевести деньги;
- установить программу удаленного доступа;
- перейти по вредоносной ссылке;
- открыть зараженный файл.
Фактически социальная инженерия использует особенности человеческой психики. Люди привыкли доверять сотрудникам банков, государственных органов, полиции или работодателям. Именно поэтому мошенники часто представляются теми, кому принято верить.
Почему это работает
Наш мозг принимает множество решений автоматически. Если человек испытывает сильный стресс, страх или ощущение срочности, способность критически оценивать информацию заметно снижается. Именно поэтому большинство атак социальной инженерии строится на эмоциях.
Например:
- «Ваш счет пытаются взломать»;
- «На ваше имя оформляют кредит»;
- «Ваш родственник попал в беду»;
- «Посылка не может быть доставлена»;
- «Необходимо срочно подтвердить личность».
Все эти сообщения заставляют человека действовать быстро, не успев спокойно обдумать ситуацию.
Виды социальной инженерии
Современные мошенники используют десятки сценариев, однако большинство из них можно разделить на несколько основных категорий.
Фишинг
Жертве присылают письмо, сообщение или ссылку на поддельный сайт, который внешне практически не отличается от настоящего. После ввода логина и пароля данные сразу попадают к злоумышленникам.
Вишинг
Обман происходит по телефону. Человек слышит голос «сотрудника банка», «следователя», «оператора связи» или «службы безопасности» и выполняет указания мошенника.
Смишинг
Разновидность фишинга через SMS или мессенджеры. Обычно сообщение содержит ссылку, просьбу подтвердить данные или срочно оплатить какой-либо счет.
Претекстинг
Мошенник заранее придумывает убедительную легенду и постепенно входит в доверие к человеку. Например, представляется сотрудником компании, кадровым специалистом или работником госорганов.
Приманка (Baiting)
Злоумышленники предлагают что-то очень привлекательное: бесплатную программу, подарок, скидку или найденную флешку. Желание получить выгоду заставляет человека забыть об осторожности.
Квид про кво (Quid pro quo)
Преступник обещает помощь или услугу в обмен на определенные действия. Например, предлагает «устранить вирус» и просит установить программу удаленного доступа.
Все эти методы социальной инженерии объединяет одно – они заставляют человека принять решение под воздействием эмоций.
Признаки атак социальной инженерии
Несмотря на огромное количество схем, большинство мошенников используют похожие психологические приемы.
Вот основные признаки атак социальной инженерии.
Давление временем
«У вас осталось пять минут».
«Нужно срочно принять решение».
«Если сейчас не подтвердить операцию, деньги исчезнут».
Когда человека торопят, вероятность ошибки резко возрастает.
Попытка вызвать сильные эмоции
Чаще всего используют:
- страх;
- чувство вины;
- жадность;
- любопытство;
- желание помочь близкому человеку.
Именно поэтому манипуляция эмоциями считается главным инструментом социальной инженерии.
Требование сохранить разговор в тайне
Например:
- «Никому не сообщайте о разговоре».
- «Даже сотрудникам банка ничего не говорите».
- «Это секретная операция».
Подобные просьбы практически всегда должны насторожить.
Просьба сообщить конфиденциальную информацию
Запомните раз и навсегда и обязательно сообщите об этом пожилым родственникам: настоящие банки и государственные органы никогда не требуют по телефону:
- полный номер банковской карты;
- CVV-код;
- PIN-код;
- пароль от интернет-банка;
- одноразовые коды подтверждения.
Если собеседник просит назвать подобные данные – разговор следует немедленно прекратить.
Неожиданная просьба установить программу
Еще один очень распространенный прием – просьба скачать приложение для «защиты счета», «проверки безопасности» или «удаленной помощи». На практике такие программы позволяют преступникам получить полный доступ к телефону или компьютеру пользователя.
Как защититься от социальной инженерии
Полностью исключить риск столкнуться с мошенниками невозможно. Однако значительно снизить вероятность успешной атаки вполне реально.
Никогда не принимайте решения под давлением
Если вас торопят – остановитесь. Практически любая финансовая операция может подождать несколько минут, пока вы самостоятельно проверите информацию.
Перезванивайте самостоятельно
Если вам позвонили якобы из банка, полиции, налоговой или мобильного оператора, завершите разговор. После этого самостоятельно найдите официальный номер организации и позвоните сами.
Проверяйте адреса сайтов
Даже одна лишняя буква в адресной строке может означать, что перед вами поддельный сайт. Перед вводом логина или пароля всегда внимательно проверяйте URL.
Не переходите по подозрительным ссылкам
Особенно если сообщение вызывает сильные эмоции или обещает неожиданную выгоду. Лучше самостоятельно открыть официальный сайт компании через браузер.
Используйте двухфакторную аутентификацию
Даже если пароль окажется украден, дополнительный уровень защиты значительно усложнит доступ к вашим аккаунтам.
Не сообщайте коды подтверждения
Код из SMS – это ключ к вашей учетной записи или банковской операции. Его нельзя сообщать никому, даже если собеседник представляется сотрудником банка, полиции или государственных органов.
Помните главное правило
Если разговор заставляет вас нервничать, торопиться или испытывать сильные эмоции – именно этого мошенник и добивается. Лучшее решение в такой ситуации – сделать паузу.
Что делать, если вы уже стали жертвой
Если вы сообщили мошенникам конфиденциальные данные или перевели деньги:
- немедленно заблокируйте банковскую карту;
- смените пароли от важных аккаунтов;
- отключите удаленный доступ к устройству (если устанавливали программу);
- обратитесь в банк;
- сообщите о случившемся в полицию;
- предупредите родственников и коллег, если мошенники могли получить доступ к вашим контактам.
Чем быстрее вы отреагируете, тем выше шанс минимизировать последствия.
Вопросы и ответы
Социальная инженерия – это вирус?
Нет. Социальная инженерия – это не вредоносная программа, а способ психологического воздействия на человека. Иногда она используется вместе с вирусами, но главным объектом атаки всегда остается пользователь.
Кто чаще всего становится жертвой социальной инженерии?
Любой человек. Мошенники постоянно совершенствуют сценарии, поэтому жертвами становятся пенсионеры, студенты, предприниматели, сотрудники банков и даже специалисты по информационной безопасности.
Можно ли полностью защититься от социальной инженерии?
Полностью исключить риск невозможно. Однако внимательность, привычка перепроверять информацию, двухфакторная аутентификация и отказ принимать решения под давлением значительно снижают вероятность успешной атаки.
Чем социальная инженерия отличается от обычного взлома?
При классическом взломе преступники атакуют компьютерные системы. При социальной инженерии они используют психологические приемы, чтобы человек сам передал нужную информацию или выполнил необходимые действия.
Почему мошенники так часто вызывают страх?
Потому что в состоянии стресса люди хуже анализируют информацию и чаще принимают поспешные решения. Именно поэтому большинство сценариев социальной инженерии строится на срочности, тревоге и манипуляции эмоциями.