Хамелеоны в венгерской информатике

Имена Учебного центра NetAcademia и Фоти Марселла были использованы для неудачного компьютерного мошенничества, целью которого было получить доступ к сети гимназии в Пеште. Этот случай проливает свет на распространение компьютерных злоупотреблений в форме социальной инженерии в Венгрии.

Средняя школа в Пеште недавно получила электронное письмо, в котором отправитель просил школу «взглянуть на свою компьютерную систему» ​​и, кстати, создать «простой доступ системного администратора», для которого также был установлен определенный пароль. определенный. В качестве мошеннической подписи он для маскировки назвал имя Фоти Марселла, известного как эксперт в области ИТ-безопасности, а также сослался на учебный центр NetAcademia, ведущим инструктором и управляющим директором которого является эксперт - так маскировка могла бы быть еще более правдоподобной. К счастью, руководство вуза догадалось, что что-то не так, поэтому связалось с NetAcademia, где истина открылась: учебный центр никогда не запрашивает пароль ни по телефону, ни по электронной почте у независимой от него организации.

Вышеописанный случай является хорошим примером того, как так называемая социальная инженерия, концепцию которой Фоти Марсель резюмировал следующим образом: «Социальная инженерия основана на эксплуатации естественной склонности людей к доверию. Чтобы получить доступ к ИТ-системам, киберпреступники используют не возможные ошибки или бреши в безопасности оборудования, программного обеспечения или сети, а слабости человеческой природы.

В этом случае атака также начинается с исследования: хакеры получают всю имеющуюся информацию о компании (годовой отчет, маркетинговые материалы, газетные статьи и т. д.), затем составляют карту структуры организации, отношений подчиненности и превосходства, разрешения, часто график встреч сотрудников, а также дружеские отношения. «На этом этапе также случается, что злоумышленник присоединяется к компании в качестве уборщика и обыскивает по ночам мусорные баки сотрудников, читает заметки, которые они оставляют в качестве напоминаний, и просматривает материалы, оставленные на их столах». говорит Марсель Фоти.

Доступ, идентификация, мошенничество
Поскольку в большинстве случаев хакер выдает себя за сотрудника или партнера компании — сотрудника, менеджера или даже известного специалиста в данной области, — в ходе исследования он должен выучить профессиональный жаргон, свойственный В данной компании изучите внутренние системы и примите все элементы, принадлежащие корпоративной культуре, которые могут сделать вас более аутентичными.

После этапа исследования следует собственно атака, в ходе которой мошенник завоевывает доверие и поддержку целевой личности с помощью хитрой уловки или хорошо продуманного оправдания. Кевин Митник, известный как «пионер» социальной инженерии, освобожденный от 5-летнего тюремного заключения в 2003 году, использовал эти методы, среди прочего, для проникновения в компьютерные системы Motorola и Nokia.

Обязательное подозрение
В нашей стране уже был пример, когда кто-то получил коды доступа сотрудника, имеющего доступ к информации компании, с помощью телефонного звонка, продолжавшегося несколько минут. «Нам известен случай, когда хакер выдал себя за системного администратора компании и попросил сотрудника по телефону войти в систему и сменить пароль на взаимно согласованный код», — пояснил еще один пример Фоти Марсель. По мнению эксперта, самый эффективный способ защитить себя — проявить подозрительность и следовать политике управления паролями. Если, например, незнакомый нам «коллега» просит сменить пароль по телефону, мы просим номер телефона его компании, ссылаясь на наш плотный график и обещая перезвонить вам. Это оставляет время, чтобы проверить свою личность в телефонной книге компании и найти предоставленную информацию.

По словам Фоти, мошенничество такого типа можно наиболее эффективно отфильтровывать с помощью политики безопасности, введенной компаниями и организациями, которая подробно регламентирует вопросы безопасности данных и четко описывает строгие правила в отношении паролей даже для текущих ситуаций. Однако политику необходимо не только разрабатывать, но и регулярно обучать, чтобы добиться действительно успеха в борьбе с киберпреступниками.