Do posłuchania

Zagrożenie

Wyobraź sobie następującą sytuację:

Dzwoni do Ciebie ktoś, kto przedstawia się jako Piotr z działu technicznego w Twojej firmie. Informuje Cię, że nastąpiło włamanie na komputery firmy i w wyniku zaszyfrowania danych firma utraciła bardzo dużo danych. Prosi Cię też o dyskrecję, ponieważ nie jest to jeszcze informacja publiczna – nie stawia firmy w dobrym świetle. Pyta Cię jakie dokumenty miałeś zgrane lokalnie i proponuje, że podłączy się do Ciebie zdalnym dostępem, żeby bazując na Twoich kopiach, przywrócić te dokumenty na głównym serwerze. Co robisz?

Inna sytuacja: 

Przez Messenger (komunikator Facebooka) odzywa się do Ciebie dobry znajomy, z którym często rozmawiasz na Facebooku. Mówi, że jest w Poznaniu (mieście innym niż mieszka na co dzień) i ukradli mu portfel. Prosi Cię o pożyczenie mu 100 zł, żeby mógł wypłacić je BLIKiem i wrócić do domu. Co robisz w takiej sytuacji?

Może to być prawda, a może to być próba wyłudzenia od Ciebie poufnych informacji lub pieniędzy (socjotechnika). W pierwszym przypadku, nawet gdy Ty sam nie będziesz mieć na komputerze istotnych danych, to pomogą one atakującemu poznać specyfikę firmy i lepiej zaplanować atak socjotechniczny na kolejną osobę w firmie. Będzie też wiedział kogo warto atakować – ludzi z wysokimi uprawnieniami, bazując na nazwach stanowisk lub sprawach, którymi się zajmują.

Na podstawie powyższych przykładów domyślasz się już zapewne, czym jest atak socjotechniczny (socjotechnika) – jest to forma wykorzystania pewnych informacji, które ktoś zna na nasz temat np. nazwę firmy w której pracujemy, jak nazywa się nasz dobry znajomy itp., żeby wzbudzić nasze zaufanie i w ten sposób przekonać nas do wykonania czynności, której normalnie byśmy nie wykonali. Ogólna zasada wygląda tak, że im więcej znanych nam szczegółów pojawi się w rozmowie z daną osobą, tym większe mamy do niej zaufanie. Jak ktoś w rozmowie mówi, że jest z tej samej firmy co my, a dodatkowo powołuje się na zdanie naszego przełożonego, to łatwiej uwierzymy, że pracuje on w tej samej firmie co my.

Skąd atakujący ma informacje o nas?

Zazwyczaj wystarczy po prostu zacząć obserwować nasze profile społecznościowe: Facebook, LinkedIn. Można się z nich dowiedzieć naprawdę wielu rzeczy na nasz temat. Trochę informacji jest też dostępnych na stronach firm, w których pracujemy. Ponadto wiele poufnych wydawałoby się informacji można usłyszeć w miejscach publicznych jak w windzie lub komunikacji miejskiej. Inną metodą pozyskiwania informacji na nasz temat jest atak na ludzi dookoła nas. Widać to w drugim przykładzie, gdzie atak na konto na Facebooku naszego znajomego mógł ujawnić informację, że często z nim rozmawiamy, a on sam często bywa w Poznaniu. Dzięki temu atakujący mógł się dowiedzieć, że my będziemy skłonni pomóc naszemu znajomemu, jeżeli tylko nie wzbudzi naszych podejrzeń.

Możliwości

W ramach obony przed socjotechniką warto stosować dwie rzeczy.

Świadomość

Należy być świadomym, które informacje o nas są publiczne, a które nie. Dodatkowo zawsze, gdy ktoś wysyła do nas wiadomość elektroniczną, powinniśmy być ostrożni i świadomi, że w przypadku gdy rozmawiamy z kimś przez internet (lub przez SMSy) nigdy nie możemy być w 100% pewni, że po drugiej stronie siedzi osoba, z którą wydaje nam się, że rozmawiamy. Jeżeli chcemy być tego pewni, to najprostszą metodą jest po prostu korzystanie z rozmów audio lub video (np. rozmów telefonicznych, Skype). Dużo trudniej jest podrobić czyjś głos niż pisać zamiast niego na komunikatorze.

Warto też być świadomym mechanizmów działania samych ataków socjotechnicznych, żeby łatwiej je wykrywać.

Sprawdzenie w razie wątpliwości

Gdy nie jesteśmy pewni tego czy wiadomość pochodząca od kogoś jest prawdziwa czy to socjotechnika, najprościej jest zadzwonić bezpośrednio albo do nadawcy takiej wiadomości jak w drugim przykładzie albo do kogoś, kto będzie w stanie zweryfikować prawdziwość przekazanych nam informacji (w pierwszym przypadku byłby to nasz szef, który powinien znać sytuację w firmie).

Zadanie

Wejdź na swoje profile społecznościowe i przejrzyj je pod kątem informacji, które udostępniasz. Zastanów się czy nie chcesz ograniczyć ilości informacji które udostępniasz.

Wszystkie informacje, które posiadasz na swoich profilach społecznościowych traktuj jako publiczne. Bądź ich świadom i świadom tego, że są dostępne dla każdego w internecie. Nie warto zwiększać swojej ufności do ludzi bazując tylko na tym, że znają te właśnie informacje.