Socialinės inžinerijos atakos išlieka viena iš didžiausių kibernetinių grėsmių organizacijoms, nes tiesiogiai taikosi į žmones ir siekia išnaudoti žmogiškąjį faktorių – emocijas, skubėjimą, smalsumą, žmogiškas klaidas ar neapdairumą. Remiantis Europos Sąjungos kibernetinio saugumo agentūros ENISA 2024 metų grėsmių apžvalga, būtent duomenų viliojimas socialinės inžinerijos priemonėmis išlieka viena iš dažniausiai pasitaikančių atakos grėsmių.
Dažniausios priežastys, lemiančios šių atakų sėkmę, – kenkėjiškų el. laiškų požymių neatpažinimas ir nežinojimas organizacijoje. Net ir žinant šiuos požymius, neretai pasitaiko netinkamas kenkėjiškų el. laiškų tvarkymas organizacijoje – laiškas persiunčiamas kitam darbuotojui, kuris jį atidaro.
Atakų formos ir jų raiška
Socialinės inžinerijos atakos vykdomos įvairiomis priemonėmis – SMS, RCS, iMessage, pokalbių programėlėmis (pvz., WhatsApp, Messenger, Telegram), el. paštu ar skambučiais, o pagal pobūdį skirstomos į kelis pagrindinius tipus: duomenų viliojimą, verslo el. pašto kompromitavimą, organizacijos vadovo imitavimą (angl. whaling) ir kitas.
Duomenų viliojimas, arba „fišingas“ (angl. phishing), yra viena populiariausių atakos rūšių, kai naudotojui el. ryšio priemonėmis – el. paštu, SMS žinute, MS Teams ar telefonu – siunčiamas pranešimas apsimetant patikimu paslaugų teikėju ar pažįstamu asmeniu. Tokiuose laiškuose dažniausiai prašoma prisijungti prie suklastotos svetainės, įvesti slaptažodį ar atsisiųsti „užkrėstą“ priedą.
Verslo el. pašto kompromitavimas (angl. Business Email Compromise, BEC) – tai ataka, kai piktavaliai perima arba suklastoja organizacijos ar jos darbuotojo el. pašto paskyrą. Tokia ataka gali būti nukreipta į įvairias organizacijos funkcijas – finansus, pirkimus ar personalo skyrių.
Dar pavojingesnis, advokato vertinimu, yra tikslinis „fišingas“ (angl. spear phishing), kai laiškų taikiniai – konkretūs organizacijos darbuotojai, dažniausiai turintys prieigą prie jautrių duomenų ir informacinių sistemų. Tokie laiškai suasmeninami pasitelkiant viešai prieinamą informaciją iš socialinių tinklų ar kitų šaltinių. Tuo tarpu vadovo apgavystės (angl. CEO fraud arba whaling) atveju sukčiai apsimeta įmonės aukščiausio lygmens vadovu ar kitu įtakingu asmeniu. Tokie laiškai paprastai rašomi pabrėžiant slaptumą ir skubą – darbuotojų prašoma atlikti neatidėliotiną pavedimą arba pasidalinti konfidencialia informacija.
Prevencijos priemonės organizacijose
Itin svarbu ugdyti darbuotojų atidumą ir gebėjimą atpažinti „kenkėjus“. Kibernetinio saugumo higiena, sistemingi vidiniai mokymai ir atakų simuliacijos yra būtinos prielaidos tam, kad organizacija aiškiai suprastų ir atpažintų prieš ją vykdomą socialinės inžinerijos ataką. Tik žinodami, su kuo kovojame ir su kuo susiduriame, galime optimaliai neutralizuoti situaciją ir suvaldyti neigiamų padarinių atsiradimo riziką.
Be kita ko, nereikėtų pamiršti ir kitų techninių saugumo priemonių, padedančių užtikrinti socialinės inžinerijos atakų prevenciją: spam filtrų, SIEM ir SOAR įrankių, juodųjų sąrašų (angl. blacklists) diegimo, duomenų nutekėjimo prevencijos (angl. Data Loss Prevention, DLP) sprendimų, ugniasienių, prieigos kontrolės, kibernetinio saugumo programinės įrangos atnaujinimų, audito žurnalų ir kitų priemonių.
