Когда мы говорим об уязвимостях, как правило, мы имеем в виду ошибки в коде и чувствительные фрагменты информационных систем. Однако, существуют и другие уязвимости – в голове потенциальной жертвы.
Это не вопрос отсутствия знаний на достаточном уровне, ни игнорирования правил кибербезопасности – все более-менее знают, как исключить такие проблемы. Успех атаки основывается иногда на том, что иногда рядовые пользователи реагируют несколько иначе, чем люди, работающие в области IT-безопасности. Ключевую роль здесь играет социальная инженерия.
Социальная инженерия – это сочетание социологии и психологии. Это набор методов для создания таких обстоятельств, которые приводят к заранее определенным эффектам. Используя человеческий страх, эмоции, чувства и рефлексы, киберпреступники могут получить доступ к полезной информации. Именно эта наука лежит в основе большинства целевых атак.
Мошенники чаще всего используют:
- любопытство
- сострадание
- страх
- жадность
Их можно также определить как «каналы влияния» через которые злоумышленники пытаются убедить потенциальных жертв принять определенные действия. С точки зрения киберпреступников лучше, когда мозг жертвы работает автоматически и не допускает появления критического мышления. Чтобы добиться этого, они используют много трюков. Несмотря на то, что на каждого лучше действует что-то своё, в сегодняшнем посте мы расскажем о тех, которые используются чаще всего.
Уважение к власти
Это одна из, так называемых, когнитивных ошибок – закономерности отклонений в поведении, восприятии и мышлении. Они возникают из склонности к бесспорному послушанию людей, которые имеют больше опыта или прав, при условии игнорирования собственных суждений о целесообразности данного действия.
На практике, например, это могут быть фишинговое сообщение электронной почты, полученное якобы от начальника. Если в сообщении будет предложено посмотреть танец и отправить его десяти друзьям – вы, скорее всего, отправите его в спам. Но если «начальник» попросит вас проверить документацию нового проекта, с большей долей вероятности вы загрузите вложение.
Давление времени
Один из наиболее часто применяемых методов психологической манипуляции – вызвать чувство, что дело срочное. Принятие обоснованного, рационального решения, как правило, основывается на детальной проверке всех данных. Проще говоря, вы должны потратить немного времени на анализ ситуации – и, поскольку это очень ценно для мошенников, они стараются максимально усилить давление на жертву, чтобы исключить возможность отклонения от темы.
Цель людей, использующих манипуляции, является вызов страха («Кто-то попытался получить доступ к вашей учетной записи. Если это не Вы, сразу нажмите на эту ссылку...») или интереса к быстрому заработку («Скидку получат только первые десять человек, которые нажмут ссылку. Не упустите эту возможность...»). Когда на горизонте появляется тиканье часов, вероятность поддаться инстинктам и принять решение на основе эмоций, а не рационального мышления, значительно увеличивается.
В этом этой категории находятся сообщения, которые содержат такие слова как «срочно» и «важно». Чаще всего они имеют красный цвет, который ассоциируется с опасностью, чтобы усилить эффект.
Автоматизм
В психологии автоматизм – это действия, осуществляемые без участия сознательного ума. Автоматизм может быть первичный (врожденный) или вторичный (отсутствие осмысления). Кроме того, его можно разделить на рефлекторный, языковой или мыслительный.
Отправляя конкретные сообщения, киберпреступники пытаются вызвать автоматический ответ получателям. Иногда вы можете прочитать в сообщении, что «электронная почта не может быть доставлена, нажмите, чтобы повторить попытку»; иногда они рассылают надоедливые информационные бюллетени, в которых помещают заманчивую большую кнопку с надписью «Отписаться»; но есть и ложные уведомления о появлении новых комментариев в социальной сети. В этом случае реакция является результатом вторичного рефлекса и автоматизации мышления.
Неожиданная информация
Это ещё один достаточно популярный вид манипуляции. В этом случае используется тот факт, что информация, представленная как искренняя исповедь, воспринимается менее критично, чем если бы была обнаружена самостоятельно.
На практике это может быть сообщение типа: «Мы с сожалением сообщаем вам об утечке паролей. Проверьте, находитесь ли вы в списке жертв».
Что можно сделать в таких ситуациях
Отклонения в восприятии, которые, к сожалению, идут на руку злоумышленникам, обусловлены биологически. Они появились в процессе эволюции мозга, чтобы помочь нам адаптироваться к миру; благодаря им мы экономим время и энергию. В основном, такие отклонения появляются в результате отсутствия навыков критического мышления.
Никогда не давай себя запугать: каждый может противостоять манипуляции, зная немного о психике человека и соблюдая несколько простых правил:
- Сообщения, которые якобы исходят от вышестоящих людей, всегда читайте критически. Почему начальник попросил вас открыть защищенный паролем архивы и отправить ключ в том же сообщении? Почему менеджер с доступом к учетной записи просит вас отправить деньги новому партнеру? Почему кто-то назначил вам пользовательское задание, отправив вам электронное письмо вместо звонка? Если что-то выглядит странно, проясните это другим каналом связи.
- Не отправляйте немедленный ответ на сообщения, в котором отправитель требует что-то от вас. Сохраняйте спокойствие, даже если содержание сообщения звучит пугающе. Прежде чем что-либо нажимать, проверьте отправителя, домен и ссылку. Если у вас всё ещё есть сомнения, свяжитесь с IT-персоналом.
- Если вы заметили, что склонны автоматически отвечать на сообщения, попробуйте выполнять действия осознанно. Это поможет вам восстановить контроль – ключевой момент здесь – активировать сознание в нужное время.
- Используйте продукты обеспечения безопасности, которые предлагают надежную антифишинговую технологию. В этом случае большинство попыток атаки будут остановлены в начале.
