Mis on sotsiaalne manipuleerimine: meetodid, käik ja see, mis päriselt aitab

Ükski ründaja ei murra krüpteeringut, kui ta saab selle asemel kelleltki lihtsalt küsida. Sotsiaalne manipuleerimine on inimeste mõjutamine eesmärgiga saada kätte teavet, ligipääsuandmeid või raha – või vallandada tegevus, millest ründaja kasu saab. Tehnika selle taga on sageli triviaalne. Otsustav on see, kas ettekääne on usutav.

See artikkel käib läbi, miks need rünnakud nii kindlalt toimivad, kuidas nad neljas faasis kulgevad, millised meetodid Eestis praegu levinud on, mida tehisintellekt on muutnud, mis praktikas nende vastu mõjub ja kuidas oma vastupidavust mõõta.

Miks see toimib

Mitte sellepärast, et inimesed oleksid tähelepanematud. Vaid sellepärast, et ründajad kasutavad sihilikult ära käitumismustreid, mis tööpäevas on tavaliselt kasulikud:

• Autoriteet. Ülevalt tulevat korraldust seatakse harvemini kahtluse alla. See on iga juhipettuse tuum.
• Ajasurve. „Kella neljaks, muidu tehing kukub läbi.“ Surve lühendab kontrollimist.
• Abivalmidus. Kes töötab klienditoes, saab palka probleemide lahendamise, mitte helistajate kahtlustamise eest.
• Tuttavlikkus. Tuntud nimi, käimasolev e-kirjavestlus, logo õiges kohas. Tuttavlikkus asendab kontrolli.
• Hirm tagajärgede ees. „Teie konto suletakse 24 tunni pärast.“

Majanduslik põhjus on banaalne: paikamata tarkvara ärakasutuskood maksab aega või raha ja ei tööta pärast järgmist uuendust enam. Veenev e-kiri maksab kümme minutit ja töötab edasi.

Rünnaku neli faasi

1. Luure. Kes kus töötab, kes kellele allub, milliseid süsteeme kasutatakse, kes on parasjagu puhkusel. Kõik see on avalikult karjäärilehtedel, võrgustikuprofiilidel, pressiteadetes ja töökuulutustes – töökuulutuses on sageli kohe kirjas, millist tarkvara ettevõttes kasutatakse. Kuidas see üksikasjades käib, kirjeldame artiklis AI ja OSINT.
2. Usalduse loomine. Ehitatakse ettekääne: usutav roll, usutav põhjus, usutav kanal. Sageli koos kahjutu esimese kontaktiga, mis midagi ei nõua.
3. Ärakasutamine. Päris palve – klikk, sisselogimine, ülekanne, parooli lähtestamine, lahti hoitud uks.
4. Taandumine. Jälgede kõrvaldamine, ligipääsu kindlustamine, edasisuunamisreeglite loomine postkastis. Just siin otsustub, kas intsident tuleb välja päevade või alles kuude pärast.

Levinumad meetodid

Ärikirjavahetuse ülevõtmine on neist majanduslikult kalleim variant, sest see ei vaja pahavara: ründaja istub päris postkastis ja muudab päris arvel IBAN-i ära. Ei ole midagi, mida viirusetõrje ära tunda saaks.

Mida tehisintellekt on muutnud

Klassikalised soovitused kõlasid nii: jälgi kirjavigu, jälgi umbisikulisi pöördumisi. Kumbki ei ole enam kasutuskõlblik.

• Keelekvaliteet. Veatu ja loomulik eesti keel on täna tasuta saadaval. Eesti keel ise oli aastaid barjäär, mis nõrgemad kampaaniad välja sõelus – see barjäär on kadunud, ja koos sellega silmatorkav tõlkeviga hoiatusmärgina.
• Personaliseerimine masstootmises. See, mis varem oli käsitöö ühe väärtusliku sihtmärgi jaoks, käib nüüd automaatselt tuhande saaja kohta – igaühel õige ülemus, õige projekt ja õige toon.
• Sünteetilised hääled. Mõni sekund helimaterjali taskuhäälingust, veebiseminarist või häälsõnumist on jäljenduse jaoks piisav. Kirjeldasime seda üksikasjalikult artiklis deepfake-pettused ja vishing.
• Video reaalajas. Hüpe häälelt näole videokoosolekul on tänaseks tehtud.

Praktiline tagajärg: sisu järgi äratundmisele ei saa enam loota. Toimib hoopis kontroll teise, sõltumatu kanali kaudu – ja nimelt kataloogist võetud numbri, mitte sõnumis olnud numbri kaudu.

Mis tegelikult aitab

Tehniliselt:

• Andmepüügikindel mitmeastmeline autentimine FIDO2 ehk WebAuthni järgi. Otsustav erinevus SMS-koodidest ja ühekordsetest paroolidest: võti seotakse päris domeeniga, seetõttu ei saa vahele seatud andmepüügileht seda edasi anda.
• Kontrollkoodi võrdlemine Smart-ID ja Mobiil-ID puhul. Need on Eestis autentimise vaikevalik ja tugevad vahendid, kuid ka nende ümber ehitatakse reaalajas töötavaid andmepüügilehti: ründaja käivitab sisselogimise täpselt sel hetkel, kui sina arvad end oma kontole sisenevat, ja sina kinnitad tegelikult tema seansi. Ainus, mis selle katkestab, on number – telefonis kuvatav kontrollkood peab kattuma sellega, mida näitab teenus, kuhu sa sisse logid. Kui see ei kattu, katkesta ja teata.
• Numbrite võrdlemine tavalise tõukekinnituse asemel, et MFA-väsimus ei toimiks.
• SPF, DKIM ja DMARC koos jõustava poliitikaga, et sinu enda domeeni ei saaks võltsida.
• Väliste e-kirjade nähtav märgistamine otse sõnumi tekstis.
• Nelja silma põhimõte maksete puhul alates teatavast lävendist ja iga pangakonto muutmise puhul – sõltumata sellest, kes seda korraldab.

Korralduslikult:

• Kontrollimise kord, mida kõik teavad. Ebatavaline korraldus? Tagasihelistamine sisekataloogist võetud numbrile. See peab olema reegel, mitte isiklik otsus.
• Teatamine, mis midagi ei maksa. Teatamisnupp postiprogrammis ja usutav lubadus, et ekslik teade jääb tagajärgedeta. Kes kardab noomitust, see ei teata – ja siis saad sa asjast teada ründaja aruandest.
• Korduvad ja lühikesed küberturbe koolitused ühe iga-aastase kohustusliku ürituse asemel. Mõju on sageduse, mitte pikkuse küsimus.

Kuidas vastupidavust mõõta

Oletamisest ei piisa. Tellitud sotsiaalse manipuleerimise simulatsioon mõõdab kolme numbrit:

• Klikkimismäär – kui paljud avasid lingi.
• Sisestamismäär – kui paljud sisestasid ligipääsuandmed. See on kahju.
• Teatamismäär – kui paljud intsidendist teatasid ja kui kiiresti.

Kolmas number on kõige olulisem ja jäetakse kõige sagedamini välja. Organisatsioon, kus klikib 12%, aga 60% teatab kümne minuti jooksul, on tunduvalt vastupidavam kui see, kus klikib 4% ja keegi ei ütle midagi. Keegi klikib alati. Küsimus, mis loeb, on see, kas sa saad sellest õigel ajal teada.

Kaks tingimust simulatsioonile, mis kahju ei tee: tulemusi hinnatakse koondatult, mitte isikustatult, ja kampaania lepitakse eelnevalt kokku juhtkonna ning töötajate esindajaga, samuti tuleb üle vaadata, kas isikuandmete töötlemine on GDPR-i mõttes korras – Andmekaitse Inspektsioon (AKI) vaatab just seda. Kampaania, mis üksikuid töötajaid häbimärgistab, langetab teatamismäära püsivalt – sa maksad siis selle eest, et oma tähtsaim varajase hoiatuse süsteem välja lülitada.

Kui sa alustad nõude tõttu

Sotsiaalne manipuleerimine on oluline ka seal, kus jutt käib tõenditest. NIS2 nõuab artikli 21 lõikes 2 muu hulgas küberturvalisuse alast koolitust ja ISO 27001 nõuab lisa A punktis 6.3 teadlikkuse tõstmist, väljaõpet ja koolitust. Dokumenteeritud simulatsioonivoor koos enne-pärast mõõtmisega on tavapärane tõend selle kohta, et see meede mitte ainult ei eksisteeri, vaid ka mõjub.

Kuidas see ülejäänud tõendiahelasse sobitub, on kirjas NIS2 ja ISO 27001 lehel.

Sotsiaalne manipuleerimine – korduvad küsimused

Seotud Haxorise teenused: sotsiaalse manipuleerimise ja andmepüügi testimine · töötajate küberturvalisuse koolitus · red teaming — päris rünnaku simulatsioon