Kas yra socialinė inžinerija: kaip sudėliojama ataka ir ką parodo simuliacija

Ataka retai prasideda nuo kodo. Pirmiausia užpuolikas perskaito darbo skelbimą, kuriame įmonė pati išvardija naudojamas sistemas, peržiūri viešus profilius, kad suprastų, kas kam pavaldus, ir paskambina žmogui, kuris tą akimirką nori padėti. Socialinė inžinerija – tai būtent tas kelias: užpuolikas nelaužia sistemos, o pasiekia, kad žmogus pats padarytų tai, ko techniškai pasiekti nepavyktų – pasakytų slaptažodį, atidarytų nuorodą, pakeistų sąskaitoje faktūroje banko sąskaitos numerį arba prilaikytų duris.

Priemonė dažnai būna triviali. Viską lemia legendos įtikinamumas.

Toliau atsekama, kaip tokia ataka sudėliojama, kurie metodai dažniausi, kodėl prieš juos nepakanka filtro ir dviejų veiksnių autentifikacijos ir ką parodo suderinta kampanija – kartu su dviem klausimais, kurie Lietuvos įmonėse kyla visada.

Kas yra socialinė inžinerija

Socialinė inžinerija – tai manipuliavimas žmonėmis siekiant, kad jie atskleistų informaciją ar prisijungimo duomenis, pervestų pinigus arba atliktų užpuolikui naudingą veiksmą. Techninės apsaugos užpuolikas nelaužia – jis pasiekia, kad kas nors ją atidarytų už jį.

Fišingas (liet. duomenų viliojimas, angl. phishing) dažnai sutapatinamas su visa kategorija, nors tai tik vienas metodas – tas, kuris dirba su rašytine žinute. Į tą pačią sąvoką telpa vishingas, tai yra balso fišingas telefonu, smishingas SMS žinutėmis, legenda (pretexting) prisidengiant išgalvotu vaidmeniu ir visiškai paprastas patekimas į pastatą paskui darbuotoją. Visus juos sieja tas pats taikinys: žmogaus sprendimas, o ne serveris.

Kodėl psichologinė manipuliacija veikia

Ne todėl, kad darbuotojai būtų neatidūs. Todėl, kad užpuolikas remiasi būtent tais refleksais, kurie visą likusią darbo dieną naudingi:

• Autoritetas. Nurodymas iš viršaus abejonių sukelia rečiau. Tuo remiasi ir suklastotas pavedimas vadovo vardu.
• Laiko spaudimas. „Iki 16.00 val., kitaip mokėjimas neišeis.“ Skuba sutrumpina patikrinimą.
• Noras padėti. Pagalbos tarnyboje žmogui mokama už tai, kad problemą išspręstų, o ne už tai, kad skambinančiuoju nepasitikėtų.
• Pažįstamas kontekstas. Projekto pavadinimas, savaitėmis trunkantis susirašinėjimas, logotipas tinkamoje vietoje. Užtenka vienos sutampančios detalės, kad patikrinimas liktų neatliktas.
• Pasekmių baimė. „Paskyra bus užblokuota per 24 valandas.“

Užpuoliko pusėje skaičiavimas prozaiškas. Priemonė, išnaudojanti nepataisytą pažeidžiamumą, kainuoja laiko, dažnai pasitarnauja tik vieną kartą ir po kito atnaujinimo nebeveikia. Įtikinamas laiškas kainuoja ketvirtį valandos ir veikia ir po jo.

Kaip sudėliojama ataka

1. Žvalgyba. Kas kur dirba, kas kam pavaldus, kokias sistemas įmonė naudoja, kas tuo metu atostogauja. Darbo skelbimas įvardija technologijas, pranešimas spaudai duoda temą legendai, o automatinis atsakymas apie nebuvimą tiksliau už viską pasako, kurio šiuo metu nėra biure. Apie tai, kaip vieša informacija virsta atakos ruošiniu, rašėme atskirai: OSINT.
2. Legenda. Įtikinamas vaidmuo, įtikinama priežastis, įtikinama akimirka. Dažnai pradedama nekalta pirmąja žinute, kuri dar nieko neprašo; ji reikalinga tik tam, kad kitas laiškas jau būtų „tęsinys“.
3. Kanalas. El. paštas, telefonas, SMS žinutė, pokalbių programa, kartais apsilankymas vietoje. Kanalas renkamas pagal legendą: suklastota sąskaita ateina laišku, slaptažodžio atkūrimas tvarkomas telefonu, o priemokos už siuntą prašoma žinute.
4. Veiksmas. Paspaudimas, prisijungimas suklastotame puslapyje, mokėjimas, slaptažodžio keitimas, prilaikytos durys. Paskui užpuolikas įsikuria: pašto dėžutėje atsiranda persiuntimo taisyklė, dingsta pėdsakai, pridedamas savas prisijungimo būdas. Būtent šis etapas lemia, ar incidentas paaiškės po dviejų dienų, ar po pusmečio.

Dažniausi metodai

Iš išvardytų brangiausias – susirašinėjimo perėmimas, nes jam nereikia jokios kenkėjiškos programos. Užpuolikas sėdi tikroje pašto dėžutėje ir tikroje sąskaitoje faktūroje pataiso banko sąskaitos numerį susirašinėjime, kuris tęsiasi jau savaitėmis. Ten nėra nieko, ką antivirusinė programa galėtų sugauti.

Paskutinės eilutės svoris auga sparčiausiai. Balsui klonuoti pakanka trumpo įrašo iš internetinio seminaro ar balso pašto žinutės, o vaizdo skambučiuose klastojamas jau ne tik balsas, bet ir veidas. Apie tai rašėme straipsnyje „deepfake“ sukčiavimas ir vishingas.

Kodėl techninė apsauga to nesugauna

• Filtras matuoja masę. Konkrečiai įmonei parašyta kampanija, ateinanti iš švaraus domeno, be priedo ir be žinomo kenkėjiško adreso, tiesiog neužkliūva už jokios taisyklės.
• Susirašinėjimo perėmimas ateina iš tikros pašto dėžutės. SPF, DKIM ir DMARC šiuo atveju sako tiesą, nes siuntėjas iš tikrųjų yra tas, kuo dedasi; tik savo pašto dėžutės jis nebekontroliuoja.
• Antrąjį veiksnį galima persiųsti toliau. SMS kodą ir vienkartinį slaptažodį užpuolikas realiu laiku persiunčia per tarpinį suklastotą puslapį, o su kartotinėmis push užklausomis kas nors anksčiau ar vėliau sutinka. Tai pašalina prisijungimas pagal FIDO2 (WebAuthn) standartą, atsparų fišingui: raktas susietas su tikru domenu ir suklastotame puslapyje neveikia.
• Smart-ID ir mobilusis parašas apsaugo su viena sąlyga. Tai stiprios kasdienės priemonės, tačiau ir aplink jas statomi tikralaikiai suklastoti puslapiai: užpuolikas prisijungimą pradeda būtent tuo metu, kai naudotojas galvoja, kad eina į savo paskyrą, ir patvirtinama būna užpuoliko sesija. Vienintelis dalykas, kuris tai nutraukia, – skaičius: telefone matomas kontrolinis kodas turi sutapti su tuo, kurį rodo paslauga. Jei nesutampa, prisijungimas nutraukiamas ir apie įvykį pranešama.
• Dingo abu patikimiausi klastojimo požymiai. Kalbos klaida ir beasmenis kreipinys nebėra įspėjimas: nepriekaištingą lietuvių kalbą šiandien galima gauti nemokamai, o pritaikyti laišką tūkstančiui adresatų nebėra rankų darbas. Apie tai plačiau straipsnyje DI fišingas.

Praktinė išvada telpa į vieną sakinį: iš žinutės turinio atakos patikimai atpažinti nebeįmanoma. Veikia patikrinimas antru kanalu – numeriu iš vidinio katalogo, o ne tuo, kuris nurodytas pačioje žinutėje.

Kas iš tikrųjų padeda

Techninėje pusėje:

• Prisijungimas pagal FIDO2 standartą vietoj SMS kodo.
• Skaičių sulyginimas vietoj push patvirtinimo, kad kartotinės užklausos naktį nebeduotų nieko.
• Kontrolinio kodo sulyginimas naudojant Smart-ID ir mobilųjį parašą, įrašytas į vidaus tvarką, o ne paliktas kiekvieno nuožiūrai.
• SPF, DKIM ir DMARC su atmetimo politika (p=reject), kad įmonės domeno vardu niekas negalėtų rašyti.
• Matomas ženklinimas laiškams iš išorės, žinutės tekste, o ne techninėje antraštėje.
• Keturių akių principas mokėjimams virš nustatytos sumos ir kiekvienam banko sąskaitos numerio keitimui, kad ir kas jo prašytų.
• Pranešimo mygtukas pašto programoje, vienu paspaudimu.

Organizacijos pusėje:

• Atgalinio skambučio tvarka, apie kurią žino visi. Neįprastas nurodymas reiškia skambutį numeriu iš vidinio katalogo. Tai turi būti taisyklė, o ne asmeninis darbuotojo pasirinkimas.
• Pranešimas be pasekmių. Kas bijo papeikimo, tas nepraneša, ir tada apie incidentą įmonė sužino iš užpuoliko.
• Trumpi ir reguliarūs kibernetinio saugumo mokymai vietoj vieno privalomo metinio renginio. Svarbu dažnumas, o ne trukmė.

Kaip vyksta suderintas patikrinimas

Spėlioti neverta, nes organizacijos atsparumas kinta kartu su komandos sudėtimi. Socialinės inžinerijos testavimas kaip paslauga – tai iš anksto suderinta kampanija, nukreipta į įmonės darbuotojus: scenarijai, kanalai, laiko langas ir išimčių sąrašas užrašomi prieš pradžią, o pabaigoje parengiama ataskaita.

1. Nustatoma apimtis ir taisyklės. Kas leidžiama, kas ne, kuriems darbuotojams taikoma, kas žino iš anksto.
2. Atliekama žvalgyba. Būtent ta pati, kurią atliktų užpuolikas.
3. Rašomi konkrečiai įmonei skirti scenarijai. Buhalterijai – apie sąskaitą, pirkimų skyriui – apie tiekėją, gamybai – apie pamainų grafiką. Šablonas nesirenkamas.
4. Išmatuojama reakcija. Ne tik tai, kas paspaudė, bet ir tai, kas pranešė ir per kiek laiko.
5. Rezultatas pateikiamas nevardijant asmenų. Tikslas – geresnis procesas, o ne kaltųjų sąrašas.

Trys skaičiai kampanijos pabaigoje

• Paspaudimų rodiklis – kiek atvėrė nuorodą.
• Duomenų suvedimo rodiklis – kiek suvedė prisijungimo duomenis. Čia prasideda tikra žala.
• Pranešimų rodiklis – kiek apie žinutę pranešė ir per kiek laiko.

Trečiasis – svarbiausias, ir jo dažniausiai trūksta. Organizacija, kurioje paspaudžia 12 proc., bet 60 proc. per dešimt minučių apie laišką praneša, yra geresnėje padėtyje nei ta, kurioje paspaudžia 4 proc. ir niekas nieko nesako. Kas nors paspaus visada. Klausimas tas, ar apie tai sužinoma laiku.

Kampanijas rengiame savo PhishGun platformoje: po rizikingo paspaudimo iškart atsiveria trumpas paaiškinimas, kol išgąstis dar neatslūgo. Greta el. pašto tikriname ir telefoną bei žinutes, o kur tai prasminga – ir patekimą į patalpas. Jei klausimas ne apie vieną kampaniją, o apie visą atakos grandinę ir apie tai, ar komanda ją pastebi, kitas žingsnis – Red Team atakos simuliacija. Techninę pusę išdėstėme straipsnyje kas yra įsilaužimų testavimas.

Vienkartinis matavimas ir nuolatinė programa

Pirmoji kampanija atsako į vieną klausimą: ar darbuotojai paspaudžia. Tai verta pradžia, ir dažniausiai nuo jos ir pradedama.

Toliau prasideda kitas darbas. Vienkartinis matavimas neparodo, ar įprotis pasikeitė, o budrumas atslūgsta jau per kelias savaites. Nuolatinė programa prideda keturis dalykus:

• Kelias bangas per metus. Palyginamas rezultatas atsiranda tik nuo antros bangos, nes pirmoji matuoja ir netikėtumą.
• Tekstus pagal padalinius. Vienas tekstas visai įmonei išmatuoja tik tai, kiek įtikinamas buvo būtent tas vienas tekstas.
• Ataskaitą vadovybei. Rodikliai pagal komandas ir pagal bangas, palyginimas su ankstesniu kartu ir nuoroda, kur investuoti kitą mokymų valandą.
• Sąsają su techniniu patikrinimu. Kai kas nors suveda slaptažodį, kyla kitas klausimas: ką su juo galima padaryti. Ar gautas slaptažodis iš tikrųjų atveria paštą, VPN ar vidinę sistemą, parodo įsilaužimų testavimas.

Ar darbuotojai žino, kad tai patikrinimas?

Kampanijos metu – ne, kitaip matavimas nieko nerodytų. Po paspaudimo – taip: kiekvienas iškart gauna trumpą paaiškinimą, kad tai buvo suderintas patikrinimas, ir nuorodą, iš ko suklastotą žinutę buvo galima atpažinti.

Apie tai, kad įmonė tokias kampanijas apskritai rengia, darbuotojai turi žinoti iš anksto. Kampanijoje tvarkomi darbuotojų asmens duomenys, todėl tvarkymo pagrindas, duomenų apimtis ir saugojimo terminai fiksuojami sutartyje, o pati tvarka ir informavimo būdas prieš pradžią derinami su personalo skyriumi, duomenų apsaugos pareigūnu ir įmonės teisininku. Konkrečios datos ir laiško turinio iš anksto skelbti nereikia – tai patikrinimą paverstų apklausa.

Ar tai nesugadina santykių kolektyve?

Sugadina tada, kai rezultatas naudojamas kaltiesiems ieškoti. Todėl rezultatą pateikiame apibendrintą, suskirstytą pagal komandas ir be asmenų vardų, o išvadą nunešame į mokymus, o ne į darbo rezultatų vertinimą.

Kampanija, kuri atskirus žmones išstato viešai kritikai, pasiekia priešingą tikslą: darbuotojai nustoja pranešti apie įtartinus laiškus. O būtent pranešimas – vienintelis rodiklis, turintis tikrą reikšmę. Tokiu atveju įmonė moka už tai, kad nutildytų savo pačios greičiausią įspėjimą.

Ką apie tai sako Lietuvos teisė

Socialinės inžinerijos testavimo Lietuvos teisės aktai kaip atskiros procedūros neįvardija, ir tai sąžininga pasakyti iškart: tai komercinė paslauga, o ne teisės akte aprašytas veiksmas. Įsilaužimų testavimas Lietuvoje taip pat nėra privalomas, o testuotojams nėra nei licencijų, nei registro.

Įvardytos kitos, greta stovinčios pareigos, ir jos padeda suprasti, kur šis darbas įsiterpia. Kibernetinio saugumo reikalavimų aprašas (Vyriausybės nutarimas Nr. 945) 45.8 papunktyje numato ne rečiau kaip kas 6 mėnesius atliekamą viso masto spragų skenavimą, 48.1 papunktyje – kasmetinį atitikties vertinimą, kurį subjektas atlieka pats, o 48.3 papunktis kartu su Kibernetinio saugumo įstatymo 14 straipsnio 8 dalimi – ne rečiau kaip kas 3 metus atliekamą kibernetinio saugumo auditą. Nė viena iš šių trijų pareigų nėra nei įsilaužimų testavimas, nei socialinės inžinerijos kampanija. Terminai skaičiuojami kiekvienam subjektui atskirai – 12 mėnesių organizaciniams ir 24 mėnesiai išvardytiems techniniams reikalavimams nuo tos dienos, kurią tas subjektas užregistruojamas KSIS, o ne pagal vieną visai rinkai bendrą datą. Kurios pareigos kam taikomos, atsekėme straipsnyje apie tai, ar įsilaužimų testavimas privalomas.

Yra ir viena nuostata, kuri socialinę inžineriją paliečia tiesiogiai. Kibernetinio saugumo įstatymo 25 straipsnis nustato sąlygas, kuriomis pažeidžiamumų galima ieškoti be išankstinio sistemos valdytojo sutikimo: apie radinį pranešama Nacionaliniam kibernetinio saugumo centrui per 24 valandas, patvirtinus pažeidžiamumą veikla nutraukiama, slaptažodžiai nespėliojami, o viešinimas atidedamas. Tarp tų pačių sąlygų aiškiai įrašytas ir draudimas manipuliuoti darbuotojais. Tai reiškia, kad socialinės inžinerijos testavimas į šį saugiklį nepatenka niekada – jis įmanomas tik pagal rašytinį užsakovo leidimą ir iš anksto sutartą apimtį. Todėl apimtis, kanalai, laiko langas ir išimtys užrašomi prieš pirmą laišką, o ne po jo.

Antra riba – asmens duomenys. Kampanijoje matoma, kas paspaudė ir kas pranešė, todėl tvarkymo pagrindas, apimtis ir saugojimo terminai turi būti sutvarkyti pagal BDAR. Priežiūros institucija Lietuvoje – Valstybinė duomenų apsaugos inspekcija.

HAXORIS – Slovakijoje registruota įmonė, Lietuvoje neturinti nei biuro, nei atstovybės; scenarijus ir laiškus todėl rašome lietuviškai kartu su kliento komanda. Kibernetinio saugumo įstatymo 14 straipsnio 8 dalyje numatyto kibernetinio saugumo audito neatliekame ir atitikties nesertifikuojame. Siūlome socialinės inžinerijos testavimą trimis kanalais ir kibernetinio saugumo mokymus, kuriuose pereinama būtent per tuos laiškus, kuriuos komanda prieš kelias savaites iš tikrųjų gavo.

Socialinė inžinerija – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: socialinės inžinerijos testavimas ir fišingo simuliacijos · kibernetinio saugumo mokymai darbuotojams