Kas ir sociālā inženierija: kā uzbrukums tiek salikts un ko rāda simulācija

Uzbrukums reti sākas ar kodu. Vispirms uzbrucējs izlasa darba sludinājumu, kurā uzņēmums pats uzskaita izmantotās sistēmas, pārskata publiskos profilus, lai saprastu, kurš kuram ir padotais, un piezvana cilvēkam, kurš tobrīd grib palīdzēt. Sociālā inženierija ir tieši tas: uzbrucējs nelauž sistēmu, bet panāk, ka cilvēks pats izdara to, ko tehniski panākt neizdotos – nosauc paroli, atver saiti, izlabo rēķinā konta numuru vai pietur durvis.

Rīks bieži ir triviāls. Visu izšķir iegansta ticamība.

Tālāk izsekots, kā šāds uzbrukums tiek salikts, kuri paņēmieni ir biežākie, kāpēc pret tiem nepietiek ar filtru un divfaktoru autentifikāciju un ko rāda saskaņota kampaņa – kopā ar diviem jautājumiem, kas Latvijas uzņēmumos rodas vienmēr.

Kas ir sociālā inženierija

Sociālā inženierija ir cilvēku ietekmēšana, lai viņi atklātu informāciju vai piekļuves datus, pārskaitītu naudu vai veiktu uzbrucējam izdevīgu darbību. Tehnisko aizsardzību uzbrucējs nelauž, bet panāk, ka kāds to atver viņa vietā.

Pikšķerēšanu jeb phishing bieži pielīdzina visai kategorijai, lai gan tā ir tikai viena metode – tā, kas strādā ar rakstisku ziņu. Tajā pašā jēdzienā ietilpst balss pikšķerēšana jeb vishing pa telefonu, pikšķerēšana īsziņās jeb smishing, iegansts jeb pretexting izdomātas lomas aizsegā un pavisam parasta iekļūšana ēkā aiz darbinieka muguras. Kopīgais tām visām ir mērķis: cilvēka lēmums, nevis serveris.

Kāpēc psiholoģiskā manipulācija strādā

Ne tāpēc, ka darbinieki būtu neuzmanīgi. Tāpēc, ka uzbrucējs balstās tieši uz tiem refleksiem, kas pārējā darba dienā ir noderīgi:

• Autoritāte. Rīkojumu no augšas apšauba retāk. Uz tā balstās arī viltus norādījums vadītāja vārdā.
• Laika spiediens. „Līdz plkst. 16.00, citādi maksājums neaizies.“ Steiga saīsina pārbaudi.
• Vēlme palīdzēt. Palīdzības dienestā cilvēkam maksā par to, lai viņš problēmu atrisina, nevis par to, lai viņš neuzticas zvanītājam.
• Pazīstams konteksts. Projekta nosaukums, nedēļām ilga sarakste, logotips īstajā vietā. Pietiek ar vienu sakritīgu detaļu, lai pārbaude paliktu neizdarīta.
• Bailes no sekām. „Konts tiks bloķēts 24 stundu laikā.“

Uzbrucēja pusē aprēķins ir prozaisks. Rīks, kas izmanto nelabotu ievainojamību, maksā laiku, bieži noder vienu reizi un pēc nākamā atjauninājuma vairs nestrādā. Ticama vēstule maksā ceturtdaļstundu un strādā arī pēc tam.

Kā uzbrukums tiek salikts

1. Izlūkošana. Kurš kur strādā, kurš kuram ir padotais, kādas sistēmas uzņēmums lieto, kurš tobrīd ir atvaļinājumā. Darba sludinājums nosauc tehnoloģijas, preses relīze dod tematu ieganstam, bet automātiskā atbilde par prombūtni precīzāk par visu pasaka, kurš tobrīd nav birojā. Par to, kā publiskā informācija pārvēršas uzbrukuma sagatavē, rakstījām atsevišķi: OSINT.
2. Iegansts. Ticama loma, ticams iemesls, ticams brīdis. Bieži sākas ar nekaitīgu pirmo ziņu, kas vēl neko neprasa; tā ir tikai tāpēc, lai nākamā vēstule jau būtu „turpinājums“.
3. Kanāls. E-pasts, telefons, īsziņa, tērzēšana, reizēm apmeklējums klātienē. Kanālu izvēlas pēc iegansta: viltots rēķins nāk vēstulē, paroles atjaunošanu kārto pa telefonu, bet piemaksu par sūtījumu prasa īsziņā.
4. Darbība. Klikšķis, pieteikšanās viltotā lapā, maksājums, paroles maiņa, pieturētas durvis. Pēc tam uzbrucējs iekārtojas: pastkastē parādās pāradresācijas kārtula, pazūd pēdas, tiek pievienots savs pieteikšanās veids. Tieši šis posms izšķir, vai incidents atklāsies pēc divām dienām vai pēc pusgada.

Biežākie paņēmieni

No uzskaitītajiem visdārgākā ir sarakstes pārņemšana, jo tai nav vajadzīga nekāda ļaunatūra. Uzbrucējs sēž īstā pastkastē un īstā rēķinā izlabo konta numuru sarakstē, kas turpinās jau nedēļām. Tur nav nekā, ko pretvīrusu programma varētu noķert.

Pēdējās rindas svars pieaug visstraujāk. Balss klonēšanai pietiek ar īsu ierakstu no tiešsaistes semināra vai balss pasta ziņas, bet videozvanos jau vilto ne tikai balsi, arī seju. Par to rakstījām rakstā deepfake krāpšana un vishing.

Kāpēc tehniskā aizsardzība to nenoķer

• Filtrs mēra masu. Konkrētam uzņēmumam rakstīta kampaņa, kas pienāk no tīra domēna, bez pielikuma un bez zināmas ļaunprātīgas adreses, vienkārši neaizķeras ne aiz vienas kārtulas.
• Sarakstes pārņemšana nāk no īstas pastkastes. SPF, DKIM un DMARC šajā gadījumā saka taisnību, jo sūtītājs tiešām ir tas, par ko uzdodas; tikai savu pastkasti viņš vairs nekontrolē.
• Otro faktoru var pārsūtīt tālāk. SMS kodu un vienreizējo paroli uzbrucējs reāllaikā pārsūta caur starpā ieliktu viltotu lapu, bet atkārtotiem push pieprasījumiem kāds agri vai vēlu piekrīt. To izslēdz pieteikšanās pēc FIDO2 (WebAuthn) standarta, kas ir noturīga pret pikšķerēšanu: atslēga ir piesaistīta īstajam domēnam un viltotā lapā nedarbojas.
• Smart-ID un eParaksts mobile pasargā ar vienu nosacījumu. Latvijā tie ir ikdienas pieteikšanās veids un stiprs rīks, taču arī tiem apkārt būvē reāllaika viltotas lapas: uzbrucējs pieteikšanos sāk tieši tobrīd, kad lietotājs domā, ka ieiet savā kontā, un apstiprināta tiek uzbrucēja sesija. Vienīgais, kas to pārtrauc, ir skaitlis – telefonā redzamajam kontroles kodam jāsakrīt ar to, kuru rāda pakalpojums. Ja tas nesakrīt, pieteikšanos pārtrauc un par notikušo paziņo.
• Pazudušas abas drošākās viltojuma pazīmes. Valodas kļūda un bezpersoniska uzruna vairs nav brīdinājums: nevainojamu latviešu valodu šodien var iegūt bez maksas, bet pielāgot vēstuli tūkstoš adresātiem vairs nav roku darbs. Par to plašāk rakstā MI pikšķerēšana.

Praktiskais secinājums ir viens teikums: pēc ziņas satura uzbrukumu vairs nevar droši atpazīt. Strādā pārbaude otrā kanālā – pa numuru no iekšējā kataloga, nevis pa to, kas norādīts pašā ziņā.

Kas patiešām palīdz

Tehniskajā pusē:

• Pieteikšanās pēc FIDO2 standarta SMS koda vietā.
• Skaitļu salīdzināšana push apstiprinājuma vietā, lai atkārtoti pieprasījumi naktī vairs neko nedotu.
• Kontroles koda salīdzināšana Smart-ID un eParaksts mobile lietojumā, ierakstīta iekšējos noteikumos, nevis atstāta katra paša ziņā.
• SPF, DKIM un DMARC ar noraidošu politiku (p=reject), lai uzņēmuma domēna vārdā neviens nevarētu rakstīt.
• Redzams marķējums vēstulēm no ārpuses, ziņas tekstā, nevis tehniskajā galvenē.
• Četru acu princips maksājumiem virs noteiktas summas un katrai konta numura maiņai, lai kurš arī to prasītu.
• Ziņošanas poga pasta programmā, ar vienu klikšķi.

Organizācijas pusē:

• Atzvanīšanas kārtība, par kuru zina visi. Neparasts rīkojums nozīmē zvanu uz numuru no iekšējā kataloga. Tam jābūt noteikumam, nevis darbinieka privātai izvēlei.
• Ziņošana bez sekām. Kas baidās no rājiena, tas neziņo, un tad par incidentu uzņēmums uzzina no uzbrucēja.
• Īsas un regulāras darbinieku kiberdrošības apmācības viena obligāta gadskārtēja pasākuma vietā. Nozīme ir biežumam, nevis garumam.

Kā notiek saskaņota pārbaude

Minēt uz labu laimi nav vērts, jo organizācijas noturība mainās līdz ar komandas sastāvu. Sociālā inženierija kā pakalpojums ir iepriekš saskaņota kampaņa jūsu darbinieku vidū: scenārijus, kanālus, laika logu un izņēmumu sarakstu pierakstām pirms sākuma, bet beigās sagatavojam ziņojumu.

1. Fiksējam tvērumu un noteikumus. Kas ir atļauts, kas nav, uz kuriem darbiniekiem attiecas, kurš zina iepriekš.
2. Veicam izlūkošanu. Tieši to pašu, ko izdarītu uzbrucējs.
3. Rakstām scenārijus konkrētajam uzņēmumam. Grāmatvedībai par rēķinu, iepirkumu daļai par piegādātāju, ražotnei par maiņu grafiku. Sagatavi neizvēlamies.
4. Izmērām reakciju. Ne tikai to, kurš uzklikšķināja, bet arī to, kurš paziņoja un cik ilgā laikā.
5. Rezultātu atklājam, nenosaucot vārdus. Mērķis ir labāks process, nevis vainīgo saraksts.

Trīs skaitļi kampaņas beigās

• Klikšķu rādītājs – cik daudzi atvēra saiti.
• Datu ievades rādītājs – cik daudzi ievadīja pieteikšanās datus. Šeit sākas reāls kaitējums.
• Ziņošanas rādītājs – cik daudzi par ziņu paziņoja un cik ilgā laikā.

Trešais ir svarīgākais, un tas visbiežāk iztrūkst. Organizācija, kurā uzklikšķina 12%, bet 60% desmit minūšu laikā par vēstuli paziņo, stāv labāk nekā tā, kurā uzklikšķina 4% un neviens nesaka neko. Kāds uzklikšķinās vienmēr. Jautājums ir, vai par to uzzina laikus.

Kampaņas rīkojam savā PhishGun platformā: pēc riskanta klikšķa uzreiz atveras īss paskaidrojums, kamēr izbīlis vēl nav pagājis. Blakus e-pastam pārbaudām arī telefonu un īsziņas, bet, kur tam ir jēga, arī iekļūšanu telpās. Ja jautājums nav par vienu kampaņu, bet par visu uzbrukuma ķēdi un par to, vai komanda to pamana, nākamais solis ir Red Team uzbrukuma simulācija. Tehnisko pusi izklāstījām rakstā kas ir ielaušanās testēšana.

Ko dod CERT.LV bezmaksas kampaņa un kur sākas pārējais

To ir vērts pateikt tieši: CERT.LV pakalpojumu sarakstā ir pikšķerēšanas uzbrukumu simulācija, un Nacionālās kiberdrošības likuma (turpmāk – NKDL) subjekti, kā arī valsts un pašvaldību iestādes to saņem bez maksas. Ja šī iespēja vēl nav izmantota, sāciet ar to. Viena kampaņa atbild uz jautājumu, vai darbinieki uzklikšķina, un šī atbilde neko nemaksā.

Tālāk sākas cits darbs. Vienreizējs mērījums neparāda, vai paradums ir mainījies, un uzmanība atslābst jau dažās nedēļās. Pastāvīga programma pievieno četras lietas:

• Vairākus viļņus gada garumā. Salīdzināms rezultāts parādās tikai no otrā viļņa, jo pirmais mēra arī pārsteigumu.
• Tekstus pa nodaļām. Viens teksts visam uzņēmumam izmēra tikai to, cik ticams bija tieši šis viens teksts.
• Ziņojumu vadībai. Rādītāji pa komandām un pa viļņiem, salīdzinājums ar iepriekšējo reizi un norāde, kur ieguldīt nākamo apmācību stundu.
• Saikni ar tehnisko pārbaudi. Kad kāds ievada paroli, rodas nākamais jautājums: ko ar to var izdarīt. Vai iegūtā parole tiešām atver pastu, VPN vai iekšējo sistēmu, noskaidro ielaušanās tests.

Vai darbinieki uzzina, ka tā ir pārbaude?

Kampaņas laikā nē, citādi mērījums neko nerādītu. Pēc klikšķa jā: katrs uzreiz saņem īsu paskaidrojumu, ka tā bija saskaņota pārbaude, un norādi, pēc kā viltoto ziņu varēja atpazīt.

Par to, ka uzņēmums šādas kampaņas vispār rīko, darbiniekiem jāzina iepriekš. Kampaņā tiek apstrādāti darbinieku personas dati, tāpēc apstrādes pamatu, datu apjomu un glabāšanas termiņus fiksē līgumā, bet pašu kārtību un informēšanas veidu pirms sākuma saskaņo ar personāla daļu, datu aizsardzības speciālistu un uzņēmuma juristu. Konkrētu datumu un vēstules saturu iepriekš paziņot nevajag – tas pārvērstu pārbaudi par aptauju.

Vai tas nesabojā attiecības kolektīvā?

Sabojā tad, ja rezultātu izmanto vainīgo meklēšanai. Tāpēc rezultātu atklājam apkopotu, sadalītu pa komandām un bez personu vārdiem, bet secinājumu aiznesam uz apmācībām, nevis uz darba izpildes vērtēšanu.

Kampaņa, kas atsevišķus cilvēkus izliek publiskai kritikai, panāk pretējo: darbinieki pārstāj ziņot par aizdomīgām vēstulēm. Bet tieši ziņošana ir vienīgais rādītājs, kam ir īsta nozīme. Tādā gadījumā uzņēmums maksā par to, lai apklusinātu paša ātrāko brīdinājumu.

Ko par to nosaka Latvijas normatīvie akti

Sociālās inženierijas testēšanu Latvijas normatīvie akti kā atsevišķu procedūru nenosauc, un to ir godīgi pateikt uzreiz: tas ir komercpakalpojums, nevis likumā aprakstīta darbība. Nosaukti ir divi blakus stāvoši pienākumi, un tieši tie šo darbu padara praktiski nepieciešamu.

Pirmais ir instruktāža. NKDL 25. panta piektās daļas 4. punkts uzliek kiberdrošības pārvaldniekam pienākumu „ne retāk kā reizi gadā nodrošināt, ka tiek veikta institūcijā nodarbināto instruktāža par subjektam aktuālajiem kiberriskiem un kiberdrošību“. Instruktāža, kurā par pikšķerēšanu nav ne vārda, aktuālos kiberriskus šodien vairs neapraksta, tāpēc kampaņas rezultāts ir ērtākais materiāls, ar ko instruktāžu piepildīt. Blakus stāv 28. panta pirmā daļa, kas prasa izstrādāt kiberrisku pārvaldības un darbības nepārtrauktības plānu un „nodrošināt darbiniekiem regulāru apmācību“ tā īstenošanai.

Otrais ir ikgadējā tehniskā pārbaude. NKDL 25. panta piektās daļas 2. punkts liek kiberdrošības pārvaldniekam ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un atbilstoši tās rezultātiem organizēt konstatēto trūkumu novēršanu. Metodi norma neuzspiež, bet CERT.LV iesaka pārbaudes plānot pēc satura: „CERT.LV ieskatā ikgadējām pārbaudēm būtu jābūt tematiskām, un tās jāveic atbilstoši informācijas sistēmu risku analīzes rezultātiem.“ Saskaņota kampaņa der kā viena šāda tēma, ja pēc mērījuma seko novēršana – apmācības, atzvanīšanas kārtība, izmaiņas maksājumu procesā. Ziņojums bez šīs otrās puses normu neizpilda. To, kuri pienākumi uz ko attiecas, izsekojām rakstā par to, vai ielaušanās testēšana ir obligāta.

HAXORIS ir Slovākijā reģistrēts uzņēmums, un Latvijā tam nav ne biroja, ne pārstāvniecības; scenārijus un vēstules tāpēc rakstām latviski kopā ar klienta komandu. Neveicam NKDL 44. pantā noteikto atbilstības auditu. Piedāvājam sociālās inženierijas testēšanu trijos kanālos un darbinieku kiberdrošības apmācības, kurās izejam cauri tieši tām vēstulēm, ko komanda dažas nedēļas iepriekš tiešām saņēma.

Sociālā inženierija – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: sociālās inženierijas testi un pikšķerēšanas simulācijas · kiberdrošības apmācības darbiniekiem