Co to jest social engineering?

Nie potrzebujesz być hakerem, żeby zdobyć hasło do czyjegoś konta. Wystarczy, że potrafisz wzbudzić zaufanie, stworzyć emocje i wywołać presję. Tym właśnie zajmuje się social engineering – jeden z najczęściej wykorzystywanych, a jednocześnie najmniej rozpoznawalnych sposobów ataków w cyberprzestrzeni. W tym artykule pokażemy, czym naprawdę jest, jak odróżnić ją od klasycznych ataków hakerskich i dlaczego to nie technologia, ale psychologia staje się głównym polem walki. Zobaczysz, że zagrożenie dotyczy każdego - Ciebie, Twoich bliskich i Twoich codziennych decyzji – w sklepie, w pracy, na Messengerze i w rozmowie telefonicznej.

• Co to jest social engineering?
• Social engineering - model parasolowy
• Dlaczego Social engineering jest skuteczny?
• Social engineering - przykłady
  • Phishing przez e-mail: „Twoje konto bankowe zostało zablokowane”
  • Spear phishing: „Dzień dobry, piszę w sprawie CV”
  • Vishing (voice phishing): „Tu infolinia banku”
  • Smishing: „Kod BLIK od koleżanki”
  • Pretexting: „Z US – proszę o doprecyzowanie danych”
  • Baiting: „Pendrive znaleziony na parkingu”
  • Shoulder Surfing: „Przypadkowy pasażer w pociągu”
• Jak się bronić przed social engineeringiem?

Co to jest social engineering?

W największym skrócie: social engineering to hackowanie ludzi, nie systemów. W odróżnieniu od technicznych ataków cybernetycznych, które wykorzystują luki w oprogramowaniu, ataki socjotechniczne bazują na manipulacji emocjami, zaufaniem i rutyną.

Ktoś, kto Cię oszukuje, nie potrzebuje znać Twojego hasła – wystarczy, że sprawi, byś sam je podał. A jak to robi? Podszywa się pod kogoś znajomego, tworzy presję czasu, budzi emocje, wzbudza zaufanie. Brzmi znajomo? Bo właśnie tak działa smishing, phishing, vishing i dziesiątki innych technik. Dokładnie tak, jak przy phishingu, smishingu, itp. ale do tego wątku, wrócimy w dalszej części artykułu. 

Social engineering nie jest związany z konkretną technologią czy kanałem komunikacji, czy social mediami, ale z człowiekiem jako głównym celem i podatnością. To forma ataku, która nie "hakuję systemu", tylko "hakuję człowieka".

Social engineering - model parasolowy

Social engineering to parasol pojęciowy – tak określa się cały zbiór technik oszustw, które mają jeden wspólny mianownik: ofiarą nie jest komputer, tylko człowiek. Pod tym „parasolem” znajdziemy m.in.:

• phishing – oszustwa przez e-mail,
• smishing – przez SMS,
• vishing – przez telefon,
• spear phishing – ataki na konkretną osobę lub firmę,
• quishing – przez kody QR,
• angler phishing – w mediach społecznościowych,
• baiting – przez podkładanie „atrakcyjnych” plików,
• pretexting – zmyślone historie od „pracowników banku”, „policjantów” itp.

Wszystkie te formy mają inne metody, inne narzędzia, inne kanały komunikacji – ale cel zawsze ten sam: wykorzystać ludzką naturę do uzyskania dostępu, którego napastnik normalnie by nie miał.

Analizując różnego typu źródła informacji o cyberbezpieczeństwie, natknęliśmy się na to, że social engineering jest często utożsamiany z social mediami. Media społecznościowe to jedno z narzędzi, z których korzystają atakujący w kampaniach social engineering. Ale sam atak nie jest „o social mediach”, tylko o człowieku:

• Na Instagramie możesz dostać wiadomość od "koleżanki", która prosi o kod BLIK – to smishing/social engineering przez media społecznościowe.
• Na LinkedIn ktoś udaje rekrutera, który próbuje wyciągnąć informacje o Twoim miejscu pracy – klasyczny przykład pretextingu, także zaliczany do social engineering.
• Na Facebooku ktoś podszywa się pod obsługę klienta lub organizuje konkurs – a to angler phishing, również technika z parasola social engineering.

Dlaczego Social engineering jest skuteczny?

Social engineering działa, bo bazuje na psychologii, nie na technologii. Najczęściej wykorzystywane mechanizmy to:

• strach – „Twoje konto zostanie zablokowane”,
• presja czasu – „Musisz zareagować w ciągu 5 minut”,
• zaufanie do autorytetu – „Tu Policja, trwa postępowanie”,
• przeciążenie informacyjne – „kliknij tu, bo za chwilę nie zdążysz”,
• empatia – „Mamo, to ja, potrzebuję pomocy”.

Cyberprzestępcy mają dziś dostęp do Twoich danych, zdjęć, listy znajomych, preferencji zakupowych. Ich wiadomości nie są już chaotyczne i z błędami – są perfekcyjnie dopasowane, spersonalizowane, wzbudzają emocje i wyglądają jak prawdziwe. Dlatego cały czas, coraz głośniej, mówi się o danych wrażliwych, o tym, że media społecznościowe, pomimo wielu zalet, są niebezpieczne, szczególnie dla młodych ludzi i dzieci. Ale ofiarą może być każdy. 

Dlatego nie wystarczy być „technicznie ostrożnym”. Musisz być świadomy psychologicznych chwytów, bo to one są główną bronią napastników. I powinieneś uświadamiać innych, jakie zagrożenia mogą na nich czekać w sieci. I poza nią, bo do otrzymania SMS z prośbą o pomoc finansową dla wnuczka, może dostać każdy. 

Social engineering - przykłady

Żeby jeszcze lepiej zobrazować, jak działa social engineering, przygotowaliśmy kilka przykładów:

Phishing przez e-mail: „Twoje konto bankowe zostało zablokowane”

Otrzymujesz e-mail od „mBank” lub „PKO BP” o treści:

• „Z powodu podejrzanej aktywności Twoje konto zostało tymczasowo zawieszone. Zaloguj się natychmiast, aby je odblokować.”

Link prowadzi do fałszywej strony przypominającej stronę banku. Celem jest wyłudzenie loginu i hasła. Warto pamiętać, że takie próby to również element szerszego zjawiska, jakim jest scam.

Warianty:

• „Twoja paczka z InPost nie może zostać doręczona”
• „Ostatni krok do odbioru zwrotu z ZUS”
• „Twój PIT ma błąd – uzupełnij dane”

Spear phishing: „Dzień dobry, piszę w sprawie CV”

Pracujesz w dziale HR lub prowadzisz rekrutację przez OLX. Dostajesz e-mail od „Magdy z Poznania” z treścią:

• „W odpowiedzi na ofertę pracy – w załączniku przesyłam moje CV. Chętnie odpowiem na dodatkowe pytania.”

Załącznik to zainfekowany plik Word z makrem. Celem ataku jest infekcja Twojego komputera lub zdobycie danych firmy.

Vishing (voice phishing): „Tu infolinia banku”

Dzwoni do Ciebie „konsultant z banku” i mówi:

• „Zauważyliśmy próbę wypłaty z bankomatu w Czechach na 700 zł. Czy potwierdza Pan tę operację? Proszę zalogować się do aplikacji i potwierdzić to kodem.”

W rzeczywistości to oszust, który nakłania Cię do autoryzacji przelewu. Pamiętaj, że takie połączenia mogą również wykorzystywać techniki spoofingu, aby fałszować numer dzwoniącego.

Smishing: „Kod BLIK od koleżanki”

Dostajesz wiadomość przez Messenger od osoby z listy znajomych:

• „Hej, mam problem, muszę pilnie zapłacić 200 zł, możesz mi dać kod BLIK? Oddam jutro!”

Oszust przejął konto znajomej i próbuje wyłudzić pieniądze. Dowiedz się więcej o tym, jak smishing może wykorzystywać Twoich znajomych.

Pretexting: „Z US – proszę o doprecyzowanie danych”

Dzwoni do Ciebie „pracownik Urzędu Skarbowego” i mówi:

• „Jest niezgodność w Twoim NIP-ie i numerze konta, musimy to wyjaśnić zanim przelejemy zwrot.”

Atakujący chce uzyskać Twoje dane osobowe lub numer konta bankowego. Warto wiedzieć, że podobne techniki są wykorzystywane w szerokiej kategorii niechcianych wiadomości, znanej jako spam.

Baiting: „Pendrive znaleziony na parkingu”

Znajdujesz pendrive obok kasy w Żabce lub na uczelni. Na obudowie napis:

• „CV – Maciej K.” lub „Faktury 2024”

Z ciekawości podłączasz go do komputera – instaluje się spyware.

Shoulder Surfing: „Przypadkowy pasażer w pociągu”

Jedziesz Pendolino, obok siedzi ktoś, kto przez dłuższy czas ukradkiem patrzy na Twój ekran. Widział Twój login do systemu firmowego albo numer PESEL podczas logowania do e-Urzędu.

Może Ci się wydawać teraz, że to niemożliwe, że to działa. To jest zbyt proste, aby było prawdziwe. Zwróć jednak uwagę, że nie mówimy tu o kilku ludziach którzy nagle stają się ofiarami cyberataku, nawet jeśli ktoś zwyczajne podejrzał ich PIN do telefonu. Takich przestępstw, w każdej chwili realizowanych jest dziesiątki tysięcy. Informacja, dostęp do informacji, dostęp do danych, jakichkolwiek, jest celem ataków, bo zawsze znajdzie się sposób, jak je wykorzystać przeciwko Tobie lub po prostu, do realizacji celów atakującego. 

---

Jak się bronić przed social engineeringiem?

Nie ma jednej złotej zasady, która uchroni przed wszystkimi atakami socjotechnicznymi, bo ich siła tkwi w elastyczności i umiejętnym dopasowaniu się do ofiary. Ale są proste nawyki i nastawienie, które potrafią zdziałać naprawdę dużo.

Po pierwsze: zwalniaj. Socjotechnika działa na emocjach – pośpiechu, strachu, ekscytacji. Jeśli dostajesz wiadomość, która wymaga natychmiastowej reakcji, naciska na Ciebie, albo obiecuje coś podejrzanie korzystnego – zatrzymaj się. Pomyśl. Zadzwoń do tej osoby innym kanałem, sprawdź adres nadawcy, zobacz, czy numer wygląda dziwnie. Warto też wiedzieć, dlaczego wiadomości trafiają do spamu, aby lepiej identyfikować podejrzane komunikaty.

Po drugie: nie wierz tylko dlatego, że „to wygląda profesjonalnie”. Atakujący potrafią świetnie podrobić stronę banku, numer telefonu, logo firmy kurierskiej. Ale nie potrafią podrobić logiki. Dlaczego bank dzwoni w niedzielę wieczorem i prosi Cię o zainstalowanie aplikacji? Dlaczego znajoma z Facebooka nagle prosi o BLIKa bez żadnego wstępu, a nie odzywała się miesiącami? Nie oceniamy, ale możemy upewnić się, czy to ona. 

Po trzecie: naucz się rozpoznawać wzorce. Większość ataków nie jest nowa, tylko inaczej opakowana. Przykład? Fałszywy SMS z linkiem do śledzenia paczki = klasyczny smishing. E-mail z plikiem CV i makrem = spear phishing. Telefon od „policjanta CBŚP” = vishing z elementem pretextingu.

Po czwarte: chroń swoje dane jak gotówkę. Dane osobowe, loginy, hasła, numery kont, skany dowodu — to Twoje waluty. Nie rozdawaj ich byle komu, nie podawaj przez telefon, nie wpisuj na stronach, co do których masz choć cień wątpliwości. Naucz się dbać o swoją prywatność. Zacznij od autoryzacji dwuetapowej do telefonu, menedżera haseł, limitów na płatności elektroniczne, regularnej zmiany haseł i trzymania portfela z dokumentami w miejscu niedostępnym do wyciągnięcia. Dodatkowo, aby zwiększyć bezpieczeństwo poczty elektronicznej, sprawdź, jak protokoły SPF, DKIM i DMARC wpływają na ochronę antyspamową.

I po piąte: ucz się i ucz innych. Social engineering działa najlepiej tam, gdzie nikt się go nie spodziewa. A jak powiedział jeden z ekspertów: największą przewagą atakujących jest nasza cisza i brak czujności. Porozmawiaj z rodziną, ze znajomymi. Pokaż im ten temat, zanim nauczą się go na własnej skórze. Jeśli jesteś administratorem serwera, możesz również rozważyć konfigurację antyspam SpamAssassin w DirectAdmin, a także dowiedzieć się, jak skonfigurować filtr antyspam DirectAdmin, aby zminimalizować ryzyko podobnych ataków.