Социальная инженерия — определение, методы атак и защита сотрудников
Что такое социальная инженерия
Социальная инженерия — это совокупность приёмов, с помощью которых злоумышленник обманом или психологическим давлением заставляет человека самого выдать конфиденциальные данные, открыть доступ к системе или совершить нужное ему действие. Атака направлена не на программу или оборудование, а на сотрудника: на его доверие, страх, спешку и желание помочь.
Для компании это самый дешёвый путь внутрь: взломать защиту сложно, а убедить человека назвать пароль или открыть вложение проще. Самый частый метод — фишинговая атака, но им список не ограничивается: есть звонки, подброшенные носители и проникновение в офис. Результат такой атаки обычно оформляется как инцидент информационной безопасности.
Если нужно не просто знать термин, а научить людей не попадаться, это делает обучение сотрудников по ИБ.
Нужно научить сотрудников распознавать такие атаки? Обсудим программу под вашу компанию
Как работает атака социальной инженерии
У большинства атак одна и та же схема из четырёх шагов:
- Сбор сведений: имена, должности, структура компании, привычные письма — из открытых источников и соцсетей
- Легенда: злоумышленник представляется тем, кому сотрудник доверяет, — банком, руководителем, техподдержкой, контрагентом
- Давление: срочность, угроза блокировки, обещание выгоды или просьба «никому не говорить»
- Действие: человек вводит пароль, называет код, открывает файл или переводит деньги — и атака удалась
Слабое место здесь не техника, а ситуация, в которой у человека нет времени и привычки проверить. Поэтому защита сводится к тому, чтобы такая проверка стала нормой работы.
Методы социальной инженерии
Методов много, но в корпоративной среде повторяются семь основных. Таблица ниже помогает сопоставить приём с внешним признаком, по которому его можно заметить.
| Метод | Как выглядит | Признак |
|---|---|---|
| Фишинг | Письмо или сообщение с поддельной ссылкой, формой входа или вложением | Чужой домен, срочность, просьба ввести пароль |
| Вишинг | Звонок «из банка», «из службы безопасности», «из техподдержки» | Просьба назвать код из СМС или установить программу |
| Претекстинг | Заранее придуманная легенда: «новый сотрудник», «проверка от руководства» | Знает детали о компании, но просит обойти порядок |
| Кви про кво | Помощь в обмен на доступ: «настрою вам компьютер, только дайте пароль» | Незапрошенная помощь и просьба об учётных данных |
| Дорожное яблоко | Флешка или диск с заманчивой подписью, оставленные у офиса | Незнакомый носитель в общедоступном месте |
| Тейлгейтинг | Проход в офис следом за сотрудником или под видом курьера | Человек без пропуска просит придержать дверь |
| Имитация руководителя | Письмо «от директора» с просьбой срочно оплатить счёт или прислать данные | Личная почта или мессенджер, просьба не обсуждать |
Подробнее о самом массовом методе — в разборе фишинговой атаки: там признаки письма, виды и порядок действий, если ссылка уже открыта.
Признаки атаки: когда остановиться
Любой из этих сигналов — повод прекратить разговор или не открывать письмо и проверить собеседника другим каналом:
- Срочность: «через час заблокируем», «оплатить сегодня», «последнее предупреждение»
- Просьба о необычном: назвать пароль или код из СМС, установить программу, обойти порядок согласования
- Давление авторитетом: «это распоряжение директора», «звонят из службы безопасности банка»
- Секретность: «не говорите никому», «это конфиденциально»
- Незапрошенная помощь или подарок: «мы вам поможем», «вам положена выплата»
- Канал не тот: руководитель пишет с личной почты, контрагент присылает новые реквизиты в мессенджере
Ни один признак по отдельности не доказывает обман, но чем их больше, тем выше вероятность атаки. Правило для сотрудника простое: проверить по известному номеру или в рабочем чате и только потом действовать.
Как защитить сотрудников от социальной инженерии
Защита строится из трёх слоёв: правила, обучение и проверка. Ни один из них не работает сам по себе.
- Правила: в инструкции по информационной безопасности прописано, что пароли и коды никому не передаются, а подозрительное письмо пересылается в ИБ
- Пароли и доступ: сильная парольная политика и многофакторная аутентификация ограничивают ущерб, даже если пароль выдан
- Обучение: короткие разборы реальных случаев из работы именно этой компании, а не абстрактные лекции
- Простой канал сообщения: один адрес или телефон, куда можно быстро переслать подозрительное, без страха наказания
- Реагирование: заранее описанный порядок действий, как в управлении инцидентами ИБ, чтобы сообщение о случае не терялось
- Повторение: навык забывается, поэтому обучение повторяют, а не проводят один раз при приёме на работу
Повседневные привычки, на которых держится эта защита, собраны в глоссарии: что такое кибергигиена.
Проверим устойчивость сотрудников учебной фишинговой рассылкой — организуем как интегратор
Как проверить, что обучение работает
Знания лучше всего проверяются на практике. Для этого используют учебные фишинговые рассылки: сотрудникам приходит безопасное письмо, похожее на настоящее, и считается, кто перешёл по ссылке, а кто сообщил в ИБ. Результат показывает, какие отделы и какие сценарии требуют внимания, и становится основой для следующего обучения. Такие рассылки и киберучения мы организуем как интегратор, подбирая инструмент под задачу, а разбор результатов и обучение проводят люди.
Общего требования для всех организаций нет, но для части операторов норма прямая. Приказ ФСТЭК России № 117 распространяется на государственные информационные системы и иные информационные системы государственных органов, государственных унитарных предприятий и государственных учреждений (п. 1). В мероприятия по повышению информированности пользователей он включает памятки, баннеры и буклеты (п. 56 «а»), лекции, семинары и обучающие игры (п. 56 «б»), имитационные рассылки электронных писем для оценки устойчивости пользователей к методам социальной инженерии (п. 56 «в») и тренировки с пользователями (п. 56 «г»). Подробнее — в разборе приказа ФСТЭК № 117.
Оценить, насколько зрелы процессы ИБ в целом, можно в самооценке зрелости ИБ. Проверить знания сотрудников быстрым опросом — в тесте по ИБ для сотрудников. Общий взгляд на тему даёт материал про security awareness.
Вопросы о социальной инженерии
Научим сотрудников не попадаться на обман
Обучение по ИБ под ваши процессы проводят люди, а учебные фишинговые рассылки и киберучения мы организуем как интегратор.