Sztuczki socjotechniczne - "irytowanie użytkownika"

Cyberprzestępcy starają się dostać do naszych aktywów w przeróżny sposób. Wykorzystują do tego celu niewiedzę lub łatwowierność użytkowników, którzy z reguły są najsłabszym elementem zabezpieczeń naszych sieci. 

Prawnie: Stosowanie socjotechnik w celu uzyskania dostępu do danych w sposób nieuprawniony jest karalne. Tyczy się to również podszywania pod inną osobę.

Na naszym blogu pisaliśmy już nie jednokrotnie, na co należy zwracać uwagę i jak skutecznie chronić się przed tego typu wyłudzeniami. Tym razem zostawiamy notkę o strategii, w której hakerzy “irytują” użytkowników.

Ars Technica cytuje badaczy firmy Mandiant, którzy twierdzą, że “wielu dostawców usług MFA pozwala użytkownikom zaakceptować powiadomienie push z aplikacji telefonicznej lub odebrać połączenie telefoniczne i nacisnąć klawisz jako drugi czynnik. Aktor [Nobelium] wykorzystał to i wysyłał wiele żądań MFA do legalnego urządzenia użytkownika końcowego, dopóki użytkownik nie zaakceptował uwierzytelnienia, co pozwoliło mu ostatecznie uzyskać dostęp do konta.” 

Z metody tej korzysta również grupa przestępcza Lapsus$. Jeden z członków Lapsus$ powiedział na kanale Telegram grupy, że technika ta jest szczególnie skuteczna późno w nocy. 

“Nie ma ograniczeń co do liczby wykonywanych połączeń” – powiedział. “Zadzwoń do pracownika 100 razy o 1 w nocy, gdy ten próbuje zasnąć, a on najprawdopodobniej to zaakceptuje. Gdy pracownik zaakceptuje pierwsze połączenie, można przejść do portalu rejestracji MFA i zarejestrować kolejne urządzenie”.

– Wysyłanie jednego lub dwóch monitów dziennie. Ta metoda często przyciąga mniej uwagi, ale “nadal istnieje duża szansa, że cel zaakceptuje prośbę MFA. 

– Dzwonienie do celu, udawanie, że jest się pracownikiem firmy i informowanie go, że musi wysłać żądanie MFA w ramach procesu firmowego.

Poniżej przedstawiamy 10 najważniejszych wskazówek dotyczących zapobiegania, którymi warto podzielić się z użytkownikami, aby zapewnić im bezpieczeństwo w każdym miejscu:

• Bądź na bieżąco z socjotechnikami
• Pomyśl, zanim klikniesz!
• Zainstaluj narzędzia antyphishingowe
• Sprawdź, czy dana witryna jest bezpieczna
• Regularnie sprawdzaj swoje konta internetowe
• Aktualizuj swoją przeglądarkę
• Korzystaj z zapór sieciowych
• Zachowaj ostrożność w przypadku pop-up’ów
• Nigdy nie podawaj danych osobowych w niepewnych miejscach
• Korzystaj z oprogramowania antywirusowego

Zachęcamy do edukowania siebie, jak i swoich współpracowników. Na naszej stronie poza specjalistycznymi szkoleniami oraz materiałami edukacyjnymi, znajdziecie szkolenia z zakresu zwiększenia bezpieczeństwa i świadomości ryzyka w sieci.

https://www.netcomplex.pl/szkolenie-bezpieczny-pracownik

Źródła: https://blog.knowbe4.com/being-annoying-as-a-social-engineering-approach 

https://pl.wikipedia.org/wiki/In%C5%BCynieria_spo%C5%82eczna_(informatyka)