साइबर सुरक्षा की दुनिया में भी, सोशल इंजीनियरिंग शायद ही कोई नई अवधारणा है। अकेले फ़िशिंग घोटाले लगभग 30 वर्षों से होते आ रहे हैं, हमलावर लगातार पीड़ितों को लिंक पर क्लिक करने, फ़ाइल डाउनलोड करने या संवेदनशील जानकारी प्रदान करने के लिए लुभाने के नए तरीके ढूंढते हैं।
व्यावसायिक ईमेल समझौता (बीईसी) हमलों ने हमलावर को एक वैध ईमेल खाते तक पहुंच प्राप्त करने और उसके मालिक का प्रतिरूपण करने के द्वारा इस अवधारणा पर दोहराया। हमलावरों का तर्क है कि पीड़ित किसी विश्वसनीय स्रोत से आने वाले ईमेल पर सवाल नहीं उठाएंगे - और अक्सर, वे सही होते हैं।
लेकिन साइबर अपराधी सोशल इंजीनियरिंग हमलों में शामिल होने के लिए ईमेल ही एकमात्र प्रभावी साधन नहीं है। आधुनिक व्यवसाय क्लाउड सेवाओं और वीपीएन से लेकर संचार उपकरण और वित्तीय सेवाओं तक कई डिजिटल अनुप्रयोगों पर निर्भर हैं। इसके अलावा, ये एप्लिकेशन आपस में जुड़े हुए हैं, इसलिए एक हमलावर जो किसी एक से समझौता कर सकता है वह दूसरों से भी समझौता कर सकता है। संगठन विशेष रूप से फ़िशिंग और बीईसी हमलों पर ध्यान केंद्रित करने का जोखिम नहीं उठा सकते - तब नहीं जब व्यावसायिक अनुप्रयोग समझौता (बीएसी) बढ़ रहा हो।
एकल साइन-ऑन को लक्षित करना
व्यवसाय डिजिटल एप्लिकेशन का उपयोग करते हैं क्योंकि वे सहायक और सुविधाजनक होते हैं। दूरस्थ कार्य के युग में, कर्मचारियों को विभिन्न स्थानों और उपकरणों से महत्वपूर्ण उपकरणों और संसाधनों तक पहुंच की आवश्यकता होती है। एप्लिकेशन वर्कफ़्लो को सुव्यवस्थित कर सकते हैं, महत्वपूर्ण जानकारी तक पहुंच बढ़ा सकते हैं और कर्मचारियों के लिए अपना काम करना आसान बना सकते हैं। किसी संगठन के भीतर एक व्यक्तिगत विभाग दर्जनों अनुप्रयोगों का उपयोग कर सकता है, जबकिऔसत कंपनी 200 से अधिक का उपयोग करती है. दुर्भाग्य से, सुरक्षा और आईटी विभाग हमेशा इन अनुप्रयोगों के बारे में नहीं जानते हैं - मंजूरी देना तो दूर की बात है, जिससे निगरानी एक समस्या बन जाती है।
प्रमाणीकरण एक और मुद्दा है. अद्वितीय उपयोगकर्ता नाम और पासवर्ड संयोजन बनाना (और याद रखना) किसी भी व्यक्ति के लिए एक चुनौती हो सकता है जो अपना काम करने के लिए दर्जनों विभिन्न ऐप्स का उपयोग करता है। पासवर्ड मैनेजर का उपयोग करना एक समाधान है, लेकिन आईटी के लिए इसे लागू करना मुश्किल हो सकता है। इसके बजाय, कई कंपनियां अपनी प्रमाणीकरण प्रक्रियाओं को सुव्यवस्थित करती हैं एकल साइन-ऑन (एसएसओ) समाधान के माध्यम से, जो कर्मचारियों को सभी जुड़े हुए एप्लिकेशन और सेवाओं तक पहुंच के लिए एक बार स्वीकृत खाते में साइन इन करने की अनुमति देता है। लेकिन चूँकि SSO सेवाएँ उपयोगकर्ताओं को दर्जनों (या सैकड़ों) व्यावसायिक अनुप्रयोगों तक आसान पहुँच प्रदान करती हैं, इसलिए वे हमलावरों के लिए उच्च-मूल्य वाले लक्ष्य हैं। बेशक, एसएसओ प्रदाताओं के पास अपनी सुरक्षा विशेषताएं और क्षमताएं हैं - लेकिन मानवीय त्रुटि को हल करना एक कठिन समस्या बनी हुई है।
सोशल इंजीनियरिंग, विकसित
कई एप्लिकेशन - और निश्चित रूप से अधिकांश एसएसओ समाधान - में मल्टीफैक्टर प्रमाणीकरण (एमएफए) है। इससे हमलावरों के लिए किसी खाते से समझौता करना अधिक कठिन हो जाता है, लेकिन यह निश्चित रूप से असंभव नहीं है। एमएफए उपयोगकर्ताओं के लिए कष्टप्रद हो सकता है, जिन्हें दिन में कई बार खातों में साइन इन करने के लिए इसका उपयोग करना पड़ सकता है - जिससे अधीरता और कभी-कभी लापरवाही भी होती है।
कुछ एमएफए समाधानों के लिए उपयोगकर्ता को एक कोड इनपुट करने या अपना फिंगरप्रिंट दिखाने की आवश्यकता होती है। अन्य लोग बस पूछते हैं, "क्या यह आप हैं?" उत्तरार्द्ध, उपयोगकर्ता के लिए आसान होते हुए भी, हमलावरों को संचालन के लिए जगह देता है। एक हमलावर जिसने पहले से ही उपयोगकर्ता क्रेडेंशियल्स का एक सेट प्राप्त कर लिया है, यह जानने के बावजूद कि खाता एमएफए-संरक्षित है, कई बार लॉग इन करने का प्रयास कर सकता है। उपयोगकर्ता के फ़ोन को एमएफए प्रमाणीकरण अनुरोधों के साथ स्पैम करके, हमलावर पीड़ित की सतर्क थकान को बढ़ा देते हैं. कई पीड़ित, अनुरोधों की बाढ़ प्राप्त होने पर, मान लेते हैं कि आईटी खाते तक पहुंचने का प्रयास कर रहा है या सूचनाओं की बाढ़ को रोकने के लिए "अनुमोदन" पर क्लिक करें। लोग आसानी से नाराज हो जाते हैं और हमलावर इसका इस्तेमाल अपने फायदे के लिए कर रहे हैं।
कई मायनों में, यह बीईसी की तुलना में बीएसी को पूरा करना आसान बनाता है। बीएसी में शामिल विरोधियों को बस अपने पीड़ितों को गलत निर्णय लेने के लिए उकसाने की जरूरत है। और पहचान और एसएसओ प्रदाताओं को लक्षित करके, हमलावर एचआर और पेरोल सेवाओं सहित संभावित रूप से दर्जनों विभिन्न अनुप्रयोगों तक पहुंच प्राप्त कर सकते हैं। वर्कडे जैसे आम तौर पर उपयोग किए जाने वाले एप्लिकेशन को अक्सर एसएसओ का उपयोग करके एक्सेस किया जाता है, जिससे हमलावरों को सीधे जमा और पेरोल धोखाधड़ी जैसी गतिविधियों में शामिल होने की अनुमति मिलती है जो सीधे अपने खातों में धनराशि भेज सकते हैं।
इस प्रकार की गतिविधि पर आसानी से ध्यान नहीं दिया जा सकता है - यही कारण है कि इन-नेटवर्क डिटेक्शन टूल का होना महत्वपूर्ण है जो किसी अधिकृत उपयोगकर्ता खाते से भी संदिग्ध व्यवहार की पहचान कर सके। इसके अलावा, व्यवसायों को इसके उपयोग को प्राथमिकता देनी चाहिए फ़िश-प्रतिरोधी फ़ास्ट आइडेंटिटी ऑनलाइन (FIDO) सुरक्षा कुंजियाँ
एमएफए का उपयोग करते समय। यदि एमएफए के लिए एफआईडीओ-केवल कारक अवास्तविक हैं, तो अगली सबसे अच्छी बात पुश नोटिफिकेशन के पक्ष में ईमेल, एसएमएस, आवाज और समय-आधारित वन-टाइम पासवर्ड (टीओटीपी) को अक्षम करना है, फिर पहुंच को प्रतिबंधित करने के लिए एमएफए या पहचान प्रदाता नीतियों को कॉन्फ़िगर करें सुरक्षा की एक अतिरिक्त परत के रूप में प्रबंधित उपकरणों के लिए।
बीएसी रोकथाम को प्राथमिकता देना
हाल का शोध इंगित करता है
सभी घटनाओं में से 51% में बीईसी या बीएसी रणनीति का उपयोग किया जाता है। हालांकि बीईसी की तुलना में कम ज्ञात, सफल बीएसी हमलावरों को खाते से जुड़े व्यावसायिक और व्यक्तिगत अनुप्रयोगों की एक विस्तृत श्रृंखला तक पहुंच प्रदान करता है। सोशल इंजीनियरिंग आज के हमलावरों के लिए एक उच्च-रिटर्न टूल बनी हुई है - जिसे इसे रोकने के लिए डिज़ाइन की गई सुरक्षा प्रौद्योगिकियों के साथ विकसित किया गया है।
आधुनिक व्यवसायों को अपने कर्मचारियों को शिक्षित करना चाहिए, उन्हें सिखाना चाहिए कि संभावित घोटाले के संकेतों को कैसे पहचानें और इसकी रिपोर्ट कहां करें। चूंकि व्यवसाय हर साल अधिक एप्लिकेशन का उपयोग कर रहे हैं, इसलिए कर्मचारियों को अपनी सुरक्षा टीमों के साथ मिलकर काम करना चाहिए ताकि सिस्टम को तेजी से बढ़ते कुटिल हमलावरों से सुरक्षित रहने में मदद मिल सके।
