保护您的隐私比运行 面向隐私的Linux发行版 并使用 密码管理器。 许多安全专家认为,任何系统中最薄弱的环节是操作它的人员。
在本文中,我们将学习什么是社会工程学以及为什么它会带来这种威胁。 然后,我们将研究一些坏人可以在线和离线使用的社交工程攻击。 我们在其中总结了一些技巧,以保护自己免受社会工程攻击。
什么是社会工程学?
韦氏 将社会工程学定义为“根据人类在社会中的位置和职能来管理人类。” 听起来有点令人毛骨悚然。 但是,近年来,该短语具有更操纵,更险恶的含义。
如今,社会工程意味着“操纵他人为您提供机密信息。” 当我们在这里谈论社会工程学时,这就是我们正在使用的感觉。
为什么社会工程学会受到威胁
犯罪分子使用社会工程技术是因为它比入侵计算机系统更容易。 诱使某人告诉您一些他们不应该做的事情相对容易。 大多数人都信任他人。
计算机系统的安全程度无关紧要。 或您存放个人文件的地方。 或者您的办公室前面有多少个警卫。 社会工程攻击回避了所有这一切。
著名的前黑客Kevin Mitnick经常使用社交工程攻击来进入“安全的”计算机系统。
“任何认为仅安全产品就能提供真正安全性的人都对安全性的幻想感到安心。” – 凯文·D·米特尼克,欺骗的艺术:控制安全的人为因素
犯罪分子使用在线和离线的社会工程攻击。 现在,我们将研究一些最常见的攻击类型以及如何防御这些攻击。
让我们从黑客喜欢的一些在线社会工程攻击开始。
“黑客是结合使用高科技的人 网络工具 和社会工程学来非法访问别人的数据。” – 约翰·迈克菲
一些在线社会工程攻击
以下是一些最常见的在线社交工程攻击:
- 網絡釣魚
- 鱼叉式网络钓鱼
- 引诱
網絡釣魚
据 国土安全部网站钓鱼攻击”使用 电子邮件或恶意网站来伪装成值得信赖的组织来索取个人信息。”
您已经看到了这种攻击。 我们都收到来自听起来不错的官方组织的电子邮件,声称我们的帐户有问题,或者他们需要验证我们的信用卡信息。
目的是让您单击电子邮件中的链接。 该链接会将您带到该组织一个合法但虚假的网站。 该网站将被设置为诱骗您输入您的信用卡数据,社会保险号或骗子想要窃取的任何东西。
鱼叉式网络钓鱼
鱼叉式网络钓鱼 是一种网络钓鱼攻击,攻击者使用有关目标受害者的个人信息自定义网络钓鱼电子邮件。 2018年XNUMX月, 美国国税局(IRS) 出版 一个警告 关于数个鱼叉式钓鱼诈骗。
这些骗局旨在收集正在发生的信息 IRS表格W-2。 这些骗局的目标是小型企业。 坏人会使用这些信息来开设信用卡帐户,提交欺诈性的纳税申报表,开设信用额度等。
鱼叉式网络钓鱼攻击严重依赖于Pretexting攻击。 在下一节中,我们将介绍Pretexting攻击。
引诱
引诱 攻击与网络钓鱼攻击有些相似。 不同之处在于诱饵攻击为目标提供了他们想要的东西,而不是解决问题。 在这类攻击中,您可能会获得免费音乐,新电影的复制品或任何其他形式的奖励。 要获得奖金,您将需要输入骗子追捕的任何类型的个人信息。
诱饵攻击也可能脱机发生。 其中一种攻击涉及离开 USB记忆棒 躺在目标公司的员工周围可能会找到他们。 某人很可能会捡起一个并将其插入计算机,从而使其中包含的所有恶意软件都散布在组织内部。
一些离线社会工程学攻击
以下是一些常见的离线社会工程攻击类型:
- Pretexting
- 尾随/ Pi带
- Vishing(语音网络钓鱼)
Pretexting
Pretexting 正在使用某种形式的谎言诱骗某人放弃不应共享的信息。 预制攻击可以在线和离线运行。 它们通常用于获取进行鱼叉式网络钓鱼攻击所需的个人信息。
离线示例可能是某人打给您,并假装来自律师事务所。 您刚刚从一个远亲那里继承了很多钱。 您所需要做的就是提供某些信息以证明您的身份,然后律师会向您汇款。 的 借口 因为电话是假继承。
尾随/ Pi带
随行 通常涉及使用他人的访问权通过某种电子安全系统。 当您通过电子安全保护时,紧随您身后的人可能根本不是同事。 取而代之的是,他们可能会成为阻碍您访问不属于他们的地方的人。
Vishing(语音网络钓鱼)
许愿,或 语音网络钓鱼,相当于网上诱骗攻击的离线版本。 此攻击有几种版本,但都使用电话系统。 他们的目的是让受害者响应官方电话,泄露信用卡号或其他一些个人信息。
这些骗局通常使用 网络电话 (IP语音)技术模拟真实公司可能使用的自动电话系统。 电话系统曾经被认为是安全可靠的,这使人们更容易受到Vishing骗局的攻击。
如何防御在线社会工程攻击
我们已经研究了当今使用的一些更常见的在线社交工程攻击。 但是,您可以采取什么措施保护自己免受他们侵害?
以下是一些可以减少被骗的机会的做法:
- 不要意外打开 电子邮件附件。 如果您收到意外的附件,则很有可能是恶意的。 与公司IT部门联系(如果正在工作)。 如果不在工作,请与发件人联系(如果您知道的话)。 打开任何意外的附件之前,请先找出原因。
- 自行查找网站。 请记住,网络钓鱼类型的攻击通常会将您定向到假网站。 您可以自己查找网站地址而不是单击电子邮件或附件中的链接来避免它们的陷阱。 如果您不确定自己是否在某个网站上,请查看 网址 (地址)出现在浏览器地址框中。 尽管可以完全复制合法网站,但是任何两个网站都不能具有相同的URL。 在搜索引擎中查找公司应该可以带您进入真实的网站。
- 切勿将密码泄露给任何在线用户。 没有合法的组织会要求用户输入密码。
- 使用VPN 在浏览网页时提供额外的隐私。
如何防御离线社会工程学攻击
我们还研究了常见的脱机社会工程攻击。 您可以采取以下措施来保护自己免受离线攻击:
- 不要将个人信息提供给呼叫者。 这可能在很多年前是安全的,但现在不是。 如果有人打电话给您并说他们需要您确认一些个人信息,请挂断电话!
- 不要让任何人跟着您过去以确保安全。 众所周知,普通罪犯或前雇员会使用此技术返回现场并偷东西或进行精确的复仇。
- 总是要求出现的任何人要求您提供ID。
- 如果您不知道计算机的来源,切勿将其插入计算机!