ГК Softline: как работает социальная инженерия и что входит в базовый минимум защиты

Бизнес выстраивает периметр безопасности вокруг технических активов, но этот подход перестает работать, когда атакующие обходят технологии через человека.

Мы в Softline фиксируем, что злоумышленники используют социальную инженерию, чтобы заставить сотрудника самостоятельно выдать данные и совершить незаконные действия.

Мошенники используют три фактора — срочность, авторитет и неожиданность. Срочность отключает критическое мышление. Например, сотрудника предупреждают о скорой блокировке аккаунта в банке или каком-то сервисе. По тому же принципу работают «эксклюзивные предложения», в которых большая скидка действует несколько часов и доступна якобы только избранным — важно срочно перейти по ссылке и получить что-то ценное.

Давление авторитетом реализуется через поддельные аккаунты руководителей компании. Сюда же относятся звонки и сообщения в почте и мессенджерах от имени банков и госорганов. В таких условиях сотрудник переходит по фишинговой ссылке или передает конфиденциальные данные злоумышленникам до того, как сработают технические средства мониторинга трафика.

Еще один метод — сыграть на неожиданности и страхе за свою репутацию или близких. Например, человеку присылают сообщение о якобы компрометирующей новости, связанной с ним, родственником или знакомым, и предлагают срочно посмотреть фото или видео по ссылке.

Последствия для бизнеса выражаются в утечках данных, остановке бизнес-процессов и ущербе для репутации. Одной технологии для предотвращения таких сценариев недостаточно, поскольку точка отказа находится вне периметра сетевого контроля.

Мы в Softline считаем, что к эффективным мерам защиты в этой ситуации можно отнести многофакторную аутентификацию, защитное ПО и цифровую грамотность самого пользователя. Многофакторная аутентификация требует два или более независимых фактора для подтверждения личности. В таком случае, даже если произойдет утечка данных и злоумышленник узнает пароль, он не сможет войти в аккаунт. На уровне устройств и браузеров помогают защитные решения, которые распознают известные фишинговые сайты и блокируют переход сотрудников по ссылкам. Но технологии не заменяют обучение и грамотное поведение сотрудников.

Мы в Softline убеждены, что сегодня цифровая грамотность работников должна включать не только генерацию сложных паролей. Сотрудники должны владеть навыками распознавания манипуляций, уметь отличать достоверную информацию от подозрительных сообщений и анализировать ситуацию.

Руководителям в сфере информационной безопасности следует помнить, что устойчивость компаний зависит не только от количества технических инструментов защиты. Огромный вклад в безопасность организации вносят психологическая устойчивость коллектива в условиях давления извне и знание правил кибергигиены. Управленческое решение заключается в том, чтобы сделать многофакторную аутентификацию и непрерывное обучение сотрудников обязательными элементами в организации.