— Петрович, сможешь выступить у нас перед сотрудниками?
— О чем?
— Ну как о чем? Как будто ты что-то другое знаешь. О информационной безопасности для пользователей. А тему выберешь сам.
— Ладно, расскажу им несколько историй из жизни. Может чему-то научатся.
Прошла неделя. Петровича пригласили с лекцией.
— Добрый день, уважаемые дамы и господа! Я специально пришел без заранее приготовленной презентации и постараюсь просто отвечать на ваши вопросы. Для начала предлагаю поговорить о том, что вы размещаете в социальных сетях.
— А что там? Кто куда поехал, кто умеет готовить, кто болеет...
— Вы правы. Но проблема в том, что вы не понимаете, как эта информация может использоваться с целью атаки на вас самих.
— Да кому мы нужны?
— Стандартный вопрос. Мне уж точно не нужны. Итак, продолжим. В конце осени молодой человек по имени Сергей заболел коронавирусом. Узнав о положительном тесте, молодой человек решил поделиться его скриншотом в Инстаграме. Пост он сопроводил хештегами: «карантин», «covid19».
На следующий день ему позвонили с незнакомого номера. Сергей подумал, что это доктор, и не стал сбрасывать. В трубке услышал шум, как будто из колл-центра. Звонивший представился полицейским в сфере экономических преступлений. Он заявил, что вчера вечером некая женщина пыталась снять денежные средства в отделении одного банка с доверенностью на его имя. Якобы она опиралась на то, что Сергей болен COVID-19 и не может сделать это самостоятельно. Сергей слукавил, что не имеет карточки данного банка. После чего услышал короткие гудки.
Использование актуального повода — один из главных трюков при манипуляции, для поиска таких «крючков» злоумышленники активно применяют соцсети, в частности мониторят страницы и хештеги.
— Получается, что атака социальной инженерии в данном случае опирается на сведения, которые пользователь сам распространяет в социальной сети?
— Именно так! Мы наблюдаем очередной шаг эволюции мошенничества. Преступники точечно используют индивидуальный сценарий, рассчитанный на конкретного человека, и при этом совмещают его с уже известными приемами банковского мошенничества. Это приводит к тому, что у такой двухходовки очень высокий уровень опасности.
Другая разновидность подобных атак — злоумышленники следят за актуальной ситуацией с пандемией и быстро придумывают подходящие сценарии. Различные виды «ковидных выплат» и «эффективных лекарств», для получения которых нужно только назвать номер карты и ее код, выглядят очень привлекательно.
— И снова-таки атака начинается с изучения того, что пользователь сам написал о себе?
— Все верно! Потому ограничьте ваш круг общения до тех людей, которых вы знаете лично! Короче — будьте внимательны.
