Мир меняется. И не всегда в лучшую сторону. Число хакерских атак по всему миру растёт. Например, число атак с использованием методов социальной инженерии увеличивается на 100-200% в год.
Генеральный директор компании Top7 Алексей Конюченко:
Программное обеспечение для защиты компьютеров от вирусов развивается семимильными шагами и часто не отстает от создателей вирусов. А вот люди, пользователи различных устройств, за много лет использования современной техники совсем не изменились — они, по-прежнему, действуют довольно шаблонно.
Взлом людей
Хакеры, понимая то, что в случае использования для атаки вирусов им будет противостоять качественное антивирусное ПО, а при использовании методов социальной инженерии — обычный человек со всеми присущими ему слабостями, переключились на менее технологичную и более эффективную социальную инженерию, то есть взлом людей. Социальные хакеры создают определенные алгоритмы, которые позволяют получить всю необходимую информацию. Часто для реализации подобных атак используют электронную почту и это называется фишингом.
Фишинг (от англ. fishing — рыбная ловля) – это попытка поймать пользователя «на крючок» с помощью отправленного электронного письма, которое обычно содержит ссылку на документ или сайт или набор инструкций. Совершив переход по ссылке пользователь, сам того не желая, отдает некоторую информацию хакерам. Обычно это пароль от почты или другого сервиса.
Есть несколько типов фишинга. Самый популярный тип на данный момент как по количеству случаев, так и по объему потерь, которые атака принесла, называется CEO фрод (CEO fraud). Суть заключается в том, что хакер отправляет какое-либо письмо якобы с почтового ящика одного из сотрудников компании, чаще всего с почты генерального директора (отсюда аббревиатура CEO в названии). Причем, если идет целенаправленная заказная атака на какую-то компанию, хакер прорабатывает всю доступную ему информацию. В итоге он пишет не просто: «Здравствуйте. Отправьте, пожалуйста, оплату по этому счету», а составляет письмо в стилистике генерального директора, например: «Привет, Алл. Отправь как обычно оплату. Счет в приложении :)». Сотрудники большой компании, которые находятся не в одном помещении, попадаются (то есть выполняют поручения, которые хакер написал в письме) на такие письма с вероятностью около 80%. В случае, если было проведено предварительное исследование, вероятность результативной атаки вырастает до 95%.
Поэтому нужно всех сотрудников обучать, подготавливать к тому, что потенциальная угроза находится в каждом письме. Мы сейчас разрабатываем специальную программу, которая позволит проверить любую корпоративную почту на наличие такой уязвимости, а также понять уровень готовности каждого сотрудника и, в случае необходимости, обучить.
Вообще, хакеров можно условно разделить на два типа. Первые (которых большинство) разрабатывают универсальный способ и атакуют всех подряд без разбора. Такие хакеры крадут обычно небольшую сумму денег – 100-200 руб. или какую-то информацию, с помощью которой впоследствии можно заработать. Например, пароль от аккаунта социальной сети. Как только они сталкиваются с минимальным уровнем защиты, то сразу переходят к следующей жертве. Они работают на больших объемах. Если у миллиона человек украсть 100 руб., то получится внушительная сумма.
Защититься от таких хакеров можно не прилагая больших усилий – нужно лишь знать и пользоваться основными правилами информационной безопасности, которые можно почитать в интернете или узнать, посмотрев наши видео. Одно из таких правил, это устанавливать разные и сложные пароли для всех сервисов, которыми вы пользуетесь. Большинство людей имеют один пароль для всех своих аккаунтов и тем самым подвергают их риску. Есть простой способ повысить безопасность аккаунтов и при этом не напрягать память. Нужно придумать для создания пароля типовую формулу, например: «доменное имя сайта с большой буквы» + «цифра, символ, цифра» (Mail.ru7#4, Yandex.ru7#4). Для каждого сервиса получится разный и довольно сложный пароль, который при этом легко запомнить и восстановить в случае потери.
Существуют еще хакеры второго типа. Они действуют по заказу и разрабатывают атаки на конкретное лицо или компанию. От таких злоумышленников защититься практически невозможно. Можно лишь максимально осложнить им жизнь. Но если вас захотели взломать и наняли для этого достаточно квалифицированных специалистов – считайте, что вас взломали. Даже если не обнаружатся проблемы в программном и аппаратном обеспечении, социальная инженерия работает всегда.
России и странам СНГ повезло. Достаточно низкий уровень экономики вкупе с высокой средней образованностью населения делает процесс взлома нашего населения более сложным и менее результативным, чем в Европе или Америке. Поэтому хакеры в меньшей степени ориентируются на наш «рынок», ведь гораздо проще у одного американца украсть 100$, чем у 100 русских бабушек по 1$. Кроме того, европейцы и американцы законопослушны и дисциплинированы, поэтому там очень популярны атаки с использованием стандартных писем от государственных органов, например, с налоговыми формами. На почту налогоплательщику приходит письмо с примерно таким текстом: «Пожалуйста, заполните налоговую форму, которая находится в приложении». Как только человек открывает файл, информация с его компьютера попадает хакеру, который пользуется ей на свое усмотрение.
Возможности и опасности социальных сетей
Большая часть нашей жизни освещена в социальных сетях, очень много информации можно узнать, покопавшись в истории. Прорывные результаты в такой работе получила компания, с которой сотрудничал предвыборный штаб Трампа.
История начиналась с того, что Михаил Косинский решил перенести психологическое тестирование в интернет и вместе с сокурсниками сделал приложение MyPersonality. Приложение получило широкий охват, люди отвечали на вопросы (скорее всего, честно), а на основе полученной информации составлялся профиль каждого пользователя. Затем картинку, полученную в результате оценки ответов пользователей, приравняли к тому, какие действия они совершают в социальных сетях. Обнаружились некоторые корреляции. В начале ученые смогли определить цвет кожи пользователей по 68 лайкам. В дальнейшем, улучшенная модель смогла создавать психологический портрет пользователя всего по 10 лайкам.
Пользуясь этими наработками, штаб Трампа и нанятая им компания изучили свою основную целевую аудиторию — людей, которые еще не решили за кого голосовать. Затем этих людей узко сегментировали и для каждого сегмента создали свои собственные рекламные объявления, которые действовали максимально эффективно только на этот определенный сегмент аудитории. Результат мы все знаем.
К нам пока не пришло осознание того, насколько сильно социальные сети интегрировались в нашу жизнь и какие большие возможности они могут принести при правильном использовании.