Социальная инженерия

Цели обучения:

7.2.2.1 объяснять методы социальной инженерии
7.2.2.2 объяснять способы защиты от атак с применением методов социальной инженерии

Цели урока:

• сформировать у учащихся понимание принципов социальной инженерии, научить распознавать основные методы атак и развить навыки безопасного поведения в сети и в повседневной жизни для предотвращения утечки конфиденциальной информации.

Учащиеся:

• Определяют, что такое социальная инженерия и как она используется в кибератаках.
• Распознают основные методы социальной инженерии: обман, фишинг, фарминг, подглядывание.
• Объясняют, как можно защититься от таких атак.

1. Что это такое?

Вместо взлома компьютеров или сложных программных атак, преступники используют психологические приемы и доверчивость людей. Чаще всего жертвами становятся те, кто не знает о таких методах или не думает о безопасности.

Главная идея: самое слабое звено в любой системе безопасности — это человек.

Почему это опасно?

Исследования показывают, что большинство утечек данных происходят из-за человеческих ошибок:

• невнимательность;
• несоблюдение правил безопасности;
• желание помочь или доверчивость.

Методы социальной инженерии не требуют знаний в программировании — достаточно умения убеждать и вызывать доверие.

2. Методы социальной инженерии: Обман

Обман (blagging) - создание выдуманного, но убедительного сценария, чтобы жертва сама раскрыла важную информацию или сделала нужные действия.

Пример: письмо от «друга», который якобы застрял в другой стране и просит перевести деньги..

3. Методы социальной инженерии: Фишинг

Фишинг (phishing) - отправка поддельных писем, SMS или сообщений, которые выглядят как от настоящей организации (банк, магазин, госслужба).
Цель — заставить перейти по ссылке на фальшивый сайт и ввести свои данные, которые позже злоумышленник может использовать для взлома аккаунтов пользователей.

Пример: сообщение «Ваша карта заблокирована, перейдите по ссылке для подтверждения».

4. Методы социальной инженерии: Фарминг

Фарминг (pharming) - перенаправление пользователя с настоящего сайта на поддельный, даже если адрес введен правильно.

Пример: заражение компьютера вирусом, который подменяет адреса сайтов.

5. Методы социальной инженерии: Подглядывание

Подглядывание (shouldering) - наблюдение за тем, что человек вводит на клавиатуре или экране.

Пример: злоумышленник стоит за вами в очереди к банкомату и запоминает PIN-код.

5. Как защититься от атак с применением социальной инженерии?

Важно знать и способы предотвращения нежелательных последствий от методов социальной инженерии:

• Никогда не передавайте логин и пароль третьим лицам.
• Не храните пароли на видных местах.
• Не открывайте письма и вложения от неизвестных отправителей.
• Не публикуйте в соцсетях рабочие и личные конфиденциальные данные.
• Всегда блокируйте компьютер, уходя с рабочего места.
• Уничтожайте документы с личной информацией (измельчитель бумаги).

Запомните! Социальная инженерия работает только тогда, когда человек доверяет злоумышленнику или действует без проверки. Лучшее оружие против таких атак — знание и внимательность.

Вопросы: 

1. Что такое социальная инженерия?
2. Почему человек — слабое звено в системе безопасности?
3. В чем разница между фишингом и фармингом?
4. Что такое «shouldering»?
5. Назовите три правила защиты от социальной инженерии.

Упражнения:

Упр 1. Соедините метод социальной инженерии с правильным описанием.

Упр 2. Выберите метод социальной инженерии для заданной ситуации.

Упр 3. Заполните пропуски. Вставьте подходящие слова из списка.

Задания:

Задание 1. Заполните таблицу в Word, дополнив краткое описание методов социальной инженерии и примеры:

Задание 2. Подготовьте небольшой сценарий (2–3 предложения), описывающий, как мошенник может попытаться получить ваши данные. Определите метод и предложите защиту.

Задание 3. Найдите в новостях (или придумайте) пример социальной инженерии и расскажите его классу.