Социальная инженерия (social engineering)

Социальная инженерия (social engineering) — совокупность психологических и коммуникативных приёмов, методов и технологий манипулирования людьми, направленных на получение конфиденциальной информации, доступа к защищённым системам или обхода мер безопасности путём обмана, введения в заблуждение и эксплуатации доверия, авторитета или эмоций жертвы.

Что означает термин

Термин «социальная инженерия» используется в нескольких значениях. В социологии и философии (например, в работах Карла Поппера) под поэтапной социальной инженерией понимается форма рационального планирования общественных изменений. В контексте информационных технологий и кибербезопасности термин получил иное, более узкое значение: это набор нетехнических методов атак, основанных на манипулировании пользователями с целью обхода средств защиты, выполнения вредоносных действий или передачи конфиденциальной информации. Именно это значение чаще всего имеют в виду, когда говорят о «социальной инженерии» в прикладном смысле.

Как устроено

В основе социальной инженерии лежит эксплуатация психологических особенностей человека: доверия к авторитету, страха, желания помочь, любопытства или ощущения срочности. Злоумышленник представляется сотрудником банка, кредитного сервиса, службы техподдержки или знакомым жертве лицом, которому она готова передать сведения. Большинство таких методов не требует глубоких технических навыков со стороны атакующего: основным инструментом становится коммуникация — звонок, письмо, сообщение или личный контакт. Применяются и косвенные техники: всплывающие окна с запугиванием, заражение часто посещаемых ресурсов, а также схемы, в которых жертву обманом побуждают самой инициировать контакт с атакующим.

Где применяется

Социальная инженерия применяется на разных этапах атак: для получения первоначального доступа к системам, при компрометации корпоративной электронной почты, самозванстве, подделке и вымогательстве. Типичные сценарии включают телефонные звонки от имени «сотрудников банка» с просьбой сообщить код из СМС или данные карты, фишинговые письма со ссылками на поддельные сайты, имитирующие известные сервисы, всплывающие окна о якобы обнаруженном вирусе, троянские программы, замаскированные под легитимные приложения-приманки, а также обратную социальную инженерию, при которой жертва сама обращается к злоумышленнику за «помощью» и раскрывает нужные сведения.

Отличие от близких понятий

В кибербезопасности социальную инженерию отличают от технических методов атак: она направлена не на уязвимости программного обеспечения или оборудования, а на человека как звено системы безопасности. От фишинга, который часто упоминается рядом, социальная инженерия отличается более широким охватом — фишинг является одной из её техник, тогда как социальная инженерия включает также звонки, личные контакты, манипуляции через третьих лиц и другие нетехнические приёмы.