Скрытое оружие социальной инженерии

Даже самая совершенная система защиты бесполезна, если ею управляет психологически неустойчивый, наивный и/или доверчивый человек. Многие почему-то забывают, что в роли объекта атаки может выступать не только машина, но и ее оператор. Причем, оператор зачастую оказывается слабейшим звеном в системе защиты.

На хакерском жаргоне атака на человека называется социальной инженерией (socialengineering) и в своем каноническом виде обычно сводится к звонкам по телефону с целью получения конфиденциальной информации (как правило, паролей) посредством выдачи себя за другое лицо.

Подавляющее большинство мошенников действует по идентичным или близким шаблонам. Поэтому изучение приемов их "работы" позволяет распознать обман и не попасться на удочку. Автором этой статьи собрана обширная коллекция хакерского арсенала, наиболее популярные примеры которого представлены ниже. Конечно, на исчерпывающее руководство по обеспечению собственной безопасности данная публикация не претендует, но общее представление о методиках хищения денег и/или информации все же дает.

Атака администратора системы

В том случае, если пароль заполучить не удастся, злоумышленник прибегает к атаке на технические средства (т.е. непосредственно на компьютеры). Однако правильно сконфигурированную и хорошо защищенную систему сломать практически бесполезно.

Один из нетехнических способов пробивания дыр в системе выглядит так: злоумышленник звонит администратору и сообщает, что из достоверных источников ему стало известно о готовящейся (или уже совершенной) атаке. Никаких деталей не сообщается, но приблизительное местонахождение дыры все же указывает. Существует ненулевая вероятность того, что администратор, пытаясь повысить безопасность своей системы, допустит несколько ошибок, упрощающих атаку. (И эта вероятность тем больше, чем сильнее волнуется администратор).

Для отвлечения внимания злоумышленники часто прибегают к имитации атаки, выполняя различные бессмысленные, но целенаправленные действия. Были случаи когда в ответ на мусор, направленный в 80-й порт, администраторы просто выключали Web-сервисы, будучи предупрежденными об "атаке", считали: лучше на время остаться без Web'а, чем позволить хакерам проникнуть в локальную сеть и похитить конфиденциальную информацию. Простой Web-серверов оборачивается внушительными убытками, хотя никакой опасности на самом деле и не было.

Уход от ответственности

Успешно выполнить атаку - означает решить лишь половину задачи. Злоумышленнику еще предстоит замести за собой следы - уйти от ответственности и не попасться. Поэтому мошенники, похитив определенную сумму денег, переводят большую ее часть на счет одного из сотрудников фирмы, который в принципе подходит на роль похитителя. Причем это должен быть жадный, азартный и умственно недалекий человек, который, обнаружив на своем счете "лишние" деньги, с высокой степенью вероятности рискнет не возвращать денег. Затем следует анонимный звонок (письмо) директору фирмы с сообщением - где следует искать пропавшие деньги, в дальнейшем жертве будет чрезвычайно трудно доказать, что она тут ни при чем и убедить остальных, что ее подставили. Конечно, путь денег проследить вполне возможно, но злоумышленник может переводить деньги через подставное лицо.

Другой способ обвинить другого заключается в психологической обработке лиц, заинтересованных на подражательстве хакерам, но хакерами не являющимися. Сначала их убеждают, что пребывание в тюрьме - явление вполне нормальное для хакера, затем демонстрируют целую серию эффективных "взломов", чем вызывают глубокое уважение к себе. Когда сотрдуник готов, мошенник предлагает ему стать своим учеником, после чего руками ученика осуществляет реальный взлом. В случае раскрытия преступления ученик может и не выдать своего "наставника" (а при правильной психологической обработке и не выдаст, хоть режь его на куски). Даже и выдаст, следствию будет не так-то легко уличить злоумышленника, ведь все предыдущие атаки – фикция. "Наставник" без больших трудов сможет представить все это невинной игрой. А о том, кто руководил "учеником" в настоящей атаке, не имеет ни малейшего представления.[21]