Socjotechnika

Phishing jest formą socjotechniki. Ataki phishingowe wykorzystują pocztę elektroniczną lub strony internetowe do pozyskiwania danych osobowych poprzez podawanie się za godną zaufania organizację. Na przykład, atakujący może wysłać e-mail pozornie pochodzący od renomowanej firmy obsługującej karty kredytowe lub instytucji finansowej, w którym prosi o podanie informacji o koncie, często sugerując, że wystąpił jakiś problem. Kiedy użytkownicy odpowiadają żądanymi informacjami, atakujący mogą wykorzystać je do uzyskania dostępu do kont.

Vishing jest metodą inżynierii społecznej wykorzystującą komunikację głosową. Technika ta może być łączona z innymi formami socjotechniki, które nakłaniają ofiarę do zadzwonienia pod określony numer i ujawnienia poufnych informacji. Zaawansowane ataki vishingowe mogą odbywać się całkowicie za pośrednictwem komunikacji głosowej, wykorzystując rozwiązania Voice over Internet Protocol (VoIP). VoIP z łatwością umożliwia sfałszowanie tożsamości dzwoniącego (ID), co może wykorzystywać błędne zaufanie do atakującego

Jak sama nazwa wskazuje ataki wykorzystują „fałszywą obietnicę”, aby pobudzić chciwość lub ciekawość ofiary. Zwabiają użytkowników w pułapkę, która wykrada ich dane osobowe lub infekuje systemy złośliwym oprogramowaniem.

Najbardziej skuteczna forma ataków tego typu wykorzystuje fizyczne nośniki. Na przykład, osoby atakujące pozostawiają przynętę – zazwyczaj są to zainfekowane złośliwym oprogramowaniem dyski flash – w widocznych miejscach, gdzie potencjalne ofiary na pewno je zobaczą (np. w łazienkach, windach, na parkingu docelowej firmy).

Bądź podejrzliwy wobec niechcianych telefonów, wizyt lub wiadomości e-mail od osób pytających o pracowników lub inne wewnętrzne informacje. Jeżeli nieznana osoba twierdzi, że pochodzi z legalnej organizacji, spróbuj zweryfikować jej tożsamość bezpośrednio w firmie. Nie podawaj danych osobowych ani informacji o swojej organizacji, w tym o jej strukturze lub sieci, chyba że jesteś pewien, że dana osoba jest upoważniona do posiadania tych informacji. Nie ujawniaj informacji osobistych ani finansowych w wiadomościach e-mail i nie odpowiadaj na wiadomości e-mail z prośbą o podanie takich informacji. Dotyczy to również podążania za linkami wysłanymi w wiadomości e-mail. Nie wysyłaj poufnych informacji przez Internet zanim nie sprawdzisz zabezpieczeń witryny. Zwróć uwagę na adres URL strony internetowej.  Szukaj adresów URL, które zaczynają się od „https” – co wskazuje, że strony są bezpieczne – a nie od „http”. Zwróć uwagę na ikonę zamkniętej kłódki – to znak, że Twoje dane będą szyfrowane. Jeśli nie masz pewności, czy wiadomość e-mail z prośbą o przesłanie informacji jest prawdziwa, spróbuj ją zweryfikować, kontaktując się bezpośrednio z firmą. Nie korzystaj z informacji kontaktowych podanych na stronie internetowej związanej z żądaniem; zamiast tego sprawdź poprzednie oświadczenia w celu uzyskania informacji kontaktowych.Zainstaluj i utrzymuj oprogramowanie antywirusowe, zapory sieciowe i filtry poczty elektronicznej, aby ograniczyć część tego ruchu.Korzystaj z wszelkich funkcji anty-phishingowych oferowanych przez klienta poczty elektronicznej i przeglądarkę internetową. Wymuszaj uwierzytelnianie wieloczynnikowe (MFA).