Никому не сообщайте свой пароль!

Подобное предупреждение сегодня можно наблюдать едва ли не во всех социально ответственных интернет-сервисах. Но еще совсем недавно люди попадались на уловки мошенников, которые просили сообщить номера договоров, коды доступа и пр.

Все мы люди, и иногда вокруг происходят вещи, которые не вписываются в рамки того, чему нас учили. Печально, что и некоторые учреждения и организации плохо защищены сами, и уж тем более оказываются беспомощными в защите клиентов.

Изменить поведение людей трудно. Так же трудно и привить человеку некие нормы безопасности. Маркус Нолберг из Швеции рассказывает об этом в своей диссертации, которую защитил в Стокгольмском университете. Он изучил опасности, которым подвергаются жертвы в сфере IT технологий.

Понятие социального инжиниринга относится к искусству использования социальных кодов и знания человеческого поведения. Ведь мошенникам неоднократно удавалось заставлять жертв производить действия, которые они в других обстоятельствах ни за что бы не совершили. Пример из недавних: в Швеции многие клиенты одного из банков получали запросы от якобы представителя IT-службы финансового учреждения. Он просил клиентов в срочном порядке идентифицировать себя, введя в предложенную форму коды доступа. Понятно, что впоследствии мошенник снимал средства со счетов доверчивых шведов.

«Я еще несколько лет назад предсказывал, что данный вид мошенничества будет распространен», говорит Маркус.

И даже несмотря на то, что такая техника обмана была весьма плодотворной, лишь некоторые ученые обратили на нее внимание. Исследование же Нолберга привело к тому, что теперь прецедент изучен всесторонне: известны методы, формы взаимодействия и, что самое главное, уязвимые места организаций.

Праздновать победу, по словам Маркуса, рано. «Всегда остаются такие люди, которым — сколько ни учи — ничего не втолкуешь. И вообще, подобным мерам безопасности граждан мало где учат. Чтобы изменить поведение жителей города или целой страны, необходимо проводить такую работу постоянно. Лучший способ — обучение на практике, и компаниям придется озаботиться тем, как и где его осуществлять. Кроме того, необходимо, чтобы компании проводили и внутренние проверки, организуя ложные атаки и изучая свои слабые места», уверен молодой ученый.

Принято считать, что социальный инжиниринг — дорогостоящая методика, так как она требует существенного времени на изучение и выполнение действий. Однако уже сегодня существует программное обеспечение, которое позволяет автоматизировать процесс.

«Представьте, насколько все станет серьезно, когда подобным атакам в массовом порядке станут подвергаться пользователи популярных социальных сетей. Если эта деятельность станет настолько же распространенной, как спам, то любые социальные действия в интернете будут под угрозой», уверен Маркус.

Перевод: Роман Гришаев

Источник: http://www.alphagalileo.org/

Дополнительно: http://www.su.se/

27.02.2009