W skrócie
Socjotechnika w cyberbezpieczeństwie to manipulacja człowiekiem w celu uzyskania dostępu, informacji lub pieniędzy. Wykorzystuje emocje, autorytet i presję czasu. Najlepszą obroną są jasne procedury weryfikacji oraz regularne ćwiczenie sytuacji, w których ktoś próbuje nas zmanipulować.
| Pojęcie | Znaczenie |
|---|---|
| Socjotechnika | wpływanie na zachowanie człowieka w celu obejścia zabezpieczeń |
| Autorytet | podszywanie się pod osobę, której zwykle się nie odmawia |
| Presja czasu | sztuczny pośpiech, który ogranicza krytyczne myślenie |
Socjotechnika co to znaczy?
Zabezpieczenia techniczne są coraz lepsze, więc atakującemu często opłaca się zaatakować człowieka. Zamiast szukać luki w oprogramowaniu, prosi o hasło, kod albo przelew w sposób, który wydaje się naturalny.
Socjotechnika nie jest wyłącznie domeną internetu. Dotyczy rozmów, wizyt w biurze i wiadomości. Wspólny mianownik to wywołanie reakcji, zanim ofiara zdąży się zastanowić.
Jakie emocje wykorzystuje socjotechnika?
Atakujący sięgają po kilka prostych dźwigni psychologicznych. Najczęściej są to:
- autorytet, na przykład wiadomość rzekomo od prezesa lub urzędu,
- pilność, czyli termin liczony w minutach,
- strach przed konsekwencjami, na przykład blokadą konta,
- chęć pomocy, wykorzystywana wobec uprzejmych pracowników,
- ciekawość, na przykład załącznik zatytułowany jako lista wynagrodzeń,
- zasada wzajemności, czyli drobna przysługa przed właściwą prośbą.
Jak wygląda socjotechnika w codziennej pracy?
W firmie przybiera zwykłe, mało spektakularne formy. Ktoś dzwoni do recepcji i prosi o dane osoby odpowiedzialnej za płatności. Ktoś pisze do księgowej w imieniu dostawcy. Ktoś wchodzi do biura za pracownikiem, który przytrzymał drzwi, i podłącza urządzenie do sieci.
Takie sytuacje nie wyglądają na atak. Dlatego tak skuteczne jest podejście, w którym pracownik wie, że wolno poprosić o potwierdzenie, i że nikt nie będzie mu miał tego za złe.
Czym socjotechnika różni się od phishingu?
Phishing jest jedną z technik socjotechniki, prowadzoną zwykle przez wiadomość. Socjotechnika to pojęcie szersze, obejmuje także rozmowy, wizyty i manipulację w kontakcie bezpośrednim. Wyjaśniamy to dokładniej w artykule phishing co to.
Praktyczna różnica jest taka, że na phishing pomagają filtry poczty i uwierzytelnianie, a na socjotechnikę w rozmowie tylko nawyk weryfikacji, którego nie da się włączyć jednym ustawieniem.
Jak ograniczyć ryzyko socjotechniki w firmie?
Pomaga kilka zasad, które można wprowadzić bez dużych nakładów:
- weryfikacja próśb o przelew i zmianę danych drugim kanałem,
- jasna lista informacji, których nie podajemy przez telefon,
- zasada, że wejście do biura obejmuje identyfikację osób obcych,
- prosta ścieżka zgłaszania podejrzanych sytuacji bez obawy przed karą,
- ćwiczenia w realistycznych scenariuszach, a nie tylko prezentacja.
Jak ćwiczyć odporność na manipulację?
Odporność buduje się powtarzaniem. Jednorazowe szkolenie z trenerem opisuje zagrożenia, ale nie sprawdza reakcji w środku dnia. Ciągły program symulacji daje pracownikom okazje do popełnienia błędu w bezpiecznych warunkach i od razu pokazuje, co powinno wzbudzić czujność.
Jeśli interesuje Cię całościowe podejście, przeczytaj o security awareness, czyli programie budowania świadomości w całej organizacji.