WhatsApp Соціальна інженерія
Ваш "начальник" у WhatsApp — це не Ваш начальник.
Що таке WhatsApp Соціальна інженерія?
Повідомлення WhatsApp від вашого генерального директора, надіслане з нового номера, оскільки старий телефон знаходиться в ремонті. Їм потрібні подарункові картки для клієнтської події, вони відшкодують вам кошти, і вони весь день на зустрічах. Програми для обміну повідомленнями мають менше елементів керування, ніж електронна пошта, і запрошують до швидшої та менш ретельної відповіді, особливо коли відправник виглядає старшим. Ви будете працювати над розмовою, коли тиск зростатиме, і практикуватимете єдиний захист, який припиняє її: перевіряйте через канал, який зловмисник не контролює.
Що ви дізнаєтесь у WhatsApp Соціальна інженерія
- Визначати поширені шаблони імітації начальника у WhatsApp та інших платформах обміну повідомленнями
- Розпізнавати тактики психологічного тиску, включаючи терміновість, авторитетність та ізоляцію
- Застосовувати позасмугову верифікацію для підтвердження запитів, отриманих через неформальні канали
- Пояснити, чому зловмисники надають перевагу подарунковим карткам, банківським переказам та криптовалюті для платіжних шахрайств
- Повідомляти про підозрювані спроби соціальної інженерії через належні організаційні канали
WhatsApp Соціальна інженерія — Кроки навчання
-
Тихий день
Це повільний день середи. Аліса виконує рутинні завдання в домашньому офісі. Її телефон гуде з новим повідомленням WhatsApp.
-
Повідомлення від VP
Аліса отримує повідомлення WhatsApp від когось, який називає себе Девідом Моррісоном, віце-президентом з операцій Meridian Analytics.
-
Терміновий запит
Повідомлення здається законним - Девід Моррісон є віце-президентом з операцій. Аліса помічає, що номер телефону не збережено в її контактах, що дивно, оскільки вона має справжній номер Девіда з довідника компанії. Але, можливо, він користується іншим телефоном?
-
Побудова довіри
Ще одне повідомлення надходить від «Давида», поки Аліса все ще читає перше.
-
Аліса відповідає
Прохання виглядає розумним. Девід є керівником вищої ланки, і в Meridian Analytics регулярно відбуваються заходи для клієнтів. Аліса вирішує відповісти та запропонувати свою допомогу.
-
Ескалація
«Давид» відповідає швидко, додаючи терміновості та конкретних інструкцій.
-
Щось відчувається
Давайте зупинимось і подумаємо про те, що щойно сталося.
-
Виявлено червоні прапори
Давайте розглянемо цю розмову ближче. Кілька речей не збігаються.
-
Час перевірки
Аліса розуміє, що щось не так. Замість того, щоб продовжувати розмову в WhatsApp, вона вирішує перевірити запит через офіційні канали. Вона бере телефон, щоб зателефонувати справжньому Девіду Моррісону за номером, збереженим у контактах її компанії.
-
Підтверджено: це шахрайство
Девід підтверджує, що він ніколи не надсилав жодних повідомлень WhatsApp і не планує жодного клієнтського заходу на п’ятницю. Він дякує Алісі за перевірку та каже їй негайно повідомити про це групі безпеки. Імітатор використовував ім’я та посаду Девіда – інформацію, яку легко знайти в LinkedIn або на веб-сайті компанії – щоб завоювати довіру.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1566.003 Phishing: Spearphishing via Service
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind