Що таке Соціальна інженерія

Встановіть кнопку «Повідомити про фішинг» в Outlook, Gmail і мобільних поштових клієнтах, а також опублікуйте номер телефону для повідомлень про вішинг, номер для пересилання SMS у разі смішингу та ярлик у Slack чи Teams для випадків імітації в чаті. Публікуйте медіанний час розбору і кількість підтверджених приводів, спійманих минулого місяця, щоб повідомлення відчувалося корисним, а не проігнорованим. Частка повідомлень — випереджальний показник, найтісніше пов’язаний зі стійкістю до зламів; проміжок між першим контактом і першим повідомленням — це вікно, яке зловмисник використовує для ескалації. Програма, що піднімає частку повідомлень із 18% до понад 65%, зазвичай скорочує час перебування зловмисника в мережі при підтверджених інцидентах на порядок.

Загальний ознайомчий контент виходить на плато за два квартали. Рольові вправи, що відтворюють поточну тактику зловмисників, підтримують рефлекс перевірки живим. Фінанси й відділ розрахунків із постачальниками отримують приводи BEC, зміни реквізитів постачальника, діпфейк-переказу й подарункових карток. IT і служба підтримки отримують сценарії вішингу та скидання MFA з плейбука MGM. Інженери отримують схеми зі згодою OAuth, комітами в ланцюг постачання та промпт-ін’єкцією в ШІ-асистентів. Керівники та їхні помічники отримують вейлінг, діпфейк-відеодзвінки та захист особистих пристроїв. Команди з роботи з клієнтами та партнерами отримують приводи з імітацією постачальника. Результат — рефлекс перевірки, який переноситься на кожен канал, яким користуються працівники.

Напишіть політику на одну сторінку, яка вимагає зворотного дзвінка на опублікований внутрішній номер перед будь-якою зміною платіжних реквізитів, оновленням банківських даних, скиданням MFA, правкою зарплатних даних, підключенням постачальника або запитом керівника, що надійшов поза звичними каналами, незалежно від того, звідки він прийшов. Запровадьте систему кодових слів для дорогих фінансових запитів, щоб діпфейк-голос чи відео не могли самотужки завершити ланцюг. Вимагайте подвійної авторизації (два названі погоджувачі, причому другого обирають з опублікованої ротації, а не за вказівкою запитувача) для будь-якого платежу понад визначений поріг. Щокварталу відпрацьовуйте політику з фінансами, відділом розрахунків із постачальниками, HR і службою підтримки. Збитки Arup у 25 мільйонів доларів у 2024 році, FACC у 54 мільйони і Toyota Boshoku у 37 мільйонів кожен можна було відвернути цим одним контролем.

Публічне присоромлення вбиває культуру повідомлень, яка вам потрібна. Розбирайте помилки тих, хто клікає повторно, приватно за допомогою 60-секундного мікроуроку про саме той шаблон, який вони пропустили, залучайте керівника лише якщо помилка повторюється, і ніколи не публікуйте індивідуальні показники кліків. Більшість зламів, де був клік через соціальну інженерію, супроводжуються запізнілим повідомленням, а більшість запізнілих повідомлень породжує страх наслідків, а не збій виявлення. Культурна позиція програми визначає криву часу до повідомлення, а вона визначає масштаб наслідків кожного успішного приводу.

Апаратні ключі (YubiKey, Titan) і платформні ключі доступу (passkeys) на iOS та Android неможливо перехопити проксі типу «зловмисник посередині». Криптографічний виклик прив’язаний до легітимного домену, тому підроблена сторінка входу чи проксі на кшталт Modlishka не може завершити рукостискання, навіть якщо користувач вводить справжні облікові дані. Переведіть кожного працівника з SMS, push-сповіщень і TOTP на FIDO2 або ключі доступу, починаючи з фінансів, IT, керівників і розробників. Cloudflare публічно визнала, що саме обов’язкові апаратні ключі зупинили кампанію 0ktapus / Scatter Swine 2022 року на периметрі, тоді як подібні компанії з push-MFA були зламані.

Проінструктуйте рецепцію, охорону, господарські служби та працівників складу про ті самі шаблони приводів, що приходять на пошту. Типові фізичні сценарії: кур’єр, якому треба, щоб йому притримали двері з перепусткою, підрядник із ламінованим бейджем, але без запланованого візиту, виїзний інженер постачальника, що приїхав на незаплановану перевірку, і підкинутий USB-носій із фальшивим супровідним листом про «щорічний аудит із техніки безпеки». Вимагайте звірки фото з документом і зворотного дзвінка за довідником для кожного входу без перепустки, забороніть підключення USB до комп’ютерів на об’єктах і щокварталу проводьте мікровправи з проходу «хвостом», вимірюючи результат проти опублікованої базової лінії. Вантажна рампа і стійка рецепції — цілі першого рівня для соціальної інженерії, яких SOC не бачить.

API клонування голосу потребують 30 секунд вихідного аудіо, щоб створити переконливий привід, а відеодіпфейки з живим обличчям працювали в бойових умовах під час шахрайства з переказом в Arup у 2024 році й відтоді з’являлися на дзвінках із перевірки інвестиційних угод у фондах прямих інвестицій та в процесах погодження платежів фінансовими директорами. Навчіть керівників, фінансові команди і помічників, що зовнішність на живому дзвінку більше не є доказом. Вимагайте відповіді на кодове слово для будь-якого дорогого запиту, зробленого через відео чи голос, ніколи не повідомляйте кодове слово тим самим каналом, яким його запитали, і змінюйте його щокварталу. Доповніть це інструментами виявлення синтетичних медіа там, де вони розгорнуті, але не покладайтеся на них як на єдиний контроль.

Цілі для вейлінгу й шахрайства від імені генерального директора вивчають через публічні профілі. Обмежте LinkedIn керівників (вимкніть підписників, приберіть графіки виступів, видаліть стаж і лінії підпорядкування), підключіть особисті телефони до MDM, якщо на них є робоча пошта, увімкніть ключі доступу для особистих Apple ID та акаунтів Google, де зберігаються робочі дані, і щокварталу замовляйте OSINT-перевірку, щоб виявити реєстрації схожих доменів, підроблені акаунти в соцмережах і витоки облікових даних у дампах зламів. Рефлекс перевірки найважливіший на верхівці оргструктури: один фінансовий директор, який дотримується політики зворотного дзвінка, відвертає восьмизначний збиток, заради якого й побудована решта програми.