ソーシャルエンジニアリングの多様な顔
ソーシャルエンジニアは、あなたに望むことをさせるためにどのボタンを押すべきかを知っています。彼らの伝統的なテクニックは本当に効果があります。そのため、サイバー犯罪者がこれらのテクニックをサイバー犯罪に応用するのは避けられないことでした。
ソーシャルエンジニアリングの仕組み
私たちは生まれたときから、助けになり、礼儀正しくあるようにプログラムされています。誰かが質問をすると、それに答えないのは意識的な努力が必要です---特にその質問が無害に思える場合はなおさらです。これは、社会工学者が自分たちの目的を達成するために操作する行動の一つです。彼らは巧妙に、そして徐々に、犠牲者から少しずつ情報を引き出します。彼らは無害な質問を、知りたいことを明らかにさせるための質問に交ぜて行います。
ソーシャルエンジニアリングは、基本的な人間の特性を利用したテクニックで人々を操作することによって機能します。熟練したソーシャルエンジニアは、あなたに対して同情を感じさせたり、彼らや彼らが作り上げた状況に対して共感を抱かせることができます。彼らは、一度くらいはルールを曲げたくなるように仕向けることができるのです。なぜなら、彼らに共感し、助けたいと思ったり、彼らが迷惑で早く電話を切りたいからです。彼らは、あなたを心配させたり、パニックに陥らせたり、希望を持たせたり、興奮させたりすることができます。そして、これらの感情的な反応を利用して、急いで行動させ、しばしば想定される災害を避けるためや特別なオファーを利用するために仕向けます。
ソーシャルエンジニアリング攻撃は、1回の電話通話で発生する可能性があります。これらは、時間をかけて徐々に偽の信頼関係を築くことで展開することもあります。しかし、ソーシャルエンジニアリングは口頭の言葉に限られません。最も一般的なソーシャルエンジニアリング攻撃は、メールを介して行われます。
すべてのソーシャルエンジニアリング攻撃に共通する唯一のことは、その目的です。彼らはあなたのセキュリティ対策を突破したいのです。そして、あなたは彼らの無自覚な共犯者として。
人間の本性をハッキングする
人々は詐欺師が存在する限り、社会工学の手法を使い続けてきました。「スペインの囚人」詐欺は1580年代に遡ります。裕福な個人は、偽の身分でスペインに不法に囚われている貴族を代表していると主張する誰かから手紙を受け取ります。彼の本当の身分は明かすことができず、それによって彼自身と彼の美しい娘がさらに危険にさらされるからです。
彼らの唯一の脱出の希望は、宿直官を賄賂で買収することです。賄賂基金に寄付する人は、捕虜が解放されて彼のかなりの財産にアクセスできるとき、何倍にも報われるでしょう。寄付することに同意した人は、寄付を集める仲介者と会います。
被害者はすぐに再び近づきます。---捕虜と彼の娘は処刑されることになっており、私たちには2週間しかありません---そしてもちろん、より多くのお金が必要です。これは、被害者が血を流して乾かすか、それ以上のお金を渡すことを拒否するまで繰り返されます。
このような詐欺は、異なる人々に異なる方法で作用します。一部の犠牲者は、優しさ、思いやり、正義感といった彼らの高尚な資質に訴えかけられ、引っかかってしまいます。他の人々にとっては、イギリスとスペインの間の敵対的な状況が彼らを行動に駆り立てたでしょう。さらに別の人々は、簡単に利益を得る機会に飛びつくでしょう。
スペインの囚人詐欺は、エリザベス朝の同等物であり、直接の祖先である「ナイジェリアの王子」や、2021年にサイバー犯罪者が依然として利益を上げているその他の釣り詐欺メールです。
今日、多くの人々はこれを詐欺として認識できます。しかし、現代のソーシャルエンジニアリング攻撃ははるかに微妙です。そして、感情的な出来事に対する人間の反応の幅は変わっていません。私たちはまだ同じようにプログラムされているので、これらの攻撃にまだ脆弱です。
攻撃の種類
脅威アクターは、あなたに彼らの利益になることをしてほしいのです。彼らの目的は、アカウントの認証情報やクレジットカードの詳細を収集することかもしれません。彼らは、あなたが知らず知らずのうちにランサムウェア、キーロガー、またはバックドアのようなマルウェアをインストールさせたいのかもしれません。さらには、あなたの建物に物理的にアクセスすることを望んでいる可能性もあります。
すべてのソーシャルエンジニアリング攻撃に共通する特徴は、緊急性を生み出そうとすることです。何らかの形で、締切が迫っています。受取人に対する潜在的なメッセージは「今行動しなさい、考えるのをやめるな」というものです。被害者は、災害を防がなければならず、特別なオファーを逃してはいけなく、他の誰かに困難が及ぶのを許してはいけないと強いられます。
フィッシングメール
最も一般的なソーシャルエンジニアリング攻撃はフィッシングメールを使用します。これらは信頼できるソースからのものであるかのように見えますが、実際には本物の会社のロゴを使って作られた偽のものであることがほとんどです。一部は特別オファーのような機会を提供します。他はアカウントロックアウト問題など、対処が必要な問題を提示します。
フィッシングメールは、ニュースに合わせて非常に簡単にリスキンできます。2020年のCOVID-19パンデミックは、サイバー犯罪者にフィッシングメールを新しい件名で送信するための完璧な隠れ蓑を提供しました。パンデミックに関するニュース、テストキットへのアクセス、そしてハンドサニタイザーの供給などが、人々を引き込むためのフックとして利用されました。フィッシングメールには、悪意のあるウェブサイトへのリンクや、マルウェアインストーラーを含む添付ファイルがあります。
電話の呼び出し
フィッシングメールは数百万通も送信され、一般的な本文が使用されています。電話によるソーシャルエンジニアリングは通常、特定の組織に合わせて行われるため、脅威アクターはその企業についての調査を行う必要があります。彼らはウェブサイトの「チーム紹介」ページを見て、チームメンバーのLinkedInやTwitterのプロフィールをチェックします。
オフィスを離れている人や、会議に参加している人、新しいチームを管理している人、昇進している人などの情報は、脅威のある行為者によって電話の会話に持ち込まれることがあるため、受信者は呼び出しが本当に技術サポートからのものであるか、営業チームが宿泊しているホテルからのものであるかを疑問視しないのです。
従業員に電話をかけて技術サポートになりすますのは一般的な手口です。新入社員は良い標的です。彼らは評価されようと一生懸命努力しており、トラブルに巻き込まれたくないと思っています。もし技術サポートが彼らに電話をかけて、彼らがすべきでないこと、例えば、特権ネットワーク共有にアクセスしようとしたことがあるか尋ねると、従業員は過剰に反応し、自分の名誉を守るために協力的になりすぎてしまう可能性があります。
ソーシャルエンジニアは、その状況を有利に利用し、会話の過程で従業員から十分な情報を引き出して、アカウントを侵害することができます。
テクニカルサポートも標的になり得ます。攻撃者は上級スタッフになりすまし、テクニカルサポートに電話して、ホテルにいて自分の法人アカウントから重要なメールが送れないと不満を訴えます。大きな取引がかかっていて、時間がありません。攻撃者は、個人のメールを使ってエラーメッセージのスクリーンショットを送ると言います。サポートエンジニアは、これをできるだけ早く解決したいと考えています。メールが届くと、彼らはすぐに添付ファイルを開き、マルウェアをインストールします。
誰でもソーシャルエンジニアリングの電話を受ける可能性があります。テクニカルサポートが独占しているわけではありません。攻撃者が選べるバリエーションは何百もあります。
あなたの premises に入る
脅威行為者は、あなたのビルにアクセスするためにほぼ誰にでも成りすますことがあります。宅配業者、ケータリング業者、花屋、消防検査官、エレベーターサービス技術者、プリンタ技術者が全て利用されています。彼らは予期せずに到着するか、前もって電話をかけてアポイントを予約することがあります。アポイントを予約することで、脅威行為者が彼らが主張する人物であることを確認する助けになります。アポイントの日に、あなたはプリンタ技術者の到着を期待しており、実際に一人が到着します。
プリンターのサービスを行うと言うのではなく、ファームウェアの更新や工具や予備部品を必要としない他の作業を行うと言う可能性が高いです。彼らは非常に安心感を与えるでしょう。ネットワーク接続が必要なだけで、数分間あなたのコンピュータの一つにアクセスするだけで済みます。プリンターはオフラインになることもありません。彼らがあなたの敷地内にいて、あなたのネットワークに接続していると、あらゆる種類のマルウェアをインストールすることができるのです。通常、それはリモートでネットワークにアクセスできるバックドアになることが多いです。
別の攻撃の手法では、小さなデバイスをどこかに隠す必要があります。プリンターの後ろは人気の場所です。目に見えず、通常はその後ろに予備の電源コンセントやネットワークソケットがあります。そのデバイスは、脅威の行為者のサーバーに対してSSHリバーストンネルと呼ばれる暗号化された接続を作ります。脅威の行為者は、いつでもあなたのネットワークに簡単にアクセスできます。これらのデバイスは、Raspberry Piや他の安価なシングルボードコンピューターを使用して作成でき、電源装置や類似の無害なデバイスとして見せかけることができます。
ソーシャルエンジニアリングからの保護
ソーシャルエンジニアリングは人々を対象にしているため、主な防御策はスタッフの意識向上トレーニングと明確なポリシーおよび手続きです。スタッフはプロトコルを守ることによって罰せられないと感じる必要があります。一部のサイバーセキュリティ会社は、社内のソーシャルエンジニアと共にトレーニングやロールプレイのセッションを提供しています。技術を実際に見ることは、誰もが免疫を持たないことを示す強力な方法です。
スタッフにプロトコルを破るよう求められた場合に何をすべきか明確な指示を与える手順を確立してください---誰が求めていても関係ありません。例えば、技術サポートにパスワードを教えてはいけません。
定期的なネットワークスキャンを実施して、ネットワークに接続された新しいデバイスを見つけるべきです。説明できないものはすべて特定され、調査される必要があります。
訪問者は決して無人にされてはいけませんし、現地に到着した際には彼らの資格証明書を確認する必要があります。