Sociální inženýrství

Slyšeli jste někdy o e-mailu od nigerijského prince, který žádá o pomoc se získáním dědictví výměnou za podíl z peněz? Nebo jste viděli film Podraz a žasli nad tím, jak hlavní postavy dokážou obelstít prakticky kohokoli? Možná jste si položili otázku, jestli lidé opravdu dokážou takové podvody uskutečnit. A jestli na to lidé skutečně naletí. Odpověď zní jednoznačně ano – skutečná otázka ale je: proč?

Sociální inženýrství je celý soubor znalostí a dovedností, kvůli nimž se stáváme zranitelnými vůči podvodníkům. Většinou si ani neuvědomujeme, že se něco děje. Sociální inženýrství není jen vrozený talent „sladkého mluvení“ a společenské obratnosti; je to propracovaná disciplína, kterou využívají jak podvodníci, tak lidé, kteří se jim snaží zabránit.

V tomto shrnutí se podíváme na základy sociálního inženýrství, na to, jak funguje a jaké techniky zahrnuje. Dozvíte se mimo jiné, jak webová stránka o sběratelství známek otevřela bezpečnostní mezeru, proč si 734 000 uživatelů sociálních sítí zvolilo jako heslo své křestní jméno a jak vás mohou fotografie vašich dětí vystavit riziku útoku sociálního inženýra.

Už se vám někdy stalo, že jste si něco koupili a teprve později si uvědomili, že to vlastně vůbec nepotřebujete ani nechcete? Pokud ano, nejste v tom sami. Většina z nás byla někdy v životě ovlivněna nějakou taktikou sociálního inženýrství.

Sociální inženýrství je soubor psychologických triků, které využívají lidské slabiny k ovlivnění chování cílové osoby. Tyto triky se mohou projevovat v mluveném projevu, neverbální komunikaci i v nenápadných náznacích.

Vlády, obchodníci i policie tyto taktiky dobře znají, pravda ale je, že sociální inženýrství používáme v určité míře všichni – i ve vztahu k přátelům, rodině nebo kolegům. Když například dítě řekne: „Mami, já tě tak miluju. Můžu dostat k narozeninám štěně?“, používá sociální inženýrství, aby ovlivnilo rodiče.

Sociální inženýrství ale zdaleka neslouží jen ke krátkodobému zisku; může způsobit i velké škody. Podvodníci a šejdíři ho využívají k manipulaci svých obětí a k obcházení bezpečnostních systémů.

Představte si, že byste chtěli na firemní server nainstalovat malware. Můžete se dovnitř probít s puškou v ruce a násilím se dostat do serverovny – to je ale riskantní a chaotické. Sociální inženýr by naopak zvolil jiný přístup: převlékl by se za IT specialistu, vymyslel si přesvědčivý příběh a nechal se pustit přes ostrahu. Jakmile je uvnitř, může dělat, co potřebuje, aniž by komukoli připadalo něco podezřelé. Z pohledu bezpečnostního pracovníka „IT člověk“ jen dělal svou práci.

Nikdo nechce být takto podveden. Naštěstí se můžeme bránit – pokud dobře rozumíme tomu, jak sociální inženýrství funguje. Bezpečnostní auditoři, jako je autor knihy, jsou najímáni, aby hráli roli útočících sociálních inženýrů a testovali bezpečnostní systém klienta pomocí autorizovaných penetračních testů, zkráceně pentestů. Jde v podstatě o simulované útoky využívající techniky sociálního inženýrství. Klient samozřejmě neví, kdy, kde ani jak přesně k testu dojde.

Ať už jste bezpečnostní auditor, nebo zločinný sociální inženýr, před plánováním útoku musíte dobře znát svůj cíl. Čím lépe mu rozumíte, tím snáze zjistíte, jak na něj zapůsobit, a tím účinnější bude váš plán.

Začněte vytvořením profilu cíle. Prvním zdrojem informací bývá internet: existují webové stránky, které umožňují dohledat člověka podle e‑mailové adresy, telefonního čísla nebo dokonce IP adresy. Sociální sítě jsou rovněž skvělým zdrojem dat.

Buďte důslední – i drobný detail může mít velkou cenu. Autorův mentor Mati Aharoni byl například jednou najat, aby provedl penetrační test pro konkrétní firmu. Zjistil, že jeden z jejích vrcholových manažerů používá svou firemní e‑mailovou adresu na fóru sběratelů známek. Aharoni proto vytvořil webovou stránku s adresou související se známkami a vložil do ní program, který mu umožnil získat přístup k počítači cíle.

Poté manažerovi zavolal, zeptal se ho, zda by neměl zájem koupit „sbírku známek po zesnulém dědečkovi“, a nabídl, že mu pošle odkaz na web. Cíl, zaskočený a nadšený, ochotně souhlasil – a spadl do pasti.

Jak vidíte, i zdánlivé maličkosti mohou mít obrovský význam.

Mnoho se o člověku dozvíte i prostým pozorováním jeho každodenního života. Vyplatí se sledovat cíl v jeho běžné rutině. Kam pravidelně chodí? Kouří? Pokud je vaším cílem firma, používají zaměstnanci ke vstupu do budovy klíče, nebo magnetické karty? Jsou na budově bezpečnostní kamery?

A nakonec – byť to rozhodně není příjemné – můžete získat cenné informace i z odpadu cíle. Lidé vyhazují CD, dopisy, faktury a další dokumenty, které mohou obsahovat citlivé údaje. Buďte však opatrní: pytle s odpadem si vždy odneste jinam, abyste se vyhnuli odhalení.