再谈社会工程黑客的防范之道

随着信息服务提供商的安全技术更新,以及等级保护网络安全相关法规的落地,诸如加密、安全更新、防火墙、防病毒、多因素身份验证之类的高级安全措施越来越得到普及,这使黑客越来越难以获得他们想要的东西如机密信息资产等。这是网络社会和信息行业付出巨大代价换来的进步,也是值得欣喜的情况。不过,昆明亭长朗然科技有限公司网络安全研究专员董志军警告称:永远不要太过乐观,因为出于思想政见的不同特别是利益驱动的原因,诸如黑客、间谍或不轨人员等网络犯罪威胁客观存在而且无处不在,当他们无法从技术层面下手时,他们会尝试新的渠道,即利用人性的弱点,这样只会让情况越来越糟,因为人性的弱点太复杂多变了。

您可能想问:人员因素越来越成为黑客的最佳目标呢?这是因为人们可能会有意、无意或疏忽大意间犯错。一些不良的安全习惯或常见错误很容易为黑客提供他们所希望的突破口。社会工程学是一种操纵人们去做事的艺术,尤其是与安全相关的事情,例如交出计算机的访问权限或者泄露机密信息。社会工程学黑客并不是利用高超的技术闯入计算机网络或信息系统,而是使用对人类的心理进行操控的技巧。

在许多情况下,这些黑客只需使用少量信息,就可以获得受害者的信任或访问权限。让我们看一些例子:

  • 一名黑客可能会打来电话,自称是您的服务商,并说您的账户已被标记为异常活动,需要验证您的身份,实际上是在骗取您的身份信息。
  • 一名攻击者冒充您所在单位中的同事(例如佩戴假工牌的技术支持人员)或顾问或其他受信任的外部权威(例如审核人员),进而获得您的信任,并跟随您进入内部受限工作区域。
  • 一名黑客甚至可能添加您为社交媒体好友,然后从您的个人资料或发帖中收集信息。
  • 一名黑客可能伪造知名机构的网站,向您发送链接,进而对您进行网络钓鱼攻击和恶意软件感染等。
  • 一名黑客可能通过假冒高管的电子邮箱或在社交媒体中假冒成高管,向您紧急借钱,或要求您转账给特定的户头。

如何最大限度地减少社交攻击造成的损失呢?

从战略上讲,防御黑客的最佳方法是像黑客一样思考。因此,安全专员需要赋能用户,培训员工有关黑客的一切。当然,真实的黑客并非媒体或影视剧中表现的那样神乎其神。媒体通过都是通过夸张的表现来吸引人们的眼球。真实的黑客敢闯敢试、足智多谋而且极有耐心。安全人员可以通过鼓励员工参加黑客挑战赛来培养黑客的思维方式。

从战术上讲,为避免成为社交攻击黑客、网络钓鱼分子、电信诈骗者和身份盗用者的侵害,我们可以做很多事情,比如采取如下一些预防措施:

  • 避免将所有鸡蛋都放在一个篮子里,账户之间越相互依赖,出现安全问题的可能性就越大,所能造成的破坏就越广泛。
  • 为每个网络应用服务使用不同的登录名或密码,当然,最好不要重复使用相同的密码,以确保一个密码的失窃不会影响到其它信息系统。
  • 尽量启用双因素身份验证,这样,即使用户名和密码被盗,盗贼也难以轻松进入您的账户。
  • 定期检查账户登录情况和个人数据,以查找身份盗窃和账户欺诈行为,定期检查访问日志情况以确认账户没被入侵和滥用。
  • 从公共信息数据库中删除您的私人信息,如Firefox监控等一些安全网站或工具可以帮助我们查找自己的私人信息暴露情况,使用相关的资源删除暴露的私人信息。
  • 定期备份重要的数据,不怕一万就怕万一,黑客入侵人们通常为了获利,加密型的勒索病毒使很多企业和个人受害不浅,这是惨重的教训。

话说回来,如同表演各种幻术一样,社交工程学黑客会伪装成各种角色的人员身份,向各类人员发起针对您的攻击。如果服务提供商因受到社交工程诈骗的原因而将您的账户访问权限交给了攻击者,上述这些步骤将不会阻止您的账户受到入侵和损害,但是,它们至少可以帮助您将可能的损失降到最低,以让您对保护好自己更有信心。

对于网络安全人员来讲,要不断更新自己的知识储备,加强网络安全学习。同时要鼓励员工们了解潜在的网络犯罪事件,以便认识到新型的网络安全威胁,进而帮助员工们更好地与组织的安全风险建立关联,强化自己的安全防护意识和能力,履行好自己的网络安全职责,防止沦为社交工程黑客利用来攻击工作单位的对象。

为了帮助各类型的组织机构抵御越来越复杂多变的社会工程学黑客攻击,进而帮助保护组织机构的重要信息资产,昆明亭长朗然科技有限公司制作了大量的用户安全意识培养教程内容和素材资源。如果您有这方面的兴趣或需求,请联系我们洽谈业务合作。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898

提高警惕防范社交工程诈骗

科技进步极大地重塑了人类的生活模式,尤其是电话和互联网的广泛应用。这些技术的发展一方面显著缩短了人际沟通的距离,另一方面则使得信任关系的构建与维护变得更加复杂。互联网作为人际互动的载体,不可避免地涉及到社交活动。在技术漏洞带来安全风险的同时,人际交往本身也潜藏着重大风险。交流行为的存在,伴随着欺诈行为的发生,而这些欺诈行为成为了潜在的安全隐患。在此基础上,催生了一门新兴学科——社会工程学。对此,昆明亭长朗然科技有限公司网络安全专员董志军表示:社会工程学是一门研究如何通过个人的影响力、说服技巧来操纵他人,使其相信并采纳社会工程师所伪装的身份,从而实现特定目的的学科。社会工程师通过这些技巧,获取他们所需的信息。这一过程虽然常常伴随着技术手段的运用,但即便没有高科技的支持,社会工程师也能达成其目标。以下将通过几个案例,具体揭示社会工程学的实质和应用,以便更深入地理解这一领域的特点和内涵。

案例一:银行内鬼的骗局

1978年的某一天,瑞福晶偶然进入了美国保险太平洋银行公司,作为一名授权职员,他接触到了繁忙的电汇交易部门。这里每日的资金流转高达数十亿美元。当时,瑞福晶所在的公司恰好负责开发电汇交易的数据备份系统,这使他有机会深入了解转账流程,包括银行职员操作款项的步骤。他得知,被授权进行电汇的交易员每天早晨都会收到一个保密的密码,用于电话转账交易。然而,一些交易员为了方便记忆,会将密码写在纸片上,并将其贴在容易被看到的地方。

11月的一天,瑞福晶找了一个借口进入电汇部门。他假装在检查备份系统的运行情况,趁机偷看了纸片上的密码,并记在了心里。几分钟后,他离开了电汇部门,心中犹如中了大奖一般兴奋。当天下午3点左右,瑞福晶走到大厦前厅的付费电话旁,投入硬币,拨通了电汇部门的电话。他伪装成国际部的银行职员迈克尔森。

以下是那次通话的内容:

“喂,我是国际部的迈克尔森。”瑞福晶对接听电话的职员说。

职员按照正常程序询问他的办公电话,他早已准备好答案:“2862。”

职员继续问:“好的,那密码是多少呢?”

瑞福晶回忆当时的心情,他紧张又兴奋地回答:“4789。”

然后,他指示对方将1020万美元从纽约欧文信托公司转到瑞士苏黎世某银行他预先设立的账户。

职员问道:“好的,请告诉我转账的账号。”

这一问让瑞福晶冒了一身冷汗,他事先并未准备这个信息。但他尽力保持镇定,回答说:“我查一下,马上给您回电话。”

随后,他假装成电汇部门的工作人员,向其他部门求助获取账号,然后再次拨打电话。对方收到账号后,甚至还表示感谢。

几天后,瑞福晶飞往瑞士,提取了现金,并用其中的800万美元购买了大量钻石。他将钻石藏于腰带中,顺利通过海关返回美国。瑞福晶成功实施了历史上最大的银行劫案,他未使用任何武器,甚至无需计算机辅助。这种利用社会工程学技巧的能力,令人叹为观止。

案例二:钓鱼邮件的陷阱

小李是一家中型企业的财务人员,一天他收到一封看似来自公司高层的邮件,邮件内容要求他立即转账一笔巨款到一个指定的账户,理由是紧急项目资金需求。小李没有多想,立即按照邮件中的指示进行了操作。然而,几天后,公司发现资金被转走,经过调查才发现,小李收到的邮件实际上是一封钓鱼邮件,发件人伪装成公司高层,利用小李的信任进行了诈骗。

案例三:假冒客服的骗局

张女士收到一条短信,称她的银行账户有异常交易,需要立即联系客服进行处理。张女士拨打了短信中的电话,对方自称是银行客服,要求她提供账户信息和验证码进行核实。张女士信以为真,提供了相关信息。结果,她的银行账户被盗刷,损失了几万元。

案例四:微信好友的陷阱

小王在微信上收到一条来自“好友”的消息,对方称自己在外地出差,手机丢失,急需借钱。小王没有多想,立即通过微信转账给对方一笔钱。然而,几天后,小王才发现,那条消息实际上是一个骗子通过盗取好友账号发送的,他被骗了几千元。

社会工程学的危害

通过以上几个案例,我们可以看到,社会工程学的手段多种多样,利用人性的弱点,从而满足自身的私欲。它不只是一门技术,更是一门艺术。想要针对性地去防范社会工程学的攻击是很难的,毕竟我们总是会在无意间暴露了很多重要信息,唯有提高自身的日常警惕意识,才能尽可能杜绝被人利用,杜绝社会工程学攻击的可能性。

如何防范社交工程诈骗

  1. 小心来路不明的电话:不要轻易相信来路不明的电话,询问员工或者其他内部的资料信息,访问电子邮件等。如果有不认识的人声称来自某合法机构,请设法直接向该机构确认他的身份。
  2. 确认身份:除非能够确定某人有权得到此类信息,否则不要提供个人信息或者所在机构的信息,包括所在机构的组织结构。
  3. 保护网络信息:网络方面的信息尽可能不要在电子邮件中泄露,私人的或者财务方面的信息不要回应征求此类信息的邮件,也包括不要点击此类邮件中的链接。
  4. 加强安全意识:只有加强自身的安全意识,才能去防范复杂多变的社会工程学手段,以不变应万变,以自身坚实的网络安全意识去面对诡计多端的不法分子。

结语

科技的发展为我们带来了便利,但也带来了新的挑战。社交工程诈骗就是其中之一。通过提高警惕,增强安全意识,我们可以有效防范这些诈骗手段,保护自己和他人的利益。让我们共同努力,打造一个更加安全的网络环境。

面对社会工程学攻击,我们必须始终保持高度警惕,增强个人安全意识。只有不断提高自我防范能力,才能在日益复杂的网络环境中确保个人和企业的信息安全。为了帮助各类型的组织机构实现这一点,昆明亭长朗然科技有限公司创作了大量的安全意识教程,其中包括社会工程学攻击的识别和防范方法,欢迎有兴趣的客户及伙伴联系我们,预览和体验教程内容,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898