Социальная инженерия манипулирует людьми, заставляя их раскрывать информацию или предоставлять доступ. Она нацелена на человеческую психологию, а не на технологии. Злоумышленник завоевывает доверие, создает ощущение срочности и использует желание помочь. Телефонный звонок от человека, представившегося сотрудником IT-отдела. Электронное письмо от фальшивого руководителя с просьбой о банковском переводе. Посетитель с планшетом, который обманным путем проходит мимо ресепшена. Методы различны. Цель одна и та же: заставить жертву сделать то, чего она не должна делать.

Социальная инженерия эффективна, потому что она обходит технические средства контроля. Брандмауэр не помешает сотруднику службы поддержки сбросить пароль для человека, который кажется правдоподобным. Взлом Twitter в 2020 году использовал социальную инженерию по телефону, чтобы убедить сотрудников передать учетные данные. Затем злоумышленники захватили аккаунты известных людей и разместили мошенническую схему с биткоинами. ФБР назвало это скоординированной атакой с использованием социальной инженерии. Защита начинается с осведомленности, но одной осведомленности недостаточно. Процессы имеют большее значение. Проверяйте личность по отдельному каналу. Требуйте одобрения для конфиденциальных действий. Ограничивайте действия, которые может совершить один человек. Цель состоит в том, чтобы затруднить успех убедительной лжи. Обучение помогает, но хорошо отлаженный процесс выявляет то, что упускает обучение.

Распространенные методы социальной инженерии

• Фишинг — обман с использованием электронной почты.
• Вишинг — обман при голосовом звонке
• Использование ложного предлога — сфабрикованный сценарий
• Приманка — заманчивое предложение, например, бесплатная USB-флешка.
• Следование за кем-либо вслед за другим человеком — следование за кем-либо в охраняемую зону.

Социальная инженерия использует доверие в своих целях. Защита заключается в проверке, а не в подозрениях.