É importante estar ciente da engenharia social e estar atento. Os programas de segurança não protegem você da maioria das ameaças de engenharia social, por isso você precisa se proteger.
Engenharia Social Explicada
Os ataques tradicionais baseados em computador geralmente dependem de encontrar uma vulnerabilidade no código de um computador. Por exemplo, se você estiver usando uma versão desatualizada do Adobe Flash - ou, Deus não o permita, Java, que foi a causa de 91% dos ataques em 2013 de acordo com a Cisco - você pode visitar um site malicioso e esse site exploraria a vulnerabilidade em seu software para obter acesso ao seu computador. O invasor está manipulando bugs no software para obter acesso e coletar informações privadas, talvez com um keylogger que eles instalam.
Os truques de engenharia social são diferentes porque envolvem manipulação psicológica. Em outras palavras, eles exploram pessoas, não seu software.
Você provavelmente já ouviu falar em phishing, que é uma forma de engenharia social. Você pode receber um e-mail afirmando ser do seu banco, empresa do cartão de crédito ou outra empresa confiável. Eles podem direcioná-lo a um site falso disfarçado para parecer real ou solicitar que você baixe e instale um programa mal-intencionado. Mas esses truques de engenharia social não precisam envolver sites falsos ou malware. O e-mail de phishing pode simplesmente solicitar que você envie uma resposta por e-mail com informações privadas. Em vez de tentar explorar um bug em um software, eles tentam explorar as interações humanas normais. Spear phishing pode ser ainda mais perigoso, pois é uma forma de phishing desenvolvida para segmentar indivíduos específicos.
Exemplos de engenharia social
Um truque popular em serviços de bate-papo e jogos on-line foi registrar uma conta com um nome como "Administrador" e enviar mensagens assustadoras para pessoas como "AVISO: Detectamos que alguém pode estar invadindo sua conta, responda com sua senha para se autenticar". Se um alvo responder com sua senha, ele se engana e o atacante agora tem a senha da conta.
Se alguém tiver informações pessoais sobre você, elas poderão usá-lo para obter acesso às suas contas. Por exemplo, informações como sua data de nascimento, número do seguro social e número do cartão de crédito costumam ser usadas para identificar você. Se alguém tiver essa informação, pode entrar em contato com uma empresa e fingir ser você. Esse truque foi usado por um invasor para obter acesso ao Yahoo! Conta de e-mail em 2008, enviando dados pessoais suficientes para obter acesso à conta através do formulário de recuperação de senha do Yahoo! O mesmo método pode ser usado por telefone se você tiver as informações pessoais que a empresa precisa para autenticá-lo. Um invasor com algumas informações sobre um alvo pode fingir ser ele e ter acesso a mais coisas.
A engenharia social também poderia ser usada pessoalmente. Um invasor pode entrar em um negócio, informar ao secretário que é um reparador, um novo funcionário ou um inspetor de incêndio em um tom autoritário e convincente, perambular pelos corredores e roubar dados confidenciais ou plantar bugs para realizar espionagem corporativa. Esse truque depende do atacante se apresentar como alguém que não é. Se uma secretária, porteiro ou qualquer outra pessoa responsável não fizer muitas perguntas ou olhar muito de perto, o truque será bem-sucedido.
Ataques de engenharia social abrangem a gama de sites falsos, e-mails fraudulentos e mensagens de chat nefastas até personificar alguém no telefone ou pessoalmente. Esses ataques vêm em uma ampla variedade de formas, mas todos eles têm uma coisa em comum - eles dependem de truques psicológicos. A engenharia social tem sido chamada de arte da manipulação psicológica. É uma das principais formas de hackers na verdade "hackear" contas online.
Como evitar a engenharia social
Saber que a engenharia social existe pode ajudá-lo a combatê-la. Suspeite de emails não solicitados, mensagens de chat e chamadas telefônicas que solicitam informações privadas. Nunca revele informações financeiras ou informações pessoais importantes por e-mail. Não faça o download de anexos de e-mail potencialmente perigosos e os execute, mesmo que um e-mail afirme que eles são importantes.
Você também não deve seguir os links em um e-mail para websites sensíveis. Por exemplo, não clique em um link em um e-mail que parece ser do seu banco e faça login. Ele pode levar você a um site de phishing falso, disfarçado para ser o site do seu banco, mas com um URL sutilmente diferente. Visite o site diretamente.
Se você receber uma solicitação suspeita, por exemplo, uma ligação do seu banco solicita informações pessoais, entre em contato diretamente com a fonte da solicitação e solicite a confirmação. Neste exemplo, você ligaria para seu banco e perguntaria o que eles querem, em vez de divulgar as informações para alguém que afirma ser seu banco.
Programas de e-mail, navegadores da Web e pacotes de segurança geralmente têm filtros de phishing que avisam quando você visita um site de phishing conhecido.Tudo o que eles podem fazer é avisá-lo quando você visitar um site de phishing conhecido ou receber um e-mail de phishing conhecido, e ele não sabe sobre todos os sites de phishing ou e-mails que estão por aí. Para a maior parte, cabe a você se proteger - os programas de segurança só podem ajudar um pouco.
É uma boa ideia exercitar uma suspeita saudável ao lidar com solicitações de dados privados e qualquer outra coisa que possa ser um ataque de engenharia social. A suspeita e a cautela ajudarão a protegê-lo, tanto on-line quanto off-line.
