Octombrie a fost declarată, în Uniunea Europeană, luna securităţii cibernetice. S-a concentrat, anul acesta, asupra unui tip de ameninţare tot mai prezent în viața noastră de zi cu zi, inclusiv în România – ingineria socială. Apelul specialiștilor este răspicat: rămânând informați nu doar o lună pe an, ci în permanență și punând în practică măsuri simple de prevedere, putem evita să cădem în eventualele capcane ale acestei practici.
Pretextarea, momirea, cererea de răscumpărare, phishing-ul, vishing-ul, uzurparea identității… Grupate, toate aceste tehnici poartă acest nume de inginerie socială. Se prevalează de ea răufăcători individuali sau în grup care, exploatând vulnerabilitățile psihologice ale posibilelor victime, încearcă să obțină acces la informații sensibile, să fure date sau bani. Cu alte cuvinte, atacatorii nu se bazează atât pe cunoștințe tehnice, cât pe psihologie și comportament uman… pe arta manipulării.
Răufăcătorul pretinde, adesea, că este o persoană sau o sursă de încredere și recurge la mijloace de convingere sau la diverse șiretlicuri pentru a obține parole, detalii financiare ori acces la sisteme și rețele. Dacă manipularea funcționează, atacatorul își încurajează victima fie să ofere informații personale sau sensibile, fie să viziteze un site web fals ori să instaleze un program malware ce i-ar putea afecta dispozitivul sau chiar ar putea prelua controlul asupra acestuia.
Una din metodele prin care ne pot fi furate date sensibile este e-mailul personal. Dar atacatorii preferă din ce în ce mai mult rețelele sociale, după cum a explicat la Radio România, Mihai Rotariu, manager de comunicare al Directoratului Național de Securitate Cibernetică: ʺDin păcate, atacatorii folosesc pregnant atacuri cu inginerie socială în ultima perioadă, în special în ultimul an. S-a migrat către reţelele sociale, către social media, asta pentru că, pentru ei, este o reducere semnificativă de costuri. Nu mai trebuie neapărat să menţină un site de phishing sus pe care să-l găzduiască, să-l plătească, să plătească specialişti pentru a-l susţine online, ci pur şi simplu pot să compromită anumite conturi de social media, de exemplu, ale anumitor utilizatori, să se folosească de acele coduri de încredere ale acelor conturi, de paginile pe care le gestionează acele conturi, pentru a lansa mai departe postări, de regulă sponsorizate, către anumite capcane, către anumite tentative de fraudă.ʺ
În cazul phishing-ului, atacatorii trimit e-mailuri, mesaje sau linkuri înșelătoare către site-uri care par legitime, cu scopul de a convinge destinatarii să facă click și să dezvăluie parole, numere de cărți de credit sau date cu caracter personal. Vishing-ul este o formă de phishing care are loc prin comunicații vocale, de obicei prin apeluri telefonice. Prin ransomware, răufăcătorii amenință să dezvăluie informații sensibile sau să perturbe sistemele, dacă victima nu plătește o răscumpărare. ș.a.m.d.
Dar ce-i interesează cel mai mult pe atacatori? Desigur, banii. Însă nu numai! Din nou, Mihai Rotariu: ʺEi vor încerca, dacă au acces la dispozitivele noastre sau la conturile noastre, să extragă de obicei bani direct din cont. Dar, dacă nu pot acest lucru, încearcă să extragă cât mai multe date – date personale, date cu caracter financiar, date sensibile, date de autentificare. Toate aceste date au o valoare pe piaţa neagră şi ele pot fi vândute mai departe. Atacatorii pot face chiar schimb între ei de astfel de date, tocmai pentru a viza cât mai mulţi utilizatori cu aceste capcane din mediul online. În momentul în care un atacator a avut un atac cu succes împotriva unui utilizator, să ştiţi că acel utilizator va fi pe lista atacatorilor fie de buni platnici, fie de utilizatori care nu sunt atenţi şi îşi furnizează lesne datele mai departe, tocmai pentru a deveni în continuare o ţintă pentru alţi atacatori.ʺ
Când vrem să trecem strada, ne asigurăm: ne uităm în stânga, ne uităm în dreapta, la culoarea semaforului… Cu alte cuvinte, avem în sânge o rutină comportamentală aplicabilă întotdeauna în astfel de situații. Ideal ar fi ca și în mediul online să dobândim o rutină, o igienă de securitate cibernetică – este de părere managerul de comunicare al Directoratului Naţional de Securitate Cibernetică, Mihai Rotariu: ʺTrebuie să fim vigilenţi, trebuie să avem răbdare atunci când activăm în mediul online şi să gândim logic, să fim obişnuiţi să procesăm şi să acţionăm într-o viteză decentă de această dată, pentru că ştim că suntem obişnuiţi ca în mediul online să procesăm informaţia mult mai rapid decât am face-o în viaţa reală. Deci, să facem verificările necesare înainte de a face nişte acţiuni care ar putea duce la compromiterea datelor sau a echipamentelor noastre.ʺ
Mai precis, dacă ceva pare ciudat sau prea bun pentru a fi adevărat, să ne gândim că poate fi o înșelătorie. Apoi, trebuie să evităm să facem click pe linkuri sau să deschidem e-mailuri din surse necunoscute. Nu trebuie niciodată împărtășite date sensibile, cum ar fi parole, numere de cărți de credit sau date cu caracter personal în mesaje sau e-mailuri, indiferent cine le solicită. Trebuie verificată identitatea persoanei sau entității care dorește informații, dar și stabilite parole puternice. În fine, dacă avem ghinionul să cădem victima răufăcătorilor cibernetici, să înștiințăm autoritățile locale competente, să schimbăm parolele, să activăm autentificarea multifactorială, să scanăm dispozitivele pentru programe nocive de tip malware și să ne alertăm prietenii sau colegii.
