倫理的ハッキング-ソーシャルエンジニアリング

いくつかの例を通して、ソーシャルエンジニアリング攻撃の概念を理解してみましょう。

例1

古い会社の文書がゴミ箱にゴミとして捨てられていることに気づいたに違いありません。これらの文書には、名前、電話番号、口座番号、社会保障番号、住所などの機密情報が含まれている可能性があります。多くの企業は依然としてファックス機でカーボンペーパーを使用しており、ロールが終了すると、そのカーボンはゴミ箱に入り、痕跡がある可能性があります機密データの。ありそうもないように聞こえますが、攻撃者はゴミを盗むことで会社のごみ箱から簡単に情報を取得できます。

例2

攻撃者は会社の担当者と友達になり、一定期間にわたって彼と良好な関係を築く可能性があります。この関係は、ソーシャルネットワーク、チャットルームを介してオンラインで確立することも、コーヒーテーブル、遊び場、またはその他の手段を介してオフラインで確立することもできます。攻撃者はオフィスの担当者を自信を持って取り、最終的に手がかりを与えることなく必要な機密情報を掘り出します。

例3

ソーシャルエンジニアは、身分証明書を偽造するか、単に会社での自分の立場を従業員に納得させることによって、従業員、有効なユーザー、またはVIPのふりをすることができます。このような攻撃者は、制限された領域に物理的にアクセスできるため、攻撃の機会がさらに増えます。

例4

ほとんどの場合、攻撃者があなたの周りにいて、それができる可能性があります。 shoulder surfing ユーザーIDとパスワード、アカウントPINなどの機密情報を入力している間。

フィッシング攻撃

フィッシング攻撃はコンピュータベースのソーシャルエンジニアリングであり、攻撃者は正当に見える電子メールを作成します。このような電子メールは、元のサイトから受信したものと同じルックアンドフィールを持っていますが、偽のWebサイトへのリンクが含まれている可能性があります。あなたが十分に賢くない場合は、ユーザーIDとパスワードを入力してログインしようとすると失敗し、その時までに攻撃者はあなたのIDとパスワードを持って元のアカウントを攻撃します。

クイックフィックス

• 組織に適切なセキュリティポリシーを適用し、必要なトレーニングを実施して、すべての従業員にソーシャルエンジニアリング攻撃の可能性とその結果を認識させる必要があります。

• ドキュメントのシュレッダーは、会社で必須のアクティビティである必要があります。

• 電子メールで受信するリンクが本物のソースからのものであり、正しいWebサイトを指していることを再確認してください。そうしないと、フィッシングの被害者になる可能性があります。

• プロフェッショナルであり、いかなる場合でもIDとパスワードを他人と共有しないでください。