Socialni inženiring (angleško tudi "social engineering") je med prevaranti najpogosteje uporabljena tehnika v primerih zlorabe osebnih podatkov. Gre za tehniko, s katero napadalec od žrtve pridobi zaupne podatke in informacije s pomočjo zlorabe zaupanja. Tako v svetovnem spletu kot tudi v drugih pisnih virih obstaja več definicij, ki razlagajo ta pojem. Kljub velikem številu definicij pa je vsem skupen en imenovalec, ki ga lahko izpostavimo. To je manipulacija, ki je v večini primerov psihološko pogojena, saj napadalec uporablja različne psihološke tehnike kot so prigovarjanje, vzbujanje zaupanja, uporaba vpliva in podobno, ter z uporabo socialnih veščin ter zlorabo zaupanja pridobi od žrtve zaupne informacije, do katerih sicer ni pooblaščen. Kljub temu, da je socialni inženiring tesno povezan z napadi na informacijske sisteme pa ne smemo pozabiti, da je temeljni cilj te tehnike pridobitev podatka ali informacije, ki se ne pojavlja nujno samo v digitalni obliki, temveč se pojavlja tudi kot pisano besedilo, slika, ustni podatek ali informacija. Pridobljene informacije lahko napadalec uporabi za pridobivanje premoženjske koristi, redkeje pa se lahko zgodi, da jih uporabi tudi v druge namene kot so izsiljevanje, grožnje, šikaniranje ali kakršnokoli drugo spravljanje žrtve v slabši in nelagoden položaj.
Delitev napadov socialnega inženiringa Pri socialnem inženiringu lahko rečemo, da gre za umetnost prevare. Njegova »odlika« je, da se pojavlja v različnih oblikah in vedno uporablja dosežke človeške družbe, spoznanja o človekovih socialnih in psiholoških značilnostih, prav tako pa znajo napadalci, ki jim z drugo besedo rečemo tudi socialni inženirji, izkoristiti dosežke informacijske tehnologije, ki napreduje vsak dan. Še posebej so osredotočeni na dostopnost do osebnih računalnikov in interneta. Napade prav zaradi tega lahko razdelimo v dve skupini.
Napadi s pomočjo računalniške tehnologije Angleško tem napadom rečemo tudi "computer based" napadi. Za napade, ki so izpeljani s pomočjo računalniške tehnologije je značilno, da komunikacija med napadalcem in žrtvijo poteka preko računalniške opreme ter omrežja internet. Tudi napadi, ki temeljijo na računalniški tehnologiji se spreminjajo iz dneva dan, saj se pojavljajo nove oblike. Najpogosteje uporabljene oblike so ribarjenje (phishing), zvabljanje (pharming), pojavna okna (pop-up windows) in trojanski konji (Trojan horses). Zavedati se moramo tudi, da ne gre za klasične hekerske napade, ampak za t.i. hibridne napade, saj se napadalci poslužujejo tako socialnega inženiringa kot tudi klasičnih tradicionalnih hekerskih metod.
Napadi s pomočjo človeške interakcije Angleški termin za tovrstne napade socialnega inženiringa je "human based" napadi. Za te napade je značilno, da izkoriščajo temeljni družbeno-kulturni ustroj ter osnovne vedenjske značilnosti človeka. Vse to je seveda storjeno z nekim namenom oziroma ciljem, ki si ga je zadal napadalec. Za ljudi, ki se ukvarjajo s socialnim inženiringom je značilno, da so zelo dobri poznavalci psihologije, človeške interakcije, obenem pa so dobri igralci vlog, retoriki, spretno se znajdejo v nepredvidljivih situacijah, so vztrajni, predvsem pa imajo sposobnost pridobiti zaupanje žrtve. Napadi, ki so izpeljani s pomočjo medsebojnih odnosov so bolj prikriti in jih je težje prepoznati. Problem pa se pojavi, ko se zavemo, da edini požarni zid, ki lahko najbolj ščiti podjetje ali posameznika prav človek sam.
Ko računalniška tehnologija še ni bila dovolj razvita, so ljudje, ki jih danes imenujemo hekerji pridobivali informacije, do katerih niso bili upravičeni prav s pristopom, ki temelji na človeški interakciji. Šele kasneje, ko se je omenjena tehnologija razvila in se pojavi dostopnost do osebnih računalnikov in interneta, so hekerji začeli s pridobivanjem informacij preko računalniške tehnologije. Tako so v svoje delovanje vključili tudi poznavanje širše informacijske tehnologije. V primerih, ko so napadi izpeljani preko interneta ali kakorkoli drugače preko računalniške tehnologije, so nam v pomoč obrambni sistemi, ki temeljijo na strojni in programski opremi, npr. požarni zidovi, anti-virusni programi in drugi mehanizmi.
Motivi za socialni inženiring Za vsakim človekovim dejanjem stoji nek motiv. Tudi pri socialnem inženiringu se v ozadju skriva težnja, ki se lahko pri napadalcih tudi razlikuje, se pravi, da je motivov oziroma teženj več. Zavedati se moramo, da napadalci, ki se odločijo napasti podjetje lahko prihajajo iz samega podjetja, čemur rečemo napad od znotraj. Poznamo pa tudi napade od zunaj, npr. iz konkurenčne organizacije. Med dejavniki, ki motivirajo socialnega inženirja so med najpogostejšimi finančni motivi, maščevanje (npr. s strani odpuščenega delavca), zunanji pritisk (gre za izsiljevanje in ustrahovanje), politični motivi, kamor lahko uvrstimo tudi oblike terorizma, kriminalni motivi, industrijsko vohunjenje ter samodokazovanje (predvsem med mladimi hekerji).
Življenjski cikel socialnega inženiringa sličica|437x437_pik|Shema življenjskega ciklusa socialnega inženiringa Vsak napad, izpeljan s pomočjo socialnega inženiringa poteka po določenem vrstnem redu oziroma lahko rečemo, da je sestavljen iz štirih faz, ki so med seboj povezane in soodvisne. Te faze so zbiranje informacij, vzpostavitev odnosa, izkoriščanje odnosa in izvršitev zastavljenega cilja.
Zbiranje informacij Gre za prvi in verjetno tudi najpomembnejši korak v celotnem ciklu. Za to fazo je značilno, da jo lahko razdelimo na dva dela, ki smo jih omenili že prej in sicer na zbiranje informacij s pomočjo računalniške tehnologije in zbiranje informacij s človeško interakcijo. Na področju računalniške tehnologije se informacije lahko zbirajo predvsem na internetu, npr. na spletnih straneh podjetij, vedno več informacij pa napadalci pridobijo s pomočjo uporabe socialnih omrežij. Načini brez uporabe tehnologije pa so opazovanje, gledanje čez ramo (shoulder surfing), igranje vlog, brskanje po smeteh (dumpster diving) in podobno. Napadalec pridobljene podatke, ki so vezani na ljudi, prav tako pa tudi na stvari uporabi za vzpostavitev in razvoj odnosa z žrtvijo, ki predstavlja drugi korak v ciklusu.
Vzpostavitev odnosa Napadalec na tej stopnji vzpostavi in obenem razvija odnos z žrtvijo. V tej fazi napadalec izkoristi prej pridobljene podatke in v dani situaciji odigra vlogo, katere prepričljivost je odvisna od kakovosti in količine pridobljenih podatkov ter igralskih sposobnosti napadalca. Ljudje smo po naravi nagnjeni k temu, da nekatere podatke zaupamo osebi, za katero menimo, da je vredna našega zaupanja in da le tega ne bo izrabila. Cilj te faze je prepričati žrtev, da lahko napadalcu zaupa in zato z njim deli tudi tiste bolj zaupne podatke, ki jih sicer morda nebi.
Izkoriščanje odnosa Po sami vzpostavitvi odnosa in pridobitvi zaupanja žrtve, sledi faza v kateri napadalec izkorišča ta odnos in žrtvino zaupanje. V primeru, da je bil napadalec v prejšnji fazi prepričljiv in je žrtev prepričal v to, da je vreden zaupanja, mu bo žrtev velikokrat izdala podatke, ki si jih socialni inženir želi, brez da bi se tega sploh zavedala.
Izvršitev zastavljenega cilja Ta faza je zadnja v ciklusu, v kateri napadalec izkoristi pridobljene podatke za dosego zastavljenega cilja. Že same informacije lahko pomenijo uresničitev cilja, lahko pa napadalec informacije uporabi kot pomoč pri vdiranju s pomočjo tehnologije. Poudariti je treba, da življenjski ciklus s tem še ni končan. Napadalec lahko v prihodnje še vedno zbira informacije, lahko pa svoje delovanje razširi na celoten informacijski sitem, pridobiva informacije pri drugi žrtvi ali pa zgolj pridobi informacije, ki mu pomagajo pri izvedbi drugega napada.
Za socialne inženirje z manj izkušnjami in manj znanja se napad na tej točki konča. Za tiste bolj profesionalne in izurjene napadalce pa zatem obstaja še dodatna faza in sicer faza, v kateri brišejo sledi, ki bi lahko dale žrtvi vedeti, da je bilo njegovo zaupanje zlorabljeno.
Tehnike socialnega inženiringa
Zbiranje informacij s pomočjo interneta
Spletni iskalniki Socialni inženiring velikokrat poteka po principu izrabe že obstoječih informacij o posamezniku za pridobitev še več in bolj ključnih podatkov. Glede na to, da se skoraj o vsakem izmed nas na internetu pojavljajo določeni podatki, socialni inženir lahko zlahka pridobi podatke o naši preteklosti (o naših hobijih, obiskovanih šolah, profesionalnemu življenju in ostalih aktivnosti). Nemalokrat se zgodi celo, da so na internetu objavljeni določeni osebni podatki (v obliki seznamov, tabel,…) pomotoma, saj za velikimi strežniki in računalniškimi ekrani seveda sedijo ljudje, uredniki spletnih strani, ki lahko objavijo na internetu nekaj, česar pravzaprav niso nameravali. Druga možnost zlorabe je vzpostavitev t.i. lažnih spletnih strani; gre predvsem za stani, ki zahtevajo registracijo oziroma prijavo. Natančneje gre za ponarejene spletne strani, za katere mislimo, da so prave. Od nas zahtevajo, da vpišemo geslo in uporabniško ime ter morda še druge potrebne podatke, ko pa jih vpišemo, se pojavi obvestilo, da je prišlo do napake in da moramo podatke ponovno vpisati. Takrat se nam prikaže originalna stran. Vse to poteka s pomočjo DNS strežnika, ki usmerja internetne domene na IP naslov. Uporabniki se niti ne zavedamo, da nam napadalci na ta način nezakonito kradejo osebne podatke.
Socialna družabna omrežja Socialna omrežja imajo iz leta v leto vse več aktivnih uporabnikov. Tovrstna omrežja so vse bolj razširjena, temeljijo pa na ustvarjanju lastnega profila in s tem posledično tudi objavljanjem naših osebnih podatkov. Zaradi svoje razširjenosti in vse več ljudi, ki uporabljajo spletna socialna omrežja, so le ta postala prava zakladnica podatkov za napadalce.
Ribarjenje (phising) Izraz ribarjenje podatkov (phishing) izvira iz angleških besed za geslo (password) in ribarjenje (fishing). Gre za nezakonit način zavajanja uporabnikov, pri katerem poskuša prevarant s pomočjo lažnih spletnih strani in elektronskih sporočil od uporabnikov na takšen ali drugačen način izvabiti njihove osebne podatke, kot so številke kreditnih kartic, uporabniška imena in gesla, digitalna potrdila in ostale osebne podatke.
Pharming napadi Napadi pharming (gre za skovanko med angleškima besedama farming in pharmacy, navezuje pa se na tehniko genetskega inženiringa,v svetu interneta bi lahko govorili o inženiringu naslovov spletnih mest), so za uporabnika zelo nevarni, saj jih je težko prepoznati. Glavna razlika med phishing-om in pharming-om je v tem, da gre pri pharmingu bolj za tehnični napad kot za tehniko socialnega inženiringa, na katerem temelji ribarjenje podatkov. Praviloma gre bodisi za neposreden napad na DNS strežnike, bodisi za napad na določeno datoteko, ki se nahaja na računalniku uporabnika (gre za t.i. datoteko o gostiteljih oz. host file, kjer se nahajajo podatki o URLjih in domenah). Uporabnik je v teh primerih prepričan, da se nahaja na pravi strani, saj je vtipkal pravi URL naslov strani, v resnici pa ga je eden od omenjenih načinov napada preusmeril na lažne strani, ne da bi se pri tem spremenil URL naslov v oknu brskalnika. Uporabnik je seveda v tem lažnem zaupanju dovolj samozavesten, da vnaša svoje osebne podatke v obrazce, ki se nahajajo na takšnih straneh.
Trojanski konj, virusi in črvi