Социальная инженерия в действии: хакерша установила вредоносное устройство в офисе

Социальная инженерия в действии: хакерша установила вредоносное устройство в офисе
Социальная инженерия в действии: хакерша установила вредоносное устройство в офисе
Девушка-хакер проникла в крупное здание в одном из мегаполисов, чтобы похитить конфиденциальные данные, взломав как физическое пространство, так и корпоративную Wi-Fi-сеть.

Но взлом, как оказалось, не понадобился — двери и лифты были открыты.

Алет Денис, представившись сотрудницей, без пропуска поднялась на лифте до нужного этажа. Дверь в офис была приоткрыта, а сидящий на месте охранник не обратил внимания на её присутствие. Попав в конференц-зал, она установила заранее настроенное вредоносное устройство. Накануне вечером Денис нашла логин и пароль от Wi-Fi-сети в мусорном контейнере здания. Подключив устройство к сети и спрятав его за телевизором в конференц-зале, Денис смогла на протяжении недели выгружать данные компании через их собственную сеть.

В данном случае контроль над устройством был в руках команды безопасности, которую наняли владельцы здания для проверки охраны и кибербезопасности. Хакер Алет Денис — старший консультант по безопасности компании Bishop Fox. Её основная специализация — оценка физической безопасности. Но Алет больше известна как победитель конкурса по социальному инжинирингу на DEF CON, что принесло ей место в Зале славы Black Badge.

Денис занимается тестированием на проникновение и часто применяет методы социальной инженерии. В практике Денис много атак, осуществляемых через телефон или электронную почту, но больше всего ей нравится «личный» контакт. Это помогает ей создавать убедительные образы и придумывать сложные предлоги для обмана. Денис часто изображает бывших или действующих сотрудников, а также представителей компаний-поставщиков, чтобы обманным путем получить доступ к корпоративным сетям.

В одном из заданий команде Денис нужно было попасть в здание поставщика ПО. Специалисты представились подрядчиками, которые должны были оценить работу системы видеонаблюдения. Была создана поддельная компания, номера телефонов и рабочие заказы. Всё шло по плану, пока на ресепшене не оказался менеджер по безопасности, который сразу заподозрил неладное и вызвал коллегу — эксперта по безопасности, написавшего книгу по скрытому наблюдению. В результате обман был разоблачён, и команда Денис была вынуждена покинуть здание.

Несмотря на современные технологии, такие как искусственный интеллект и дипфейки, наиболее эффективными способами социальной инженерии остаются разговоры с людьми — по телефону, в электронных письмах или при личной встрече. Денис отмечает, что методы злоумышленников отличаются от тех, которые часто рассматриваются на тренингах по безопасности. Новые инструменты, связанные с ИИ, не всегда окупаются, и некоторые преступники возвращаются к традиционным методам, например, голосовому фишингу (вишинг).

Главная цель киберпреступника — создать эмоциональную реакцию у жертвы. Атакующие часто отправляют электронные письма, которые описывают политику компании. На самом деле такие письма содержат вредоносные файлы. По словам Денис, ключевой задачей социальной инженерии является использование эмоционального отклика человека для получения доступа к его учётным данным.

В работе красных команд (групп тестирования безопасности) используются те же методы, что и у хакеров, для обхода систем обнаружения и предотвращения фишинга. Распространены также телефонные звонки для поддержания легенды. Например, после отправки письма с вредоносным файлом хакеры могут позвонить жертве и убедить её открыть письмо, якобы забытое или не отправленное ранее. Чтобы не стать жертвой таких атак, Денис рекомендует задавать вопросы, чтобы поставить мошенника в тупик и прекратить попытки взлома.


Распечатать
27 июня 2025 Суд обязал мэра Лабытнанги устранить антисанитарные условия в «новых» домах для переселенцев
27 июня 2025 Турецкий стелс-беспилотник Anka-3 получил повреждения во время испытательного полета
27 июня 2025 Лечение зубов в Челябинске обошлось пациентке в 2,5 миллиона рублей
27 июня 2025 Иран принимает решение о быстром укреплении своих ВВС путем закупки китайских истребителей
27 июня 2025 Пенсионер в Приморье убил друга топором из ревности к своей жене
27 июня 2025 В Екатеринбурге анархиста избили и увезли в лес, после чего он пропал без вести
27 июня 2025 Венгрия и Словакия требуют пересмотра плана по отказу от российского газа к 2027 году
27 июня 2025 Водитель BMW не захотел снизить скорость перед "лежачим полицейским" и столкнулся с машиной на встречной полосе
27 июня 2025 Совет архитекторов России наградил Рамзана Кадырова высшей наградой
27 июня 2025 Посол США Линн Трейси попрощалась с Россией, процитировав стихи Пушкина
27 июня 2025 ФСБ раскрыла коррупционную схему в сфере благоустройства в Колпинском районе Санкт-Петербурга
27 июня 2025 Тегеран сохранил запасы урана, несмотря на удар США по Фордо, — сообщает Financial Times
27 июня 2025 Сын бывшего министра с криминальным прошлым Бориса Иванюженко ведет бизнес на Западе, несмотря на санкции
27 июня 2025 Биографию Умара Кремлёва на Википедии могли изменить за вознаграждение
27 июня 2025 Российская туристка пострадала от укуса ядовитой змеи во время экскурсии в Армении
27 июня 2025 ФНС и Росфинмониторинг присоединились к спору между "21 веком" и "Битривером"
27 июня 2025 Россия усиливает давление на Молдову в медиапространстве перед саммитом с Европейским союзом
27 июня 2025 Криштиану Роналду подписал новый контракт с «Аль-Насром» и стал самым высокооплачиваемым футболистом в мире
27 июня 2025 "Свадьба века" Джеффа Безоса в Венеции вызвала протесты среди местных жителей
27 июня 2025 Опоздание Макрона на саммит Евросоюза вызвало вопросы у журналистов