Élet-Stílus

Social Engineering – itthon is terjedő számítógépes csalások

admin
admin

2006. 05. 03. 16:41

Hazánkban is terjed a felhasználók megtévesztésre épülő számítógépes visszaélések módszere.

Egy pesti gimnázium nemrégiben e-mailt kapott, melyben a küldő arra kérte az iskolát, hogy „nézzen rá számítógépes rendszerére” és készítsen „egy sima rendszergazdai hozzáférést”, amelyhez konkrét jelszót is meghatározott. A csaló aláírásként az informatikai biztonság szakértőjeként jól ismert Fóti Marcell nevét adta meg álcaként, és hivatkozott NetAcademia Oktatóközpontra is, amelynek a szakember vezető oktatója és ügyvezetője is – így akár még hihetőbb is lehetett volna az álca.

A gimnázium vezetése szerencsére sejtette, hogy valami nem stimmel, ezért fel is vette a kapcsolatot a NetAcademiával, ahol fény derült az igazságra: az oktatóközpont soha nem kér – nem is kérhet – sem telefonon, sem e-mailben jelszót egy tőle független szervezettől.

A fenti eset jól példázza, hogy Magyarországon is terjedőben van az ún. social engineering módszere. A támadás ebben az esetben is a kutatással kezdődik: a hackerek beszereznek minden olyan információt, ami a cégről elérhető (éves jelentés, marketinganyagok, újságcikkek stb.), majd feltérképezik a szervezet felépítését, az alá-fölérendeltségi viszonyokat, a jogosultságokat, nemritkán az alkalmazottak ülésrendjét, baráti kapcsolatait is.

Bejutás, azonosulás, csalás

Mivel az esetek többségében a hacker a vállalat dolgozójának, vagy partnerének adja ki magát – alkalmazottnak, menedzsernek, vagy éppen az adott területen jól ismert szakembernek -, a kutatás során el kell sajátítania az adott cégre jellemző szakmai zsargont, meg kell ismernie a belső rendszereket és átvennie minden olyan, a cégkultúrához tartozó elemet, amivel hitelesebbé tudja tenni magát.

A kutatási szakasz után következik maga a valós támadás, mely során a csaló egy ügyes csellel, vagy jól kitalált ürüggyel elnyeri a célszemély bizalmát és támogatását. A social engineering „úttörőjeként” ismert, 5 éves börtönbüntetéséből 2003-ban szabadult Kevin Mitnick is ezekkel a módszerekkel jutott be többek közt a Motorola és a Nokia számítógépes rendszereibe.

Kötelező gyanakvás

Arra, hogy valaki egy néhány percig tartó telefonhívással megszerezze a vállalati információkhoz hozzáférő alkalmazott belépési kódjait, már hazánkban is volt példa. A védekezés leghatékonyabb módja a gyanakvás és a jelszókezelésre vonatkozó házirend követése. Ha például egy általunk nem ismert „munkatárs” kér minket telefonon jelszavunk megváltoztatására, foglaltságunkra hivatkozva és visszahívást ígérve kérjük el vállalati telefonszámát. Így marad idő arra, hogy a vállalati telefonkönyvben ellenőrizzük személyét, és utánajárjunk a megadott információknak.

Az ilyen típusú átverések legeredményesebben a vállalatoknál, szervezeteknél bevezetett – az adatbiztonság kérdéseit részletesen szabályozó – biztonsági házirend segítségével szűrhetők ki, mely az iménti szituációkra vonatkozóan is pontosan leírja a jelszavakra vonatkozó szigorú szabályokat. A házirendeket azonban nem csak elkészíteni, de rendszeresen oktatni is kell ahhoz, hogy valóban sikeres legyen a küzdelem a számítógépes bűnözők ellen.

vissza a címlapra

Legfrissebb videó mutasd mind

Hmejmími légitámaszpont, 2017. december 11.
Vlagyimir Putyin orosz elnök (k) pilótákkal fényképezkedik a szíriai Hmejmímnél működő orosz légitámaszponton 2017. december 11-én. Putyin a bázison tett villámlátogatásán elrendelte az orosz csapatok Szíriából történő visszavonásának megkezdését. (MTI/AP/Szputnyik/Kreml pool/Mihail Klimentyev)
Nézd meg a legfrissebb cikkeinket a címlapon!
24-logo

Engedélyezi, hogy a 24.hu értesítéseket
küldjön Önnek a kiemelt hírekről?
Az értesítések bármikor kikapcsolhatók
a böngésző beállításaiban.