社交|为什么社交工程仍是黑客的“拿手好戏”？黑客|银行|网络犯罪|网络安全

文章图片

文章图片

文章图片

关于社交工程的相关事件，是在近期发生数据泄露的万豪酒店：
一名威胁行为者使用社交工程诱骗了万豪酒店的一名员工，通过该员工的计算机访问权限，进入到万豪酒店内部系统，窃取了20GB数据，涉及顾客、万豪员工的信用卡和私密信息。
什么是社交工程？
社交工程，即通过欺骗或诱导受害者犯错，获取重要的私人信息、系统访问权、重要数据和虚拟财产等。攻击者可以利用获取到的社会工程信息（如手机号、姓名、工作单位、地址等）进行二次攻击，或者直接出售给他人以获利。

查阅相关资料了解到，不法分子往往利用社交工程进行诈骗。即，黑客使用社交工程闯入某系统网络时，会试着获得已认证用户的信任并引导用户泄露危害网络安全的信息。因此，社交工程通常依赖于人们乐于助人的特性、及其他弱点（好奇心、贪婪、恐惧等）。例如，他们可能打电话给系统信任的用户说有一些紧急问题，需要即刻的网络访问。
呼吁虚荣、呼吁权威、呼吁贪婪、老式的窃听就是另一类典型的社交工程技术了。以电信诈骗为例，诈骗者通过暗网上的数据泄露或从社交媒体资料中获取到尽可能多的个人详细的信息，以提高信任度。然后，他们通过电话联系受害者，并假装是政府机构的代表、银行或其他官方组织的雇员，进行诈骗。

通过这种方式，诈骗者可以说服被害者将一定数量的款项转移到另一个账户，并且可以绕过银行的安全流程，因为真实账户持有人将会触发转账。因此，多因素身份验证（MFA）也无法提供任何保护。
而电信诈骗之所以这么猖狂，除了个人信息被犯罪分子获取外，还有就是“社交工程”的另一特点了，就是诈骗者会以高超的社交技巧，操控别人的心理。他们会像进行建筑工程一样，以谎言“建构”出可信的情境，让受害者感到恐慌或紧张而在一时大意下将个人资料和金钱双手奉上。
事实上，社交工程是黑客利用人类心理而不是技术来访问系统、数据或建筑物的技术。例如，采用社交工程的犯罪分子可能不会去查找软件漏洞，而是会打电话给攻击对象并伪装成IT支持人员，试图诱骗他们的密码。一个“经验丰富”、“多才多能”的黑客或诈骗者，可能从IT到心理学无所不会。

人员，被认为是安全链中最薄弱的环节。网络犯罪分子也经常利用这一环节进行社交工程欺诈。因为人们容易出错，并且多次犯同样的错误。人是有自主思维的，不可能像机器那样设定指令，可以说，所有企业都无法阻止员工犯错。
也因此，人员成为了安全链条中最薄弱的一环。即使社交工程欺诈行为已经实施多年，主要以网络钓鱼和语音网络钓鱼的形式，但仍在不断增长。而随着企业的数字化发展，各行业组织成为网络犯罪受害者的可能性也越来越大。

据了解，在2021年上半年，网络犯罪分子通过社交工程欺诈使英国的企业或组织损失了7.539亿英镑，与2020年上半年相比增加了四分之一以上（30%）。其中，越来越多的网络犯罪分子针对银行和其他金融机构实施社交工程欺诈。