Wystąpienie poświęcone było najciekawszym ukierunkowanym atakom socjotechnicznym... a także tym mniej spektakularnym, ale równie skutecznym atakom phishingowym, wycelowanym w szeregowych internautów. Oprócz przybliżenia problemu, celem prezentacji jest także próba znalezienia odpowiedzi na pytanie jak w poszczególnych przypadkach można było pokrzyżować plany cyberprzestępców i ustalenia podstawowych zasad, których przedstrzeganie pozwoli internautom na zmniejszenie powodzenia kolejnych tego typu działań.

1. Socjotechnika w Internecie
- metody ataku i obrony
Małgorzata Wasiak
2016.04.06

2.  Testy penetracyjne aplikacji webowych/mobilnych
 Audyty bezpieczeństwa
 Testy socjotechniczne
 Szkolenia
 Konsultacje
 Informatyka śledcza
LogicalTrust

3. Socjotechnika w IT
 Próby dotarcia do poufnych informacji lub pozyskania
środków finansowych za pomocą technik
manipulacyjnych.
 Różne środki komunikacji – telefon, poczta
elektroniczna, portale społecznościowe.
 Wykorzystanie pozornie nieistotnych informacji,
których pozyskiwanie nie wzbudza podejrzeń u „ofiary”.

4. Socjotechnika w IT
„Mimo, że nie podalibyśmy nikomu kodu PIN naszej
karty kredytowej, czy powiedzielibyśmy, jaki typ
serwera wykorzystywany jest w naszej firmie?
Czy ktoś mógłby użyć tej informacji, by podać się za
pracownika, który posiada dostęp do sieci
komputerowej firmy?”
Kevin Mitnick, „Sztuka podstępu”

5. Socjotechnika w IT
– od 2003...
 2003: ok. 90% pracowników
(w tym: 75% bezpośrednio)
ujawniło swoje hasło w ankiecie
 "I am the CEO, I will not give you my
password - it could compromise my
company's information"
http://www.theregister.co.uk/2003/04/18/office_workers_give_away_passwords/

6. Socjotechnika w IT
...do 2015...
 Balabit: ankieta wśród blisko 500 ekspertów
bezpieczeństwa IT
 Najpopularniejsze i najszybsze metody
cyberprzestępców na dotarcie do wrażliwych danych
firmy:
 #1: Inżyniera społeczna (np. phishing)
 #2: Przejęte konta (np. słabe hasło)

7. Socjotechnika w IT
...i 2016.
 yt: Czy podasz mi swój PESEL? Szokująca sonda!
https://youtu.be/Advj0Zlo5nQ

8. Socjotechnika w IT
- nasze doświadczenie
 Quiz: Czy potrafisz rozpoznać cyberprzestępcę?
(quiz.securityinside.pl)
 Ponad 6 tysięcy uczestników.
 Co drugi (!) sprawdzany popełnił błąd.

9. Socjotechnika w IT
- nasze doświadczenie
testy:
 Nakłady: fałszywa domena (12 PLN) + mały rekonesans
w mediach społecznościowych
 Efekt: 30% skuteczności... w ciągu pierwszych
kilkunastu minut!

10. Socjotechnika w IT
wokół nas – najczęstsze metody (1/3)
 Fałszywe wiadomości e-mail: niebezpieczne pliki pod
postacią faktury, ponaglenia sądowego lub
potwierdzenia nadania paczki

11. Socjotechnika w IT
wokół nas – najczęstsze metody (2/3)
 Fałszywe strony:
wymagające podania
wrażliwych danych lub
nakłaniające do
uruchomienia kosztownej
usługi
(uwaga: Program 500+)

12. Socjotechnika w IT
wokół nas – najczęstsze metody (3/3)
Media społecznościowe:
 metoda „na wnuczka”
 „sensacyjne” (nawiązujące do ostatnich wydarzeń)
nagłówki

13.  Scoular – 2014 r. - 17 mln
 „Kontroler w śledztwie tłumaczył się, że sprawa nie
wydała mu się podejrzana, ponieważ firma planowała
inwestycje w Chinach, pracował nad corocznym
audytem z KPMG a domena kpmg-office.com
wyglądała wiarygodnie. Do tego rzekomy prawnik z
KPMG odebrał telefon gdy kontroler zadzwonił na
podany mu numer.” ~z3s.pl
Socjotechnika w IT
… nie omija nikogo
https://zaufanatrzeciastrona.pl/post/jak-dostac-przelew-na-17-milionow-dolarow-wystarczy-ladnie-poprosic/
http://www.omaha.com/money/impostors-bilk-omaha-s-scoular-co-out-of-million/article_25af3da5-d475-5f9d-92db-52493258d23d.html

14. Socjotechnika w IT
… nie omija nikogo
 Amazon – 2013 r... oraz 2016 r.
https://medium.com/@espringe/amazon-s-customer-service-backdoor-be375b3428c4#.lwiy7jxh7

15. Socjotechnika w IT
… nie omija nikogo
http://motherboard.vice.com/read/teen-who-hacked-cia-email-is-back-to-prank-us-spy-chief
http://www.wired.com/2015/10/hacker-who-broke-into-cia-director-john-brennan-email-tells-how-he-did-it/
http://www.wired.com/2015/11/cia-email-hackers-return-with-major-law-enforcement-breach/

16.  Detale mają znaczenie
 2 FA (Two Factor Authentication)
 Każde ponaglenie, wywieranie presji = podejrzane
 Edukacja – np. securityinside.pl
 Strony, które ostrzegają przed zagrożeniami –
zaufanatrzeciastrona.pl, sekurak.pl, niebezpiecznik.pl,
fb.com/sipolska
Socjotechnika IT
- jak walczyć?

17. Dziękuję za uwagę :-)
Małgorzata Wasiak
m.wasiak@logicaltrust.net