Mi az a szociális mérnökség?

A negyedik pont megmagyarázza, miért tűnnek valódinak az ilyen hívások. A történethez szükséges adatokat nyilvános forrásokból szerzik: a cég weboldaláról, a munkatársak közösségi oldalairól és az álláshirdetésekből. Egy szervezetről akár egy este alatt is összeállítható egy dosszié.

Klasszikus forgatókönyv, amikor valaki egy hozzáférését elvesztett munkatársnak adva ki magát felhívja az ügyfélszolgálatot. A kitartás és néhány belső részlet ismerete gyakran meggyőzőbbnek bizonyul bármilyen ellenőrzési eljárásnál.

Minden védelmi intézkedés abból indul ki, hogy a jogosult felhasználó be tud lépni. A szociális mérnökség pontosan ezt az utat használja ki: nem feltöri a zárat, hanem elkéri a kulcsot attól, akinél van.

Ezért van az, hogy a technikai intézkedések szigorítása alig segít, sőt néha még ront is a helyzeten. Minél bonyolultabbak az eljárások, annál gyakrabban keresnek a munkatársak kerülőutakat, és éppen ezek a kerülőutak válnak belépési ponttá.

Az utolsó pont fontosabb a technikai intézkedéseknél. Ha egy munkatárs fél attól, hogy megbüntetik egy hibáért, hallgatni fog, és a szervezet csak hetekkel később értesülhet a támadásról. Az incidensek bejelentésének kultúrája jobban véd, mint az utasítások.

Azt is érdemes észben tartani, hogy nem mindig a jelszó a célpont. Gyakran csak egy apróságot kérnek: erősítsd meg egy kolléga beosztását, mondd meg egy belső mellék számát, vagy továbbíts egy fájlt. Ezekből az apróságokból áll össze a következő, már meggyőző történet.