Czym jest inżynieria społeczna

Czwarty punkt wyjaśnia, dlaczego takie telefony wydają się prawdziwe. Dane do ułożenia historii pochodzą z publicznych źródeł: strony firmy, mediów społecznościowych pracowników i ogłoszeń o pracę. Dossier organizacji można przygotować w jeden wieczór.

Klasyczny scenariusz to telefon do działu pomocy technicznej od pracownika, który stracił dostęp. Natarczywość i znajomość kilku wewnętrznych szczegółów często okazują się bardziej przekonujące niż jakakolwiek procedura weryfikacji.

Każde zabezpieczenie zakłada, że uprawniony użytkownik może się zalogować. Inżynieria społeczna wykorzystuje właśnie tę drogę: nie wyłamuje zamka, tylko dostaje klucz od osoby, która go ma.

I tu pojawia się problem: wzmacnianie zabezpieczeń technicznych prawie nie pomaga, a czasem nawet szkodzi. Im bardziej skomplikowane są procedury, tym częściej pracownicy szukają sposobów na ich obejście - i właśnie te sposoby stają się punktem wejścia.

Ostatni punkt jest ważniejszy niż środki techniczne. Jeśli pracownik boi się kary za pomyłkę, milczy, a organizacja może dowiedzieć się o ataku dopiero po kilku tygodniach. Kultura zgłaszania incydentów chroni lepiej niż same instrukcje.

Warto też pamiętać, że celem nie zawsze jest hasło. Często prosi się o drobiazg: potwierdzenie stanowiska współpracownika, podanie wewnętrznego numeru albo przesłanie pliku. Z takich drobiazgów powstaje kolejna, już przekonująca historia.