Kỹ nghệ xã hội là gì

Điểm thứ tư giải thích vì sao những cuộc gọi này có vẻ chân thật. Các chi tiết cho câu chuyện dựng lên được lấy từ những nguồn công khai: trang web công ty, mạng xã hội của nhân viên và tin tuyển dụng. Chỉ trong một buổi tối, bạn có thể lập hồ sơ về một tổ chức.

Một kịch bản kinh điển là cuộc gọi đến bộ phận hỗ trợ từ người tự nhận là nhân viên bị mất quyền truy cập. Sự dai dẳng và việc biết một vài chi tiết nội bộ thường có vẻ thuyết phục hơn bất kỳ quy trình xác minh nào.

Mọi biện pháp bảo mật đều giả định rằng người dùng hợp lệ có thể đăng nhập. Kỹ nghệ xã hội khai thác chính con đường này: nó không phá khóa mà lấy chiếc chìa khóa từ người đang giữ nó.

Đó chính là điểm khó: tăng cường các biện pháp kỹ thuật hầu như không giúp được gì, thậm chí đôi khi còn khiến tình hình tệ hơn. Quy trình càng phức tạp, nhân viên càng thường tìm cách lách luật, và chính những lối đi đó trở thành điểm xâm nhập.

Điểm cuối cùng quan trọng hơn các biện pháp kỹ thuật. Nếu nhân viên sợ bị phạt vì mắc lỗi, họ sẽ im lặng, và tổ chức có thể phải nhiều tuần sau mới biết về cuộc tấn công. Văn hóa báo cáo sự cố bảo vệ tốt hơn những bản hướng dẫn.

Bạn cũng nên nhớ rằng mục tiêu không phải lúc nào cũng là mật khẩu. Nhiều khi kẻ tấn công chỉ yêu cầu một việc nhỏ: xác nhận chức vụ của đồng nghiệp, cho biết số máy lẻ nội bộ hoặc chuyển tiếp một tệp. Những chi tiết nhỏ đó có thể được dùng để dựng nên câu chuyện tiếp theo, vốn đã đủ thuyết phục.