Κοινωνική μηχανική: πώς «κλέβουν» πληροφορίες χωρίς τεχνολογία

Όταν ακούτε για κλοπή πληροφοριών, πιθανότατα φαντάζεστε κάποιον μπροστά σε μια οθόνη να «σπάει» κωδικούς. Στην πραγματικότητα, πολλές από τις πιο επιτυχημένες διαρροές δεν χρειάζονται καθόλου τεχνική γνώση. Χρειάζονται ένα πειστικό τηλεφώνημα, μια σίγουρη στάση στη ρεσεψιόν ή ένα email που φαίνεται να έρχεται από τον διευθυντή. Αυτό ονομάζεται κοινωνική μηχανική: η χειραγώγηση ανθρώπων ώστε να δώσουν πληροφορίες ή πρόσβαση που δεν θα έπρεπε.

Η κοινωνική μηχανική αφορά επιχειρήσεις κάθε μεγέθους, αλλά και ιδιώτες. Το καλό νέο είναι ότι η προστασία βασίζεται κυρίως σε απλές συνήθειες και σαφείς διαδικασίες, όχι σε ακριβό εξοπλισμό.

Γιατί λειτουργεί

Η κοινωνική μηχανική εκμεταλλεύεται χαρακτηριστικά που κατά τα άλλα είναι αρετές:

• Την ευγένεια. Δύσκολα κλείνουμε την πόρτα σε κάποιον που κουβαλά κούτες ή αρνούμαστε βοήθεια σε έναν «συνάδελφο» που ακούγεται αγχωμένος.
• Τον σεβασμό στην ιεραρχία. Ένα αίτημα που φαίνεται να έρχεται από τη διοίκηση εκτελείται συχνά χωρίς ερωτήσεις.
• Τη βιασύνη. «Πρέπει να γίνει σε δέκα λεπτά, αλλιώς χάνουμε τη συμφωνία.» Η πίεση χρόνου μπλοκάρει την κρίση.
• Τον φόβο. «Ο λογαριασμός σας παραβιάστηκε, πρέπει να επιβεβαιώσετε άμεσα τα στοιχεία σας.»
• Την ανάγκη να φανούμε χρήσιμοι. Ειδικά σε θέσεις εξυπηρέτησης, όπου η βοήθεια είναι η δουλειά.

Οι συνηθισμένες τεχνικές

Το τηλεφώνημα με πρόσχημα

Κάποιος καλεί παρουσιαζόμενος ως τεχνικός του παρόχου, υπάλληλος της τράπεζας, ελεγκτής, νέος συνεργάτης ή συνάδελφος από άλλο τμήμα. Δεν ζητά αμέσως κάτι ευαίσθητο. Συλλέγει μικρά κομμάτια: ποιος είναι υπεύθυνος για τις πληρωμές, πότε λείπει ο διευθυντής, ποιο λογισμικό χρησιμοποιείτε. Κάθε κομμάτι μόνο του φαίνεται αθώο. Μαζί, συνθέτουν τον χάρτη μιας επίθεσης.

Η φυσική είσοδος

Ένας «κούριερ», ένας «τεχνικός κλιματισμού», ένας «υποψήφιος για συνέντευξη». Κάποιος που ακολουθεί έναν υπάλληλο από την πόρτα ασφαλείας επειδή «ξέχασε την κάρτα του». Μόλις βρεθεί μέσα, μπορεί να δει οθόνες, έγγραφα σε γραφεία, κωδικούς σε αυτοκόλλητα, ή να αφήσει κάτι πίσω του.

Το email από «μέσα»

Ένα μήνυμα που μοιάζει να έρχεται από τον διευθύνοντα σύμβουλο, τον λογιστή ή έναν τακτικό προμηθευτή, με αίτημα για επείγουσα πληρωμή ή αλλαγή τραπεζικού λογαριασμού. Το αναλύουμε στο άρθρο για το CEO fraud και τα ψεύτικα τιμολόγια.

Η συλλογή από δημόσιες πηγές

Πριν από οποιαδήποτε επαφή, ο δράστης μελετά ό,τι είναι δημόσιο: προφίλ υπαλλήλων σε επαγγελματικά δίκτυα, φωτογραφίες από εταιρικές εκδηλώσεις, αγγελίες εργασίας που αποκαλύπτουν συστήματα και διαδικασίες. Με αυτά, το τηλεφώνημά του ακούγεται απόλυτα πειστικό.

Ό,τι πετιέται

Εκτυπώσεις, φάκελοι, σημειώσεις συσκέψεων που καταλήγουν στον κάδο χωρίς καταστροφή. Παλιές συσκευές που πωλούνται ή ανακυκλώνονται χωρίς σωστή διαγραφή.

Οι κοινωνικές συναντήσεις

Μια συζήτηση σε συνέδριο, σε μπαρ ή σε ταξίδι με έναν «συνάδελφο του χώρου» που δείχνει ενδιαφέρον για τη δουλειά σας. Συχνά η πιο πολύτιμη πληροφορία δίνεται χωρίς καν να το καταλάβει κανείς.

Σημάδια ότι κάποιος σας «δουλεύει»

• επείγον αίτημα που παρακάμπτει τη συνηθισμένη διαδικασία
• πίεση να μη ρωτήσετε άλλους ή να το κρατήσετε «μεταξύ μας»
• κολακεία ή υπερβολική οικειότητα από κάποιον που δεν γνωρίζετε καλά
• ερωτήσεις που δεν σχετίζονται με τον δηλωμένο σκοπό της επικοινωνίας
• αρνητική αντίδραση όταν προτείνετε να καλέσετε εσείς πίσω σε γνωστό αριθμό
• αίτημα για κωδικούς, OTP ή απομακρυσμένη πρόσβαση στον υπολογιστή σας

Πώς προστατεύεται μια επιχείρηση

Η άμυνα απέναντι στην κοινωνική μηχανική είναι κυρίως οργανωτική.

1. Επαλήθευση από άλλο κανάλι. Κάθε αίτημα για πληρωμή, αλλαγή λογαριασμού ή πρόσβαση επιβεβαιώνεται με κλήση σε γνωστό αριθμό, όχι σε αυτόν που δόθηκε στο μήνυμα.
2. Σαφείς κανόνες για επισκέπτες. Καταγραφή, συνοδεία, κάρτα επισκέπτη, και κανείς δεν μπαίνει «πίσω από κάποιον».
3. Καθαρό γραφείο και κλειδωμένες οθόνες. Τίποτα ευαίσθητο εκτεθειμένο όταν λείπετε.
4. Καταστροφή εγγράφων και σωστή διαγραφή συσκευών.
5. Εκπαίδευση με παραδείγματα. Οι άνθρωποι θυμούνται σενάρια, όχι κανονισμούς. Μια σύντομη, τακτική ενημέρωση με πραγματικά μοτίβα έχει μεγαλύτερο αποτέλεσμα από ένα μακροσκελές εγχειρίδιο.
6. Κουλτούρα που επιτρέπει το «όχι». Ο υπάλληλος που αρνείται να εκτελέσει ένα αίτημα χωρίς επαλήθευση, ακόμη κι αν φαίνεται να έρχεται από τη διοίκηση, πρέπει να ξέρει ότι θα στηριχθεί.
7. Προσοχή στο δημόσιο αποτύπωμα. Τι αποκαλύπτουν οι αγγελίες, η ιστοσελίδα και τα προφίλ των στελεχών σας.

Περισσότερα στη σελίδα για τα προληπτικά μέτρα.

Μια απλή διαδικασία για τα τηλεφωνήματα

Επειδή το τηλέφωνο παραμένει το κυριότερο εργαλείο της κοινωνικής μηχανικής, αξίζει να υπάρχει μια σύντομη, γραπτή διαδικασία που γνωρίζουν όλοι, ιδίως στη ρεσεψιόν, στο λογιστήριο και στη γραμματεία:

1. Ποτέ δεν δίνονται κωδικοί, OTP ή στοιχεία πρόσβασης στο τηλέφωνο, σε κανέναν, ακόμη και σε «τεχνικό» της εταιρείας.
2. Δεν επιβεβαιώνονται ονόματα, ωράρια ή αρμοδιότητες συναδέλφων σε άγνωστους καλούντες.
3. Όταν κάποιος ζητά κάτι ασυνήθιστο, ο υπάλληλος σημειώνει όνομα, εταιρεία και αριθμό, κλείνει ευγενικά και επαληθεύει από γνωστό κανάλι.
4. Τα περίεργα τηλεφωνήματα αναφέρονται σε ένα συγκεκριμένο πρόσωπο, ακόμη κι αν δεν δόθηκε τίποτα. Ένα μοτίβο από φαινομενικά αθώες κλήσεις είναι συχνά το πρώτο σημάδι μιας οργανωμένης προσπάθειας.
5. Κανείς δεν τιμωρείται επειδή αρνήθηκε να εξυπηρετήσει χωρίς επαλήθευση.

Για παράδειγμα, μια επιχείρηση που λαμβάνει μέσα σε δύο εβδομάδες τρία τηλεφωνήματα από «νέους συνεργάτες» που ρωτούν ποιος εγκρίνει τις πληρωμές, έχει ήδη μια χρήσιμη ένδειξη, αρκεί κάποιος να τα συνδέσει.

Και για τους ιδιώτες

Οι ίδιες τεχνικές χρησιμοποιούνται εναντίον ιδιωτών: τηλεφωνήματα από την «τράπεζα», μηνύματα από «συγγενείς» με νέο αριθμό, «υπάλληλοι» που ζητούν να μπουν στο σπίτι για έλεγχο. Ο κανόνας είναι ο ίδιος: κλείστε και καλέστε εσείς σε αριθμό που γνωρίζετε. Δείτε και τον οδηγό για την υποκλοπή ταυτότητας.

Νόμιμα όρια και στις δύο πλευρές

Αξίζει να ειπωθεί καθαρά: η απόσπαση στοιχείων με ψεύτικη ιδιότητα, η πρόσβαση σε λογαριασμούς τρίτων και η υποκλοπή επικοινωνιών δεν είναι «έξυπνες τεχνικές», αλλά πράξεις που μπορεί να είναι ποινικά κολάσιμες, όπως ορίζει για την παράνομη παρακολούθηση το άρθρο 370Α ΠΚ. Ένα σοβαρό γραφείο ιδιωτικών ερευνών δεν τις χρησιμοποιεί, ούτε για λογαριασμό πελάτη. Η δική μας δουλειά είναι να βοηθάμε να εντοπιστούν και να σταματήσουν, με μεθόδους που στέκουν νομικά.

Όταν η διαρροή έχει ήδη συμβεί

Αν υποψιάζεστε ότι πληροφορίες έχουν ήδη φύγει από την εταιρεία σας, η αντίδραση πρέπει να είναι ψύχραιμη και μεθοδική. Μην ξεκινήσετε εσωτερικές ανακρίσεις και μην κατηγορήσετε υπαλλήλους χωρίς στοιχεία. Μια επαγγελματική έρευνα διαρροής πληροφοριών εξετάζει νόμιμα ποιος είχε πρόσβαση, από ποιο κανάλι μπορεί να έφυγε η πληροφορία και αν υπήρξαν εξωτερικές προσεγγίσεις, πάντα με σεβασμό στα δικαιώματα των εργαζομένων, στον GDPR και στον ν. 4624/2019. Όπου υπάρχει υποψία και για τεχνικά μέσα, ο έλεγχος συνδυάζεται με έλεγχο χώρων για κοριούς.

Επόμενα βήματα

Η κοινωνική μηχανική δεν αντιμετωπίζεται με ένα λογισμικό. Αντιμετωπίζεται με ανθρώπους που ξέρουν τι να προσέχουν και με διαδικασίες που τους στηρίζουν. Το γραφείο του Πέτρου Δρόλια, με πάνω από 30 χρόνια εμπειρίας σε εταιρικές έρευνες, βοηθά επιχειρήσεις να εντοπίσουν από πού διαρρέουν πληροφορίες και να κλείσουν τα κενά.

Η πρώτη συζήτηση είναι εμπιστευτική, δωρεάν και χωρίς δέσμευση, και πριν από κάθε εργασία λαμβάνετε γραπτή, εξατομικευμένη εκτίμηση κόστους. Καλέστε 24 ώρες το 24ωρο στο 210 321 2200 ή στο 699 321 2200, ή γράψτε στο contact@ldi.gr.