socjotechnika

Socjotechnika (inżynieria społeczna) to wprowadzanie człowieka w błąd tak, by sam ujawnił wrażliwe informacje, dał dostęp albo pomógł w oszustwie, zwykle po zdobyciu jego zaufania ^[1]. W najprostszym ujęciu NIST to próba nakłonienia kogoś do ujawnienia informacji, na przykład hasła, którą da się potem wykorzystać do ataku na systemy lub sieci ^[1]. CISA opisuje ją jako użycie interakcji z człowiekiem, czyli umiejętności społecznych, do zdobycia lub naruszenia informacji ^[2]. Atak omija zabezpieczenia techniczne: nie łamie ich, tylko skłania uprawnioną osobę, żeby je otworzyła. Szersze definicje NIST obejmują także uzyskanie nieuprawnionego dostępu i popełnienie oszustwa przez zdobycie zaufania ofiary ^[1].

Jak działa

Socjotechnika wykorzystuje przewidywalne reakcje: zaufanie do instytucji, pośpiech, strach, chęć pomocy albo zysku. CERT Polska zauważa, że wiadomości oszustów zawierają zwykle pilne wezwanie do działania, na przykład w sprawie nieautoryzowanej transakcji, wygranej albo problemu z paczką ^[5]. Presja czasu ma skrócić namysł, zanim ofiara sprawdzi nadawcę innym kanałem. CISA wymienia typowe sygnały ostrzegawcze: adres nadawcy łudząco podobny do prawdziwego, ogólne powitanie i podpis, linki, których rzeczywisty cel różni się od wyświetlanego tekstu, błędy językowe i niespójne formatowanie oraz nieoczekiwane załączniki połączone z presją czasu ^[2]. Żaden z tych sygnałów nie jest jednak pewny, bo staranny atakujący może ich uniknąć.

Typowy atak przebiega w kilku etapach. Najpierw sprawca zbiera informacje o celu, często z otwartych źródeł, czyli przez OSINT. Potem buduje pretekst, nawiązuje kontakt, wywołuje emocję i prosi o jedno konkretne działanie. Schemat poniżej pokazuje ten przebieg.

RYS. 1Przebieg ataku socjotechnicznego

Odmiany

Phishing to według CISA jedna z form socjotechniki, prowadzona przez e-mail albo złośliwe strony ^[2]. MITRE ATT&CK nazywa wszystkie formy phishingu socjotechniką dostarczaną drogą elektroniczną ^[3]. Poza pocztą istnieje wiele wariantów.

Osobną grupę tworzą oszustwa o utrwalonych nazwach, takie jak oszustwo na wnuczka czy oszustwo na policjanta / na pracownika banku. CERT Polska opisał w przeglądzie kampanii z 2024 roku oszustwo wymierzone w rodziców: sprawcy pisali SMS-y jako rzekome dziecko z zepsutym telefonem, część ofiar przenosili do rozmowy na WhatsAppie i wyłudzali pieniądze na nowy aparat ^[4]. Inna kampania z tego roku podszywała się pod policję: wiadomość zawierała poważne oskarżenia, a przestępcy proponowali „polubowne” załatwienie sprawy za opłatą ^[4].

W WordPressie

Na stronach WordPress socjotechnika celuje zwykle w osoby z uprawnieniami administratora. Dokumentacja WordPressa przypomina, że atakujący, który zdobędzie dostęp do konta administratora, może zainstalować złośliwe skrypty ^[7]. Tym samym podanie hasła na fałszywej stronie daje ten sam efekt co włamanie przez lukę w kodzie.

Dobrym przykładem jest kampania z grudnia 2023 roku, opisana przez Patchstack. Wiadomości podpisane jako zespół WordPress ostrzegały przed rzekomą podatnością zdalnego wykonania kodu o zmyślonym numerze CVE-2023-45124 i zalecały instalację „łatki” w formie wtyczki ^[6]. Po instalacji wtyczka zakładała ukryte konto administratora i plik z tylną furtką ^[6]. Pretekst był dobrany do odbiorcy: administrator strony chętnie łata podatność, o której się dowiaduje. W ten sposób powstaje fałszywa wtyczka i nieautoryzowane konto administratora.

Podobne preteksty to wiadomości „od hostingu” o blokadzie konta, „od rejestratora” o wygasającej domenie albo prośby o dodanie współpracownika z rolą administratora. Tu pomagają role i uprawnienia użytkowników i zasada najmniejszych uprawnień: konto o niższych uprawnieniach ogranicza skutki pomyłki.

Zagrożenia i skutki

Według MITRE phishing, jako socjotechnika elektroniczna, służy do uzyskania dostępu do systemów ofiary ^[3]. Skutki zależą od tego, o co sprawca poprosił:

• przejęcie konta po wyłudzeniu hasła lub kodu;
• przelew na konto oszusta, w tym w schemacie BEC;
• instalacja złośliwego oprogramowania na komputerze lub stronie;
• kradzież tożsamości na podstawie przekazanych danych osobowych.

Skala zjawiska jest duża. W 2024 roku oszustwa komputerowe stanowiły 95% incydentów obsłużonych przez CERT Polska ^[8]. Raport odnotowuje też, że ówczesny kierownik CERT Polska, omawiając dane za 2023 rok, wskazał na wciąż dominujący trend oszustw opartych na socjotechnice ^[8].

Jak się bronić

Podstawą jest weryfikacja prośby innym, znanym kanałem. CISA zaleca, by nie korzystać z danych kontaktowych podanych w podejrzanej wiadomości lub na powiązanej stronie, tylko z tych znanych wcześniej, na przykład z wcześniejszych dokumentów ^[2]. CERT Polska przypomina, żeby nigdy nie przekazywać haseł, PIN-ów ani danych kart przez SMS, e-mail lub telefon ^[5]. Podejrzany SMS można przesłać na numer 8080, a inne zdarzenia zgłosić przez incydent.cert.pl ^[5].

Środki techniczne ograniczają skutki. CISA wymienia oprogramowanie antywirusowe, filtry poczty i uwierzytelnianie wieloskładnikowe ^[2]. MITRE dodaje szkolenia użytkowników w rozpoznawaniu technik socjotechnicznych ^[3], czyli szkolenia z cyberbezpieczeństwa i testy phishingowe. W zespole zarządzającym stroną warto ustalić prostą zasadę: żadna prośba o hasło, instalację wtyczki czy nowe konto nie jest wykonywana bez potwierdzenia u zleceniodawcy.