Κοινωνική μηχανική

Κοινωνική μηχανική (social engineering) είναι η πράξη της προφορικής χειραγώγησης ατόμων με σκοπό την απόσπαση πληροφοριών. Αν και είναι παρόμοια με το τέχνασμα ή την απλή απάτη, ο όρος είναι κυρίως συνδεδεμένος με την εξαπάτηση ατόμων με σκοπό την απόσπαση εμπιστευτικών πληροφοριών που είναι απαραίτητες για την πρόσβαση σε κάποιο υπολογιστικό σύστημα. Συνήθως αυτός που την εφαρμόζει δεν έρχεται ποτέ πρόσωπο με πρόσωπο με το άτομο που εξαπατά ή παραπλανά. Παρόλο που ο όρος ίσως να μην είναι ακριβής ή επιτυχημένος έχει πλέον καθιερωθεί^[1].

Ιστορικά[Επεξεργασία | επεξεργασία κώδικα]

Ο πρώην εγκληματίας υπολογιστών και αργότερα σύμβουλος ασφαλείας πληροφορικών συστημάτων Κέβιν Μίτνικ διέδωσε τον όρο «κοινωνική μηχανική», επισημαίνοντας ότι είναι πολύ ευκολότερο να ξεγελάσεις κάποιον να δώσει έναν κωδικό πρόσβασης για ένα σύστημα από το να προσπαθήσεις να τον σπάσεις^[2].

Πώς λειτουργεί[Επεξεργασία | επεξεργασία κώδικα]

Στηρίζεται κυρίως στην ανθρώπινη περιέργεια ή την απληστία (βλέπε δόλωμα παρακάτω) και στην άγνοια. Πολλοί θεωρούν ότι ένα καλό αντιϊκό τους προστατεύει αλλά αυτά δρουν μόνο για τους ευρέως γνωστούς ιούς και για τις ευρέως γνωστές τεχνικές και όχι για έναν ειδικά κατασκευασμένο "ιό". Πολλοί, επίσης, είτε λόγω ευπιστίας είτε λόγω ευγένειας δεν αρνούνται να δώσουν στοιχεία σε κάποιον που τους το ζητάει ευγενικά ή κάτω από δήθεν "πίεση".

Ο άμεσος στόχος δεν είναι πάντα η αποκάλυψη του κωδικού. Για κάποιον που θέλει να διεισδύσει σε ένα υπολογιστικό σύστημα πολλές φορές είναι αρκετή ακόμα και η απλή γνώση του αριθμού έκδοσης του λειτουργικού συστήματος ή άλλων προγραμμάτων που χρησιμοποιεί ο χρήστης. Με αυτές τις πληροφορίες μπορεί να μάθει αν υπάρχουν "τρύπες" στα προγράμματα και να τις αξιοποιήσει.

Άλλες πληροφορίες που μπορεί να συλλέξει κάποιος, και που πιθανά να είναι χρήσιμες, όπως οι ημερομηνίες γέννησης, τα ονόματα των παιδιών, τα ονόματα υπευθύνων για τη μηχανογράφηση κ.α. συλλέγονται είτε μέσω συνομιλίας είτε από τα λεγόμενα κοινωνικά δίκτυα είτε από τις ιστοσελίδες της εταιρείας. Οι πληροφορίες αυτές χρησιμοποιούνται αργότερα σε συνομιλία, είτε τηλεφωνική είτε μέσω ηλεκτρονικού ταχυδρομείου είτε σε άμεσα μηνύματα (IM), για να πεισθεί ο συνομιλητής-θύμα ότι πρόκειται περί γνωστού και έτσι να του αποσπαστούν ακόμη περισσότερες πληροφορίες ή, ακόμα καλύτερα, κάποιος κωδικός πρόσβασης.

Κλασικές τεχνικές[Επεξεργασία | επεξεργασία κώδικα]

Το δόλωμα[Επεξεργασία | επεξεργασία κώδικα]

Ένας πραγματικός Δούρειος Ίππος. Ο επιτιθέμενος αφήνει ένα CD ή ένα φλασάκι ή κάποιο χαρτάκι με διευθύνσεις στο Διαδίκτυο και κωδικούς εισόδου σε κάποιο σημείο που "δήθεν" κάποιος ξέχασε. Το υποψήφιο θύμα πιθανά θα χρησιμοποιήσει αυτό το μέσο στον υπολογιστή του ή θα μπει στη διεύθυνση που βρήκε.

Το ηλεκτρονικό "ψάρεμα" ή Phishing[Επεξεργασία | επεξεργασία κώδικα]

Μία μέθοδος που εφαρμόζεται αρκετά τα τελευταία χρόνια. Η λέξη αποτελεί παραφθορά της λέξης fishing (ψάρεμα) και του phreaking, το οποίο ήταν η αρχική μορφή του hacking, γνωστό ως phreaking τηλεφώνου, εξού και ο λόγος που οι χάκερς αντικατέστησαν το "f" με το "pH". Ο επίδοξος εισβολέας στέλνει ένα μήνυμα ηλεκτρονικού ταχυδρομείου όπου εμφανίζεται ως κάποια νόμιμη εταιρεία (τράπεζα, μεταφορική κλπ) ή κάποιο φυσικό πρόσωπο και ζητάει από το υποψήφιο θύμα να στείλει προσωπικά ή άλλα στοιχεία σε συγκεκριμένη διεύθυνση e-mail ή σε κάποιον πλαστό ιστότοπο. Συχνά έχει στήσει μία ιστοσελίδα στο Διαδίκτυο που μοιάζει εμφανισιακά με τη σελίδα κάποιας άλλης εταιρείας και εκεί καλείται ο χρήστης να δώσει κάποια στοιχεία.

Παραπομπές[Επεξεργασία | επεξεργασία κώδικα]

↑ ΧΑΚΕΡ ΕΠΙΘΕΣΗ ΚΑΙ ΑΜΥΝΑ, Γκιούρδας, 2η Έκδοση (2001),ISBN 960-512-259-6, στη σελ. 555
↑ Mitnick, K: "CSEPS Course Workbook" (2004), p. 4, Mitnick Security Publishing.