Σύμφωνα με έκθεση της εταιρείας Barracuda, το 92% των οργανισμών αντιμετώπισε κατά μέσο όρο έξι παραβιάσεις credentials, που προκλήθηκαν από επιθέσεις social engineering, το 2023.
Η απάτη και το phishing αποτελούσαν τη συντριπτική πλειοψηφία (86%) των επιθέσεων social engineering πέρυσι.
Οι ερευνητές παρατήρησαν κάποιες τάσεις, στον τρόπο με τον οποίο οι εισβολείς στόχευαν τους χρήστες σε αυτές τις επιθέσεις:
Παραβίαση συνομιλίας: Οι επιτιθέμενοι παραβιάζουν επαγγελματικούς λογαριασμούς μέσω επιθέσεων phishing και, στη συνέχεια, παρακολουθούν τον παραβιασμένο λογαριασμό για να κατανοήσουν τις επιχειρηματικές δραστηριότητες και να μάθουν για εταιρικές συμφωνίες, διαδικασίες πληρωμής και άλλες σημαντικές πληροφορίες. Αφού αποκτήσουν αρκετά στοιχεία, στέλνουν πειστικά μηνύματα από domains που μιμούνται νόμιμες εταιρείες/συνεργάτες/πελάτες, για να εξαπατήσουν τα θύματα. Τα θύματα νομίζουν ότι μιλούν με τον πραγματικό πελάτη/συνεργάτη. Έτσι, δίνουν και άλλες χρήσιμες πληροφορίες ή ακόμα χειρότερα στέλνουν χρήματα. Η παραβίαση συνομιλίας αποτελούσε μόνο το 0,5% των επιθέσεων social engineering το 2023, αλλά αυτό αντιπροσωπεύει αύξηση σχεδόν 70% σε σύγκριση με το 2022.
Παραβίαση εταιρικών email (BEC): Σε αυτές τις επιθέσεις, ο χάκερ υποδύεται συνήθως ένα στέλεχος της εταιρείας για να εξαπατήσει τους υπαλλήλους να μεταφέρουν χρήματα, συχνά μέσω δωροκάρτας και τραπεζικών εμβασμάτων. Οι επιθέσεις BEC αποτέλεσαν το 10,6% των επιθέσεων social engineering πέρυσι (8% το 2022).
Εκβιασμός: Σε αυτές τις επιθέσεις, οι χάκερ απειλούν να εκθέσουν ευαίσθητο ή ενοχλητικό περιεχόμενο στις επαφές των θυμάτων, εκτός εάν καταβληθούν λύτρα. Οι επιθέσεις εκβιασμού αποτελούσαν το 2,7% των συνολικών επιθέσεων social engineering το 2023.
Δείτε επίσης: Social engineering καμπάνια βομβαρδίζει επιχειρήσεις με spam emails
Χρήση νόμιμων υπηρεσιών για social engineering επιθέσεις
Η έκθεση της Barracuda τόνισε την εξελισσόμενη χρήση νόμιμων υπηρεσιών για τη στόχευση εργαζομένων στα πλαίσια social engineering επιθέσεων.
Το Gmail ήταν το πιο δημοφιλές email domain για επιθέσεις (22%). Ακολουθούν τα Outlook (2%), Hotmail (1%), iCloud (1%) και Mail.com (1%). Όλα αυτά τα domains αποτελούσαν το 73% των επιθέσεων.
Οι ερευνητές διαπίστωσαν επίσης ότι οι εγκληματίες του κυβερνοχώρου αξιοποιούν όλο και περισσότερο δημοφιλείς εμπορικές υπηρεσίες URL shortening για να ενσωματώσουν κακόβουλους συνδέσμους σε μηνύματα ηλεκτρονικού ψαρέματος. Αυτή η τακτική μπορεί να βοηθήσει στην απόκρυψη της πραγματικής φύσης και του προορισμού του συνδέσμου, καθώς συχνά φαίνεται ότι προέρχονται από νόμιμους ιστότοπους.
Δείτε επίσης: 4 τρόποι με τους οποίους οι χάκερς παρακάμπτουν το MFA μέσω social engineering
Μια άλλη αξιοσημείωτη τάση που επισημάνθηκε στην έκθεση ήταν η σημαντική αύξηση των phishing επιθέσεων με QR code στα τέλη του 2023. Σε αυτές τις επιθέσεις, οι εγκληματίες του κυβερνοχώρου ενσωματώνουν QR codes σε μηνύματα ηλεκτρονικού ψαρέματος, προτρέποντας τους χρήστες να τους σαρώσουν και να επισκεφτούν μια ψεύτικη σελίδα που φαίνεται να είναι μια αξιόπιστη υπηρεσία ή εφαρμογή.
Πρόληψη του Social engineering
Οι Social engineers χειραγωγούν τα ανθρώπινα συναισθήματα, όπως την περιέργεια ή τον φόβο, για να επιτύχουν τον σκοπό τους. Επομένως, να είστε επιφυλακτικοί κάθε φορά που λαμβάνετε κάποιο email, μήνυμα η ειδοποίηση η οποία σας φαίνεται λίγο περίεργη.
Δείτε επίσης: Ransomware, social engineering & AI: Οι μεγαλύτερες απειλές για το 2024
Ακολουθήστε τις παρακάτω συμβουλές για να αποτρέψετε social engineering hacks:
- Μην ανοίγετε emails και συνημμένα από ύποπτες πηγές
Εάν δεν γνωρίζετε τον αποστολέα, δεν χρειάζεται να απαντάτε σε ένα email. Αν γνωρίζετε τον αποστολέα, αλλά σας φαίνεται κάτι περίεργο, επιβεβαιώστε την επικοινωνία με άλλες μεθόδους, όπως μέσω τηλεφώνου. Θυμηθείτε ότι όλες οι διευθύνσεις ηλεκτρονικού ταχυδρομείου παραβιάζονται συνεχώς. Ακόμη και ένα email που φέρεται να προέρχεται από μια αξιόπιστη πηγή μπορεί να προέρχεται από έναν hacker.
- Χρησιμοποιήστε τον έλεγχο ταυτότητας πολλών παραγόντων
Η χρήση του ελέγχου ταυτότητας πολλών παραγόντων συμβάλλει στην προστασία του λογαριασμού σας σε περίπτωση κλοπής credentials.
- Να είστε προσεκτικοί με τις δελεαστικές προσφορές
Αν μια προσφορά ακούγεται πολύ δελεαστική, σκεφτείτε δύο φορές πριν πατήσετε το κλικ. Στις social engineering επιθέσεις, χρησιμοποιούνται συχνά τέτοιες τακτικές για να δελεαστούν οι χρήστες.
- Διατηρήστε ενημερωμένη τη συσκευή και τις εφαρμογές σας
Φροντίστε να εφαρμόζετε τις πιο πρόσφατες ενημερώσεις, για να διορθώνετε κενά ασφαλείας που μπορούν να εκμεταλλευτούν οι κυβερνοεγκληματίες.
- Διατηρήστε ενημερωμένο το λογισμικό προστασίας από ιούς / anti-malware
Βεβαιωθείτε ότι έχετε ενεργοποιήσει τις αυτόματες ενημερώσεις. Ελέγχετε περιοδικά για να βεβαιωθείτε ότι έχουν εφαρμοστεί οι ενημερώσεις και σαρώστε το σύστημά σας για πιθανές μολύνσεις.
Πηγή: www.infosecurity-magazine.com
