Человек
Что такое социальная инженерия
Короткий ответ
Социальная инженерия — это получение доступа, данных или денег через человека, а не через технику. Атака состоит из четырёх шагов: сбор информации, установление доверия, создание повода для срочности и просьба о конкретном действии. Технически защититься от неё нельзя — можно научиться узнавать структуру и останавливаться на третьем шаге.
Почему это важно
Пароль сложно подобрать, но легко попросить. Поэтому в большинстве инцидентов нет взлома: есть сотрудник, который выполнил правдоподобную просьбу. Понимание механики важно и дома, и на работе: те же четыре шага работают в разговоре с пожилым родителем и в переписке с бухгалтерией.
Реальный сценарий
Как это выглядит изнутри
Звонит «новый сотрудник подрядчика»: он знает имя вашего руководителя, название проекта и внутренний термин. Просит подтвердить доступ к папке — «иначе сорвём срок». Знание деталей и есть результат первого шага: их собрали из открытых источников и прошлых утечек.
Признаки
- Собеседник знает детали, но не может подтвердить свою роль.
- Просьба обойти обычную процедуру ради скорости.
- Ссылка на авторитет: руководитель, служба безопасности, проверяющий.
- Просьба сохранить разговор в тайне.
- Контакт приходит по каналу, которым обычно не пользуются.
Что делать
- Подтвердите личность по независимому каналу — сами найдите контакт.
- Соблюдайте процедуру именно тогда, когда вас торопят.
- Не расширяйте доступ «на время».
- Сообщайте о подозрительном обращении, даже если ничего не произошло.
- Разбирайте такие случаи в команде: это лучшее обучение.
Мнение эксперта
Компании годами покупают технические средства защиты и почти не тренируют людей. При этом самые дорогие инциденты, которые попадали ко мне в работу, начинались с одного вежливого разговора и одной просьбы, выполненной из желания помочь.
Частые вопросы
Социальная инженерия — это только про IT?
Нет. Тот же принцип работает в телефонном мошенничестве, в переговорах и при бытовых схемах.
Достаточно ли обучить сотрудников один раз?
Однократный инструктаж почти не меняет поведение. Работает регулярная короткая практика с разбором реальных попыток.
Стоит ли наказывать за ошибку?
Наказание делает сотрудников молчаливыми, а инциденты — поздними. Полезнее культура раннего сообщения.