социальная инженерия
К сожалению, на обман и фишинговые атаки ведутся не только простодушные люди — оказаться в числе жертв сейчас может буквально кто угодно. Злоумышленники годами оттачивают свои тактики, чтобы обеспечить себе успех, и пользуются сложными психологическими манипуляциями, которые зачастую трудно распознать. Такие манипуляции в мире кибербезопасности даже удостоились отдельного термина — социальная инженерия.
В этой статье рассказываем, какие психологические уловки используют злоумышленники, чтобы обманывать своих жертв, на какие «красные флаги» стоит обратить внимание и, наконец, что делать, если вы обнаружили, что вас пытаются обмануть.
На каких эмоциях играют злоумышленники
Социальная инженерия работает именно потому, что бьет по нашим эмоциям. Когда жертва взволнована, напугана или охвачена азартом, она принимает решения быстро и почти не думает о последствиях. Именно это злоумышленникам и нужно.
Поэтому в тот момент, когда вы разговариваете или переписываетесь с кем-то, остановитесь на секунду и спросите себя: что именно я чувствую прямо сейчас? А какие ощущения у меня были мгновение назад? Не пытается ли мой собеседник как-то воспользоваться моим эмоциональным состоянием?
Чаще всего злоумышленники пытаются надавить на следующие эмоции:
- страх, тревога;
- азарт;
- стыд, вина;
- удивление, шок.
Для начала проверьте, с кем вы общаетесь
Прежде чем начинать думать о возможных «красных флагах», стоит проверить: а с кем вы вообще ведете диалог? Если вы разговариваете, скажем, с «сотрудником банка», лучшим решением будет найти в Интернете официальный номер телефона и почтовый адрес банка, от лица которого с вами общаются. Перезвоните на номер или напишите по адресу, в которых вы точно уверены, — всегда лучше перестраховаться.
Особенно стоит насторожиться, если вам пишут в мессенджере или соцсетях. Крупные компании, как правило, так не поступают.
Какие признаки указывают на мошенничество
Вас качают на эмоциональных качелях
Вам приходит письмо от «службы поддержки» стримингового сервиса, которым вы пользуетесь. В письме сообщают, что кто-то пытался получить доступ к вашему аккаунту из другой страны — вы сразу же запаниковали. Но тут же вас успокаивают: «Не переживайте, мы вовремя заблокировали подозрительный вход, ваш аккаунт в безопасности».
На этом злоумышленники не останавливаются. Следующий абзац снова вгоняет вас в панику: «К сожалению, при проверке мы обнаружили, что ваши платежные данные могли быть скомпрометированы». Наконец, вам дают луч надежды: «Мы готовы помочь вам все исправить прямо сейчас, для этого вам нужно пройти верификацию по ссылке».
По итогу в течение минуты, пока вы читаете это «письмо счастья», вас бросают из стороны в сторону. Цель таких эмоциональных качелей — выбить вас из равновесия, чтобы вы перестали критически осмыслять происходящее и начали просто реагировать. А когда злоумышленник еще и предлагает вам якобы решение проблемы, ваше сознание окончательно затуманивается.
О вас знают подозрительно много
Зачастую злоумышленник специально заваливает жертву информацией о ней же, чтобы создать впечатление, что он действительно знает, о чем говорит, и имеет легитимный доступ к ее конфиденциальным данным.
Даже если ваш собеседник откуда-то знает подробности о ваших персональных данных, финансах и договорах, это еще не значит, что он не мошенник. Благодаря утечкам данных на каждого из нас сейчас можно составить довольно большое цифровое досье — злоумышленнику не составит труда узнать, например, сколько денег вы потратили в прошлом году на доставку продуктов, каким сотовым оператором вы пользуетесь или какая электронная почта привязана к вашему банковскому аккаунту.
Вас запугивают. Возможно, с угрозами и вымогательством
Пожалуй, проще всего вывести из равновесия человека, вселив в него тревогу или страх. Если слишком заманчивые предложения уже не срабатывают, киберпреступники пускают в ход пугалки: «Ваш аккаунт взломали», «Против вас могут возбудить уголовное дело о неуплате налогов, если вы не предоставите сид-фразу от криптокошелька», «Вы потеряете доступ к нашим услугам, если не позвоните нам прямо сейчас», «Вы занесены в реестр лиц, совершивших сексуальное преступление. Для разбирательства напишите нам, иначе мы возбудим уголовное дело и разошлем информацию о вас в СМИ» — и далее по списку.
Иногда подобные сообщения могут казаться сухими и мимикрировать под реальные сообщения от службы поддержки. Но если с вами общаются чересчур эмоционально и вы чувствуете, что на вас давят, то вероятность, что вы общаетесь с мошенником, близится к 99,9%. А если вас еще и просят сделать что-то под угрозой расправы, публичного порицания или уголовного дела — например, перевести деньги на сторонний счет или передать конфиденциальные данные, — то вероятность округляется до 100%.
Подробнее о том, как работают шантажисты, читайте в нашей статье Почтовые вымогатели: как шантажируют злоумышленники.
Вам пишет очень важная персона
Чтобы усилить чувство тревоги, злоумышленники зачастую подписывают письма именами важных лиц. В этот момент стоить сделать вдох и спросить себя: вы уверены, что руководитель налоговой инспекции или глава полиции будут звонить или писать лично вам? Обычно у высокопоставленных чиновников и инспекторов есть дела поважнее. А если вас еще и обвиняют в каких-то несусветных преступлениях за подписью, скажем, главного прокурора города, то это точно повод усомниться в правдивости истории.
Вам делают очень щедрое предложение
Не ведитесь на аттракционы невиданной щедрости и как снег на голову свалившиеся «подарки». Вот лишь небольшой список того, что с вами может произойти:
- К вам приехала нежданная посылка, на упаковке которой указан QR-код. Его предлагают отсканировать — якобы чтобы узнать имя отправителя, получить бесплатный купон от продавца или подтвердить получение посылки и не платить за доставку. Несложно догадаться, что QR-код на самом деле ведет на фишинговый сайт. Дальше у злоумышленников море возможностей: выманить у жертвы данные от карточки, заставить скачать вредоносное приложение или назвать код от приложения банка.
- «Здравствуйте! Я сотрудник сортировочного центра, к вам едет посылка/букет цветов. Можете, пожалуйста, назвать код из SMS, чтобы получить подарок?». Конечно, всем приятно, когда им что-то дарят. В этот момент можно растерять всю свою бдительность и случайно сделать злоумышленникам ответный подарок — скажем, отдать им код для входа в учетную запись сервиса госуслуг.
- Какая удача! Самые разные знаменитости анонсировали бесплатный розыгрыш NFT-картинок, на которых можно сколотить целое состояние. Чтобы получить заветный криптоактив, вы запускаете мини-приложение, вводите свои данные и… оказываетесь без аккаунта Telegram. Да и профили знаменитостей, рекламирующих розыгрыш, оказались какими-то странными…
Вас торопят и пытаются изолировать от внешнего мира
«Не вешайте трубку! Сейчас — последняя возможность восстановить доступ к вашему аккаунту», «Если вы не ответите на письмо в течение восьми часов, мы откроем против вас уголовное дело», «Вам нужно немедленно ехать в банк, чтобы спасти оставшиеся деньги и положить их на безопасный счет». Если хоть одна из обращенных к вам фраз звучит похоже, позвольте себе замедлиться — скорее всего, мошенники запугивают вас и специально внушают вам ощущение ложной срочности.
Это очень распространенная тактика. Представим, что вам звонят мошенники, выдающие себя за сотрудников банка или даже Министерства экономического развития, и сообщают, что ваши банковские аккаунты якобы взломали. Дальше они просят подписать договор о неразглашении — якобы для того, чтобы попробовать вернуть ваши деньги, — и грозят юридическими последствиями, если вы расскажете о происходящем даже самым близким людям. Ведь дело, мол, совершенно «серьезное», оно требует решительных действий, а сотрудничество с государственными органами «проходит конфиденциально».
Помните: представители компаний или государственных ведомств никогда не будут просить вас скрывать что-либо, если вы не хранитель государственной тайны или сотрудник компании, где нужно подписывать специальный договор. Мошенники намеренно ограждают жертв от поддержки и любого голоса разума или мнения со стороны. Причем это изоляция не только от людей, но и от любой внешней информации: вас могут специально удерживать на линии или вести эмоционально заряженную переписку, чтобы у вас даже не было времени выдохнуть и спросить что-то в Интернете.
В состоянии сильной тревоги очень легко повестись на манипуляции и принять необдуманные решения — даже если вам кажется, что вы пытаетесь спасти ситуацию. Не бойтесь обращаться за помощью — никогда не будет лишним получить второе мнение о происходящем.
Вас стыдят
Представим, что вам пришло сообщение о том, что ваш аккаунт взломали — в конце вас просят связаться со службой поддержки. Но «сотрудник службы поддержки», разбираясь в ситуации, параллельно пытается вас застыдить: «Как давно пароль меняли? Давно? Разве вы не видели предупреждения о том, что необходимо срочно изменить учетные данные?», «Ну в SMS же прямым текстом написано: никому не сообщайте код! Зачем вы его кому-то назвали?». Это специальный прием, чтобы вселить в вас чувство вины и создать впечатление, что вы не можете контролировать ситуацию и нуждаетесь в экспертизе или помощи мошенника.
Даже если вы реально совершили ошибку, не корите себя. Попасться на удочку злоумышленников намного проще, чем вы думаете — достаточно одного стрессового дня на работе и звонка в самый неподходящий момент.
Вам внезапно сообщают о том, что вы… общались с мошенниками
Зачастую мошенники пускают в ход многоступенчатые запутанные схемы. К примеру, вначале вас пытаются вынудить сказать код от банковского приложения под предлогом актуализации клиентских данных. Но затем звонок прерывается, или вам вдруг приходит сообщение о том, что с вами только что разговаривали мошенники, ваш аккаунт взломали и в целях безопасности вам нужно незамедлительно обратиться в службу поддержки. Иногда в звонки даже врываются якобы «сотрудники спецслужб» или «государственных органов».
Подвох в том, что «служба безопасности» — это те же самые мошенники, которые будут разводить вас дальше: они начнут уверять вас в том, что все ваши деньги скоро окажутся в руках злоумышленников, если вы не переведете их на «безопасный счет», и что на ваше имя уже успели взять микрозаймы.
Не связывайтесь с незнакомыми номерами и почтовыми адресами из сообщений, даже если вам обещают помочь. Найдите легитимный сайт компании/службы, где указаны их официальные каналы связи, и используйте только их.
Помните: никакие государственные ведомства, а уж тем более частные компании не прослушивают ваш телефон на предмет разговоров с мошенниками. Лучшая защита от телефонных мошенников — это определитель звонков с обширной базой данных, который предупредит вас о подозрительном собеседнике еще до того, как вы возьмете трубку.
Что делать, если вас обманули мошенники
Прежде всего — не вините себя. Любого человека можно застать в уязвимом состоянии и обмануть. Постарайтесь не паниковать и вспомните, какие именно данные вы передали. От этого зависят ваши дальнейшие действия:
- Назвали код из SMS или передали пароль от аккаунта → немедленно смените пароль на этом сервисе и на всех других, где использовали такой же. Включите двухфакторную аутентификацию, если еще не сделали этого.
- Передали данные карты → сразу же звоните в банк и просите заблокировать карту. Если с вашей карты успели снять или перевести деньги, узнайте, как оспорить транзакцию.
- Перешли по подозрительной ссылке или скачали файл от неизвестного отправителя → проверьте устройство с помощью надежного антивируса. Самостоятельно определить, не подхватили ли вы вредонос, фактически невозможно: зачастую зловреды скрываются на устройстве без каких-либо визуальных признаков.
Не прислушивайтесь к советам мошенников
Вот как вы можете защитить свои аккаунты, данные и деньги:
- Не торопитесь. Если вас просят срочно что-то сделать — ввести данные, назвать код, перевести деньги, — скорее всего, с вами разговаривает злоумышленник. Сделайте паузу, перезвоните в компанию по официальному номеру с ее сайта и уточните, действительно ли от вас что-то требуется.
- Делегируйте свои страхи Kaspersky Premium — в отличие от человека, наше защитное решение беспристрастно распознает фишинговые письма и вредоносные файлы там, где человек может растеряться. Оно не пустит вас на подозрительный сайт, заблокирует попытки заразить устройство, обезвредит найденные вредоносы и защитит ваши данные и деньги.
- Включите двухфакторную аутентификацию на важных аккаунтах. В Kaspersky Password Manager можно генерировать одноразовые коды для входа, которые меняются каждые 30 секунд, — злоумышленникам намного сложнее их перехватить, чем коды из писем или SMS.
- Если вы устали каждый раз проверять, кто вам звонит, установите определитель звонков с обширной базой данных. Он сразу же предупредит, если вам звонит мошенник или спамер.
- Придерживайтесь золотого правила: один пароль нельзя использовать дважды. Если вы используете один и тот же пароль в разных сервисах, то, узнав пароль от одного аккаунта, злоумышленник автоматически получает доступ и к другим вашим учеткам. Вариации вроде «Password123» и «Password1234!» тоже не годятся: такие незначительные изменения очень легко подобрать. Конечно, запоминать десятки, а то и сотни разных паролей вручную посильно только сверхчеловеку — и здесь на помощь приходит менеджер паролей, который бережно хранит данные в зашифрованном контейнере и генерирует действительно сложные уникальные пароли за вас.
Еще больше советов по безопасности — в наших материалах:
Советы