Como engenheiros sociais procuram informação para Hacks

Uma vez que os engenheiros sociais têm um objetivo em mente, eles normalmente começam o ataque através da recolha de informação pública sobre a sua vítima (s). Muitos engenheiros sociais adquirir informações lentamente ao longo do tempo para que eles não levantar suspeitas. recolha de informação óbvia é um tip-off ao defender contra a engenharia social.

Independentemente do método de pesquisa inicial, todos um hacker pode precisar de penetrar uma organização é uma lista de funcionários, alguns números-chave de telefone interno, as últimas notícias de um site de mídia social, ou um calendário da empresa.

Use a internet

Poucos minutos pesquisando no Google ou outros motores de busca, usando palavras-chave simples, como o nome da empresa ou os nomes dos empregados específicos, muitas vezes produz uma grande quantidade de informações. Você pode encontrar ainda mais informações em arquivamentos da SEC em e em locais como Hoover e Yahoo Finance. Ao utilizar essas informações motor de busca e navegar o site da empresa, o atacante muitas vezes tem informações suficientes para iniciar um ataque de engenharia social.

Os maus pode pagar apenas alguns dólares para uma verificação de antecedentes on-line abrangente sobre os indivíduos. Estas pesquisas podem transformar-se praticamente todo o público - e, por vezes privada - informação sobre uma pessoa em minutos.

mergulhadores do contentor

O mergulho no lixo é um pouco mais arriscado - e é certamente confuso. Mas, é um método altamente eficaz de obtenção de informação. Este método envolve, literalmente, vasculhar latas de lixo para obter informações sobre uma empresa.

O mergulho no lixo pode transformar-se as informações mais confidenciais, pois muitos funcionários assumem que a sua informação está segura depois ele vai para o lixo. A maioria das pessoas não pensam sobre o valor potencial do papel eles jogam fora. Estes documentos contêm muitas vezes uma grande quantidade de informação que pode derrubar fora o engenheiro social com a informação necessária para penetrar na organização. O engenheiro social astuto procura os seguintes documentos impressos:

• listas telefônicas internas

• organogramas

• trabalhadores manuais, que contêm frequentemente as políticas de segurança

• diagramas de rede

• listas de senhas

• Notas da reunião

• Planilhas e relatórios

• As impressões de e-mails que contêm informações confidenciais

Destruição de documentos só é eficaz se o papel é cross-desfiado em pequenos pedaços de confetes. trituradores de baixo custo que destruir documentos apenas em longas tiras são basicamente inútil contra um engenheiro social determinada. Com um pouco de tempo e de fita, um engenheiro social pode remendar um documento de volta juntos se é isso que ele está determinado a fazer.

Os bandidos também olhar no lixo para CD-ROMs e DVDs, computador casos antigos (especialmente aqueles com discos rígidos ainda intactas), e fitas de backup.

sistemas de telefonia

Os atacantes podem obter informações usando o recurso de discagem por nome, construída para a maioria dos sistemas de correio de voz. Para acessar este recurso, você geralmente apenas pressionar 0 depois de chamar o número principal da empresa ou depois de introduzir o correio de voz de alguém. Esse truque funciona melhor depois de horas para assegurar ninguém responde.

Os atacantes podem proteger suas identidades, se eles podem esconder onde eles chamam de. Aqui estão algumas maneiras que eles podem esconder suas localizações:

• telefones residenciais por vezes, pode esconder os seus números de identificação de chamada discando * 67 antes do número de telefone.

  Este recurso não é eficaz ao chamar números de ligação gratuita (800, 888, 877, 866) ou 911.

• Os telefones de negóciosem um escritório através de um interruptor de telefone são mais difíceis de falsificar. No entanto, todos o atacante normalmente precisa é o guia de usuário e senha de administrador para o software do switch telefone. Em muitos switches, o atacante pode inserir o número de origem - incluindo um número falsificados, tais como número de telefone de casa da vítima. Voice over Internet Protocol (VoIP) sistemas de telefonia estão tornando este um não-problema, no entanto.

• Servidores de VoIP tais como o código-fonte aberto Asterisco pode ser usado e configurado para enviar qualquer número que eles querem.

Phish e-mails

A última moda hackers criminal é phishing - criminosos que enviam falsos e-mails para as vítimas potenciais em uma tentativa de levá-los a divulgar informações confidenciais ou clique em links maliciosos. Phishing tem realmente sido em torno de anos, mas recentemente ganhou maior visibilidade dada algumas façanhas de alto perfil contra organizações aparentemente impenetráveis.

a eficácia de Phishing é incrível, e as consequências são muitas vezes feio. Alguns bem colocados e-mails são todos que leva para os criminosos recolher senhas, roubar informações confidenciais, ou injetar malwares em computadores de destino.

Você pode executar o seu próprio exercício phishing. Um método rudimentar é a criação de uma conta de e-mail falso solicitando informações ou links para um site malicioso, enviar e-mails aos empregados ou outros usuários que você deseja testar e ver o que acontece. É realmente tão simples quanto isso.

Você ficaria surpreso com o quão sensíveis os usuários realmente são para este truque. A maioria dos testes de phishing tem uma taxa de sucesso de 10-15 por cento. Ela pode ser tão elevada como 80 por cento. Essas taxas não são bons para a segurança ou para o negócio!

Um meio mais formais para a execução de seus testes de phishing é usar uma ferramenta feita especificamente para o trabalho. Mesmo se você tem uma boa experiência com fornecedores comerciais, é preciso pensar muito em desistir informações potencialmente confidenciais que poderiam ser direta ou inadvertidamente enviados offsite, para nunca mais ser controlado novamente.

Se você ir por este caminho, certifique-se de compreender plenamente o que está sendo divulgada a estes terceiros phishing fornecedores, tal como faria com qualquer provedor de serviço de nuvem. Confie mas verifique.

Uma alternativa de fonte aberta para ferramentas de phishing comerciais é a Simples Phishing Toolkit, também conhecido como spt. Criação de um ambiente de projeto SPT não é necessariamente simples, mas depois de tê-lo no lugar, ele pode fazer coisas incríveis para as suas iniciativas de phishing.

Você vai ter pré-instalado modelos de e-mail, a capacidade de raspar (Página de cópia de) vivem sites para que você possa personalizar a sua própria campanha, e vários recursos de relatórios para que você possa rastrear quais e-mail para os usuários a tomar a isca e não seus testes.

Os engenheiros sociais pode encontrar interessantes bits de informações, às vezes, como quando suas vítimas estão fora da cidade, apenas por ouvir mensagens de voz. Eles podem até mesmo estudar as vozes das vítimas por ouvir as suas mensagens de voz, podcasts ou webcasts para que eles possam aprender a passar por essas pessoas.