Social engineering: kuidas su andmeid võidakse sult lihtsalt välja meelitada.

 Vaatamata erinevatele turvameetoditele, mida soovimatu juurdepääsu piiramiseks ja andmete varguse vastu tarvitusele võetakse, on endiselt olemas palju viise, mida küberkurjategijad kasutavad rünnakuteks vajaliku info omandamiseks või identiteedivarguse sooritamiseks. Üks tõhusamaid meetodeid selleks on sotsiaalne manipulatsioon (social engineering). Sotsiaalne manipulatsioon andmeturbes tähendab inimestelt info välja meelitamist, põhimõtteliselt pannes ohvri vabatahtlikult ja kogemata turvalisust kahjustavat infot avaldama. Selle peamine tugevus on see, et sellega ei rünnata otseselt mitte süsteemi turvameetmeid, vaid kõige nõrgemat osa ahelas: kasutajat. Sotsiaalne manipulatsiooni tegemiseks on mitmeid viise, mis erinevad oma keerukuse ja tõhususe poolest. Tehniliselt lihtsaimad meetodid on ohvriks valitud inimestega otsene suhtlemine või neilt näiteks ka pettuste kaudu vajaliku info kätte saamine. Teisest küljest võib tegu olla näiteks mitmelt ründevektorilt sooritatava operatsiooniga, luues valevõrke ja veebilehtede koopiaid, mille kaudu ohver andmeid edastades teeb selle kõik ründajale nähtavaks. On ka kaudsemaid meetodeid, näiteks prügis tuhnimine, lootuses leida konfidentsiaalset või muidu kasulikku infot (antud juhul võib ründajale ideaalne olla näiteks ära visatud paroolidega paber) või üle õla piilumine ehk siis avalikus kohas näiteks kuhugi sisse logides lihtsalt loetakse, mida te parooliks sisestate.

Üldiselt võib selle vastu aidata kõige paremini kõrgendatud tähelepanelikkus ja ettevaatlikkus. Samas ei ole mingit kindlat turvalisuse saavutamise valemit, mis kedagi säärase manipulatsiooni eest kaitseks. Vaatame seda läbi andmeturbe kolme komponendi: tehnoloogia, koolitus, reeglid. 

Tehnoloogiliselt poolelt aitaks siin põhimõtteliselt autentimise mitmekordistamine, sest sellega on ründajale vajaliku kogutava informatsiooni hulk samuti suurem. See võib olla abiks: 

• manipulatsiooni avastamisel, ehk ründajad võivad rohkem kahtlust äratada spetsiifiliste küsimustega, 
• ründajatele sihtmärgi väärtuse vähendamise näol, ehk nad peaks tegema liiga suurt eeltööd, et sisse saada. 

Samuti võib aidata tehnoloogiatest näiteks VPN, kaitstes saadetavat infot paremini.

Koolituse poole pealt võib siin abi olla rohkem. Õpetada võiks:

• Kuidas erinevate omaduste järgi tunda ära näiteks õngitsemis kirju ja kõnesid
• Tutvustada teisi võtteid, mida selleks kasutatakse (üle õla piilumine, vestlused, sappa võtmine, prügis tuhnimine)
• Selgitada, kuidas näeb välja näiteks petteks loodud avalik wifi võrk (kui on mitu sarnase nimega wifi võrku, pöörata eriti olulist tähelepanu sellele, millega ühendada soovitakse; vältida oluliste andmete edastamist avalikes võrkudes; jne)
• Selgitada, mille järgi ära tunda näiteks võltsitud sisselogimisleht (kui toimub ebatavaline hulk ümbersuunamisi; esineb mingeid märgatavaid kahtlaseid vigu veebilehe kujunduses; kui olete kogemata sisestanud või teid on suunatud sarnase, kuid näiteks mõne tähe poolest erinevale domeenile, mis näeb sarnane välja.)
• Õpetada, kuidas takistada üle õla piilumist (avalikus kohas sisse logimise vältimine; peegeldavate ekraanikatete kasutamine)'

Ka näiteks mingite tegevusprotokollide ja reeglite kehtestamine võib selle puhul rohkem aidata:

• Kuhu tohib milliseid andmeid sisestada?
• Kui palju tohib näiteks firma turvameetmetest kuskil rääkida?
• Kehtestada mitmetasemelised autentimise nõuded olulistele kontodele
• Nõudes asutuse paberprahi purustamist enne ära viskamist
• Keelates delikaatsematesse süsteemidesse logimise läbi avalike võrkude
• Nõudes VPN-i kasutamist delikaatsete andmete edastamisel
• Kehtestades tiheda, kuid mõistliku protokolli paroolide vahetamisele (tihe muutmine aitab kaitsta küll otseste rünnakute eest, kuid liiga tihe muutmine viib selleni, et inimesed lihtsalt kirjutavad oma paroole ülesse, kuna lühikese aja jooksul need ei jää meelde)

Selliste reeglite ja protokollide puhul tuleb aga meeles pidada, et kui need muuta liiga rängaks, näiteks kui autentimine on liiga mitmekihiline või paroolide vahetust nõutakse liiga tihti, hakkavad inimesed ise, eesmärgiga seda igapäevases tegevuses lihtsustada, tekitama turvaauke, kirjutades oma paroolid ülesse, laskes teisi koos nendega uksest sisse või pannes mitmele süsteemile sama parool. Seetõttu aitab siin isegi kaasa natuke leebemate reeglite kehtestamine.

Social engineering ehk manipulatsioon on üks põhilisi meetodeid, kuidas võidakse tänapäeval lihtsalt saada kaitstud süsteemidesse ja varastada turvatud andmeid. Seetõttu on ka oluline selle peale aegajalt mõelda ja hoida end kursis, millele tuleks tähelepanu pöörata, et seda oma eraelus või töös vältida.