Phishing i socijalni inženjering su se izdvojili kao dvije možda i najrasprostranjenije prijetnje u
oblasti sajber bezbjednosti. Ove taktike, umjesto pronalaženja slabih segmenata sistema, mudro
koriste inherentne manjkavosti u ljudskoj psihologiji kako bi prevarile pojedince da sami
podijele svoje osjetljive informacije ili obave neke druge radnje koje ugrožavaju bezbjednost.
Po definiciji, phishing podrazumijeva slanje lažne komunikacije, najčešće mejla, koja izgleda
tako da zavara primaoca da dolazi od poznatog, pouzdanog izvora. Cilj je krađa osjetljivih
podataka poput lozinki, brojeva kreditnih kartica ili drugih ličnih informacija. Phishing mejlovi
često izgledaju uvjerljivo, kopirajući u potpunosti uobičajeni izgled mejla neke kompanije, i
uglavnom uključuju hitne pozive na preduzimanje neke radnje, poput klika na link za resetovanje
lozinke ili potvrde podataka o nalogu.
Postoji više taktika kao što su spear phishing-napad koji targetira tačno određene pojedince ili
organizacije, koristeći lične informacije kako bi poruka bila uvjerljivija; whaling-koji cilja
pojedince visokog profila u organizaciji, kao što su izvršni direktori, s ciljem pristupa
povjerljivim informacijama kompanije, clone phishing-duplikacija autentične e-prepiske i
zamjena linkova ili priloga iz nje zlonamjernim sadržajem.
Socijalni inženjering ide korak dalje od phishing-a, vršeći sofisticiranu manipulaciju ljudi kako
bi samostalno obavili određene radnje ili otkrili povjerljive informacije. Ovaj pristup koristi
prirodnu sklonost ljudi ka povjerenju i često nedovoljnu obazrivost i neinformisanost o
prijetnjama. Socijalni inženjering se najčešće odvija kroz kreiranje lažnog ali uvjerljivog
scenarija za krađu informacija, pa se tako na primjer, napadač može predstaviti kao IT tehničar,
predstaviti lažna obećanja ili nagrade, nuditi poslovne aranžmane i sl. kako bi naveo žrtvu
napada da podijeli povjerljive informacije.
Ova vrsta napada je sada značajno opasnija jer napadači između ostalog mogu da koriste istinite
personalizovane informacije prikupljene sa društvenih mreža i drugih izvora za kreiranje
uvjerljivih poruka, kao i da koriste aktuelne događaje, poput globalnih pandemija, kako bi
kreirali poruke koje navode žrtvu na hitnu akciju.
Ono što je sigurno jeste da je u sprječavanju ovih prijetnji ključna jedna stavka-edukacija.
Provjeravanje izvora e-pošte, poziva ili poruke, URL-a sajtova i slično bi morala postati
neizostavna navika, posebno ako komunikacija sadrži zahtjev za dijeljenjem bilo kakvih ličnih
podataka, urgencije i slično. Korisna alatka predstavlja i autentifikaciju u dva ili više koraka
(MFA-Multi-Factor Authentification) jer ona otežava napadačima pristup čak i ako nekom od
ovih metoda uspiju doći do lozinke.
Podizanje svijesti i podsticanje opreza i proaktivnog djelovanja i reagovanja na sve sumnjive
pojave na koje nailazimo u sajber-prostoru može u značajnoj mjeri smanjiti nivo uspješnosti
ovakvih napada.
Nina Perišić
Koordinator za članstvo, Women4Cyber Montenegro
