Profilozás? De miért profiloznak minket? Azaz miért gyűjt rólunk bárki is adatokat?
Tisztázzuk is ezt rögtön az elején. Nem az adataink értékések, legalábbis nem önmagukban, nyers formában. Hanem az az értékes, amire következtetni lehet belőlük. Minél több az adat, annál izgalmasabb viselkedési mintákat lehet ráilleszteni.
Ez maga a színtiszta viselkedés előrejelzés. A rólam megtudott adathalmaz tudatában vajon kire fogok szavazni, mit fogok vásárolni, hova fogok legközelebb utazni?
Na ezért -mondják a cégek és a kormányok- már érdemes a közszemlére tett és önként átadott adatainkat begyújteni, eltárolni és persze folyamatosan elemezni.
Egy átlagos emberről minimum 100 különböző alap adat lelhető fel és ha hozzátesszük a személy környezetében lévő személyeket és a következtetéseket is, akkor ez az adatkupac 10e különböző adatra rúg, ami a mi profilunkban van eltárolva. Na ez a nagy érték!
Ez a SOCIAL ENGINEERING, illetve profilozás, ám fura mód szokták az ember meghekkelésének is nevezni.
Két fő irányvonal van, az egyik a legális út, amikor például egy „díjmentes” szolgáltatást használunk, mondjuk a közismert gmail levelezőt, vagy feliratkozunk egy hirlevélre, esetleg megosztunk egy videót, like-olunk egy posztot. De ezekről legalább tudjuk, hogy mikor és mit osztunk meg.
A másik irányvonal, amikor a hátunk mögött gyűjtögetnek akaratunk és engedélyünk ellenére részletes adatokat rólunk.
Nyilván ez -nem úgy, mint az első megoldás- teljesen illegális és jobb ha ismerjük a gonosztevők repertoárját, mert így könnyebben fogjuk felismerni, ha épp a mi adatainkra pályáznak és remélhetőleg meg is tudjuk előzni azt, mielőtt komolyabb baj lenne.
1. PHISHING: „kérlek kattints és változtasd meg a jelszavad, mert valószínűleg adatlopás áldozata lettél” Vagy: „Itt tudod követni a csomagodat, esetleg kattints és fizesd ki a vámot, különben visszamegy a csomagod a feladóhoz”
Ez nagy tömegben megy mindenfelé és még mindig 8 – 11% beugrik ezeknek a csaló üzeneteknek és kattint. Utána bekéri az érzékeny információt és kész a baj.
Ugye régebben sima ügy volt kiszűrni a „nigéria nagybácsi meghalni és akar utalni Néked nagy vagyon” jelegű magyartalan üzeneteket, ám a gépi tanulás fejlődésével a szövegek közel tökéletesek már.
És megjegyzem hamarosan a beszéd is perfekt és hihető lesz…
2. SPEAR PHISHING: ez az előző kifinomult formája. Itt már sok adat van a kiberbűnöző birtokában a célszemélyről és célzottan csak neki megy az adathalász üzenet. Pl. tudjuk, hogy szabadságra mész és Tenerife-re utazol, megy is az üzenet, hogy „még előtte mentsd le a céges adataid, illetve változtasd meg a jelszavaid.
Vagy most foglalj helyet ITT ebbe a szuper helyi étterembe.
3. BAITING: a csali módszer. „Szeretnél hozzáférni az oldalhoz és ingyen mozifilmeket nézni? Gyorsan katt ide”
Ezek azok az üzenetek, amelyek ígérnek valamit, ami egyszerűen túl jó, hogy igaz legyen.
Avagy elérik, hogy érezd a „nehogy ebből kimaradjak” érzést és ezek annyira erősek tudnak lenni, főleg ha pont a vágyott termék, illetve szolgáltatás után kutatunk egy ideje, hogy nagyobb eséllyel megy a kattintás.
4. TAILGATING: Ismerős, amikor az autópályán valaki túl közel jön hozzád, ezzel finoman jelezve, hogy ő gyorsabban kíván haladni?
Nos a kiber-bűnözésben is megvan ennek a megfelelője, bár inkább a fizikai világban figyelhető meg.
Példa erre, amikor valaki túl közel van hozzád, mikor bemész egy ajtón, amihez kulcs, vagy belépő kártya kellett. Esetleg udvariasan meg is kér téged, hogy engedd már be, neki épp nincs itt a belépő kártyája…
Ekkor persze már korábban is temérdek adat lett gyűjtve a kihasznált személyről, tehát biztosra megy a támadó, hogy itt ő most célt fog érni és bejut az adott helyre.
Valószínűleg egyéb adatok birtokában van már, így a bejutás után tovább tud kutakodni a „kincs” után.
5. MALWARE: Ezek ártalmas, rosszindulatú szoftverek.
Azzal a céllal kerülnek a gépedre már eleve gyanús forrásból, hogy pénzt, vagy adatot csikarjanak ki.
Viszonylag könnyű elkerülni ezeket, ha mi magunk is kerüljük az illegális letöltő oldalakat.
Csodás példáját láttam ennek, amikor egy zsaroló vírus költözött be egy céghez, ám a látszat ellenére nem a pénz volt a céljuk (adataid titkosítottuk, küldj bitcoint és visszakapod), hanem a cég szorult helyzetét kihasználva, 2 profi rendszergazda is jelentkezett a céghez, aki segíteni tud és megelőzni ezt a jövőben.
Persze az egyiket felvették, aki ezután hosszútávon igyekezett folyamatosan adatokat kiszivárogtatni a támadóknak, immáron belülről.
6. WATER-HOLING: Ezt sajnos igen nehéz kiszúrni. Képzeld el, hogy van egy weboldal, amit sokszor látogatsz és ott vásárolsz, olvasgatsz, beszélsz másokkal.
Ha bekerülsz a célszemélyek közé, akkor ez bizony kiderülhet rólad és gyakorlatilag meghackelik az amúgy megbízható weboldalt, hogy amikor legközelebb itt jársz, kattints egy linkre és tölts le valamilyen programot innen, amit amúgy sosem tennél.
Miért teszed meg? Mert ismered az oldalt, hisz sokszor megfordulsz itt, fel sem merül, hogy rosszat akarnának neked. Az oldal üzemeltetői nem is, de akik csapdát állitottak itt, már annál inkább.
Vegyük észre, hogy nem a weboldal volt a célpont, az csupán eszközként volt használva.
És ahogy ígértem a profilozás + 1. pontja: a PRETEXTING: Ilyenkor a támadó fél kiadja valakinek magát.
Pl.: tudja, hogy az áldozat nemrég vásároltál egy szép almás telefont és a bolt alkalmazottja nevében fogják majd keresni. Később már nem működne, de most még érintett az illető.
Megtörtént eset jön ismét.
A pénzügyes kolléganő egy ideje már megfigyelés alatt állt a fenti módszerekkel és csak arra vártak, hogy a főnök elutazzon. Ezt követően érkezett a fizetések utalása környékén céges mail címről egy levél.
A küldő állítása szerint ő a főnök új titkárnője és sajnálatát fejezte ki, hogy a főnök úr most nem fog tudni fizetéseket utalni a hosszú repülőút miatt.
Sebaj -folytatta a hamis feladó- most itt a lehetőség, hogy a pénzügyes hölgy ezt megtegye, íme a kollégák banki adatai, nosza mehet a fizetés mindenkinek.
Érzed a nyomást? Te felelsz mások fizetéséért. Mondanom sem kell, hogy a banki adatok nem a kollégák adatai voltak….
Most kérlek fusd át a 6+1 profilozás módszert, hogy legközelebb könnyebben felismerd, ha valaki rajtad próbálja alkalmazni.
Így nagyobb eséllyel fogod elkerülni a „de honnan tudja rólam ezt?
„Biztos lehallgat”.
Lehet önként adtad meg korábban?
Ha ötleted vagy kérdésed van – nem csak a profilozással kapcsolatban, itt megtalálsz: pedro@amtech.hu
A profilozás témájában készült videót, itt találod:
Ha több tech tartalmú cikket olvasnál itt megteheted:
Az AI 5 felhasználási területe
Szekrényi Péter – Pedro
tulajdonos, IT mérnök
AMtech Rendszerház
www.amtech.hu