Téved, aki azt hiszi, hogy a hackerek kizárólag technikai felkészültségük és programozói tudásuk segítéségével tudnak behatolni a legkorszerűbb védelmi megoldásokkal felszerelt, bevehetetlennek tűnő informatikai rendszerekbe. Az igazság az, hogy sokkal kevésbé lennének eredményesek, ha nem alkalmaznák a pszichológiai manipuláció kiterjedt eszköztárát a biztonsági rendszer leggyengébb láncszemének, a felhasználóknak az átverésére.
Kutatások szerint a tartósan fennálló, fejlett fenyegetéseket működtető hackercsoportok által végrehajtott támadások 95 százaléka célzott adathalász e-mailek kiküldésével indul, amelyeket az előzetesen kiválasztott és adatgyűjtés útján megismert vállalati alkalmazottakhoz juttatnak el. A kiberbűnözők biztosra mennek, mivel minden cégnél szép számmal találhatók felelőtlenül kattintgató munkavállalók, akik nem tudják megállni, hogy megnézzék a levélben küldött dokumentumot, képet, illetve videót, meglátogassák az ajánlott weboldalt. Szerencsére azt is megállapították biztonsági kutatók, hogy a gondatlan kattintások 100 százalékáért csupán az alkalmazottak 10 százaléka felelős, így ennek a körnek a képzésével jelentősen javítható az informatikai biztonsági helyzet a vállalatoknál.
Pszichológiai manipulációval egyrészt bizalmas információkhoz - jelszavakhoz, bankszámlaszámokhoz - jutnak hozzá a hackerek, másrészt különféle trükkökkel igyekeznek rosszindulatú programokat telepíteni potenciális áldozataik számítógépére, így férve hozzá személyes adataikhoz, bankszámlájukhoz. Informatikai rendszereink biztonsága nagymértékben függ attól, tisztában vagyunk-e azzal, mennyire bízhatunk meg másokban. Mikor hihetünk valakinek és mikor nem, képesek vagyunk-e megállapítani, hogy egy meglátogatni kívánt weboldal legális-e vagy nem, tudjuk-e, mikor és kinek adhatjuk meg személyes adatainkat és mikor nem. A biztonsággal foglalkozó szakemberek valamennyien tudják, hogy a védelmi rendszer leggyengébb láncszeme az ember: hiába alkalmazzák a legkorszerűbb megoldásokat, ha egy óvatlan felhasználó nem vigyáz a jelszavára vagy kíváncsiságból rákattint egy rosszindulatú weboldalra mutató hivatkozásra.
Néhány elterjedt csalási technika
Talán a legveszélyesebb manipulációs módszer a barát vagy ismerős nevében küldött e-mail, üzenet vagy Facebook-bejegyzés, mivel ebben bízhatnak meg a leginkább a címzettek. Ahhoz, hogy egy kiberbűnöző ilyet tudjon küldeni nekünk, előbb fel kell törnie ismerősünk posta-, üzenetküldő vagy Facebook-fiókját. A levélben hivatkozást vagy letöltendő fájlt találunk, amelyet a szöveg szerint "feltétlenül meg kell néznünk": mindkettő automatikusan megfertőzi a gépünket, az előbbi egy rosszindulatú weboldalon keresztül, az utóbbi pedig a fájlba ágyazott programkártevő segítségével.
Nem kevésbé veszélyesek a klasszikus adathalász-próbálkozások, melyek során a hackerek ismert cégek, bankok vagy intézmények nevében küldenek e-mailt, üzenetet vagy bejegyzést. Ebben arra hivatkoznak, hogy valamilyen probléma merült fel a számlánkkal, fiókunkkal, előfizetésünkkel kapcsolatban, és arra kérnek minket, hogy ennek megoldása érdekében a megadott hivatkozásra kattintva látogassunk el a weboldalukra, majd ott adjuk meg a szükséges információkat. Negatív következményeket helyeznek kilátásba arra az esetre, ha nem teszünk eleget a kérésüknek, ezzel próbálva megakadályozni, hogy alaposabban tanulmányozzuk a levelet. Mivel a weboldal hitelesnek tűnik, megadjuk a kért információkat. Egy másik fajta e-mail nyereményről értesít minket, amelynek átvételéhez meg kell adnunk bizonyos információkat, amit sokan meg is tesznek, mivel nem akarják elszalasztani a nagy lehetőséget.
Ugyancsak népszerű trükk a természeti katasztrófák idején adománygyűjtési céllal küldött levél, amely az emberek nagylelkűségét próbálja kihasználni.
Fájlmegosztó, hirdetési és aukciós oldalakon, valamint a keresések találati listáin feltűnő rosszindulatú webhelyeken előszeretettel alkalmazott módszer, hogy a kiberbűnözők csaliként vonzó letöltést (zenét, filmet, szoftvert) ajánlanak az odalátogatóknak, amely aztán számítógépes vírussal fertőzi meg a gépüket.
További trükk, hogy a hackerek valamelyik ismert szoftvergyártó nevében reagálnak egy általunk sohasem küldött kérésre, és ha történetesen használjuk a szóban forgó cég valamelyik termékét, jó esély van arra, hogy áldozatául esünk a megtévesztési kísérletnek. Még akkor is, ha tudjuk, hogy egyáltalán nem fordultunk kéréssel az adott céghez, szinte biztos, hogy van valamilyen problémánk a termékükkel kapcsolatban. Például a Windows 10 július végi megjelenésekor próbálkoztak a hackerek ezzel a módszerrel: az operációs rendszer letöltésére türelmetlenül várakozóknak ajánlottak a Microsoft nevében kerülő megoldást, az azonban egy zsarolóprogramot tartalmazott.
Így kerülhetjük el az átverést
Szinte mindenki hallotta már a biztonsági szakértők figyelmeztetését: ne nyissunk meg ismeretlen forrásból származó e-maileket, ne kattintsunk a bennük lévő hivatkozásokra, ne töltsük le és ne futtassuk a mellékletben lévő fájlokat. Úgy tűnik, ez a lényegre koncentráló, rövidke jótanács sokszor nem éri el a célját, a kíváncsiság szertefoszlatja az esetleges aggodalmakat. Az alábbiakban alaposabban áttekintjük a biztonságtudatos viselkedés szabályait, amelyek betartásával elkerülhetők a hatalmas károkat okozó vírusfertőzések, a vállalati hálózatba történő illetéktelen behatolások.
Az első és legfontosabb, hogy megbízható gyártótól származó, komplex szolgáltatásokat nyújtó biztonsági szoftverrel védjük eszközeinket. Az operációs rendszert és az összes futtatott programot tartsuk naprakész állapotban, vagyis késedelem nélkül telepítsük a hozzájuk kiadott frissítéseket. Ennek érdekében mindegyik esetében engedélyezzük az automatikus frissítési funkciót.
A beérkező e-mailek kezelésekor mindig cselekedjünk körültekintően, semmi esetre se kapkodjunk. A sietség hajlamossá tesz arra, hogy elfeledkezzünk a legelemibb óvintézkedésekről; ezt próbálják elérni a hackerek is, akik valamilyen módszerrel sokszor sugallják azt a levelükben, hogy sürgősen kell cselekednünk. Eleve tekintsünk gyanúsnak minden olyan levelet, amely kéretlenül érkezett. Ha olyan vállalat küldte, amelynek szolgáltatásait igénybe vesszük, nézzünk utána az interneten, hogy a levélben a cég valódi elérhetőségei, telefonszáma, webcíme szerepelnek-e. Ha egy kéretlen e-mailben jelszót, pénzügyi információt vagy más bizalmas személyes adatot kérnek tőlünk, biztosan csalási próbálkozással állunk szemben, ilyenkor azonnal töröljük a levelet. A különféle szolgáltatók és pénzintézetek nem győzik hangsúlyozni tájékoztatójukban, hogy sohasem kérnek telefonon vagy e-mailben bizalmas információkat.
Vonatkoznak a fentiek a segítségkérésekre és a felajánlott segítségnyújtásokra is: a különféle szolgáltatók és a karitatív tevékenységekkel foglalkozó legális szervezetek nem keresik meg e-mailben a lehetséges adományozókat, illetve segítségre szorulókat. Ha nem kértünk kifejezett segítséget a levél küldőjétől, minden olyan tartalmú e-mailt tekintsünk átverési kísérletnek, amely segítséget ajánl fel operációs rendszerünk felgyorsításához, a hiteltörlesztésünk könnyítéséhez és hasonlókhoz.
Különös óvatossággal kezeljük a gyanús e-mailekben található hivatkozásokat, ne kattintsunk rájuk előzetes ellenőrzés nélkül. Ha föléjük visszük az egérkurzort, a böngésző állapotsorában láthatóvá válik a valódi webcím, ezt vessük össze a küldő cég interneten felkutatott weboldalának címével. Hasonlóképpen: ne hívjuk fel az e-mailekben található telefonszámokat, nem tudhatjuk, hogy ügyintéző vagy csaló fogadja-e a hívásunkat. Ugyancsak bánjunk óvatosan az ismerősünktől, barátunktól, kollégánktól vagy rokonunktól kapott levélben lévő hivatkozásokkal és csatolmányokkal. Mint korábban már említettük, egyre gyakrabban fordul elő, hogy hackerek feltörnek postafiókokat, és azokból küldözgetnek e-maileket az illetők kapcsolatainak, újabb áldozatokat próbálva meg becserkészni. Levélmellékletet kizárólag akkor nyissunk meg, ha ismerjük a küldőt, és kifejezetten várunk tőle valamilyen dokumentumot, képet vagy más típusú fájlt. Minden más esetben súlyos felelőtlenség letölteni, illetve futtatni vagy megnézni egy levélben küldött fájlt.
