Социальная инженерия — чем опасна и как распознать

Определение

Социальная инженерия — способ добраться до аккаунта или денег в обход защиты: не через код программы, а через человека. Пароль не подбирают, шифрование не ломают. Жертву убеждают сделать всё самой: назвать код из SMS, отсканировать чужой QR, показать экран.

Термин старше смартфонов: «техподдержка» просила «проверить пароль» ещё в девяностые. В обзорах Банка России она год за годом остаётся основным приёмом: деньги уходят с согласия владельца счёта.

Отличие от технической атаки — в точке приложения силы. Перехват сессии по QR и подбор пароля работают с системой, социальная инженерия — с вниманием. Поэтому антивирус и сложный пароль её не останавливают: дверь открываете вы.

Как работает

Атака собирается из трёх частей: повод, причина спешки и просьба. Повод берут из жизни — доставка, госуслуги, розыгрыш, знакомый в беде. Просьба всегда одна: отдать код, отсканировать код или ввести данные на чужой странице.

Спешка — инструмент: пока человек считает минуты, он не смотрит на домен и не перезванивает по номеру с карты. Рядом работают авторитет («полиция», «сотрудник соцсети») и стыд за уже сделанное.

В офлайне то же: поверх настоящего QR на парковочном автомате клеят свой стикер. Это уже квишинг, но метод тот же — человеку не приходит в голову, что наклейку заменили. Как проверять код — в материале как проверить QR-код на безопасность.

Связанные концепции

Маркеры, по которым обман виден без спецзнаний:

• торопят и не дают перезвонить — настоящий сервис ждёт сколько нужно;
• просят код, пароль, QR входа или демонстрацию экрана: банк и соцсеть их не запрашивают;
• ссылка пришла в личке или по SMS, домен отличается от настоящего одной буквой;
• обещают выигрыш или блокировку: сильная эмоция выключает проверку;
• пишет знакомый, но текст не в его манере: позвоните голосом, прежде чем платить.

Частая ошибка — считать, что ловят только пожилых. Молодых берут через «дай зайти в аккаунт для розыгрыша» и накрутку подписчиков.

Частые вопросы