Socjotechnika, zwana również inżynierią społeczną, to nauka i zespół technik wykorzystywanych do wywierania wpływu na innych ludzi. W przestrzeni internetowej służy zazwyczaj oszustom do kradzieży tożsamości czy pieniędzy albo do wyłudzania danych, które później mogą zostać użyte do nielegalnych działań.

Oszuści posługujący się socjotechniką starają się zazwyczaj podszyć pod zaufane osoby dla użytkowników sieci celem osiągnięcia określonych korzyści. Taką metodę oszustwa nazywamy spoofingiem. W swej prostocie ataki socjotechniczne bazują na wywołaniu strachu, paniki lub innych silnych emocji u ofiary, która często zmuszana jest również do działania pod presją czasu (choć nie jest to obowiązkowy element).

Osoby trudniące się atakami socjotechnicznymi docierają do swoich ofiar na różne sposoby – na przykład poprzez wysyłanie fałszywych e-maili (dlatego tak ważna jest ochrona firmowej poczty przed SPAM-em), w wiadomościach na znanych portalach ogłoszeniowych (oszustwa przez OLX są bardzo częstym zagrożeniem) lub telefonicznie. Inwencja oszustów nie zna granic, dlatego tak istotne jest, by pracownicy firmy byli czujni przez cały czas.

Ataki socjotechniczne nie polegają na stosowaniu zaawansowanego oprogramowania i metod hakerskich. Przeprowadzane na masową skalę mają niestety wciąż bardzo dużą skuteczność i nawet „nietechniczni” oszuści są w stanie zajmować się tym procederem przez wiele lat. Bazowanie na ludzkiej nieuwadze, roztargnieniu, braku wiedzy i wywoływaniu skrajnych emocji jest szybsze i tańsze niż łamanie zabezpieczeń firmowych.

Jak w praktyce może wyglądać socjotechnika? Przykłady:

W warunkach firmowych możemy spotkać się z fałszywymi wiadomościami od osób podszywających się pod zaufane nam osoby – przełożonych, pracowników urzędu lub kontrahentów. Otrzymywane nietypowe prośby (na przykład o dane) powinny być każdorazowo weryfikowane inną drogą – na przykład telefonicznie. Warto też każdorazowo prześledzić adres e-mail, z którego nadeszła wiadomość, a wątpliwości niezwłocznie konsultować z administratorem sieci lub przełożonym

W czasie pandemii koronawirusa portale branżowe alarmowały o wielu fałszywych wiadomościach SMS dotyczących skierowania na kwarantannę. Wiadomość rzekomo miała pochodzić z Ministerstwa Zdrowia lub innych państwowych organów. W treści wiadomości znajdował się link, pod którym odbiorca mógł znaleźć szczegółowe informacje. Odnośnik prowadził oczywiście do formularza wyłudzającego dane lub bezpośrednio pobierał i instalował na smartfonie złośliwe oprogramowanie. Wiele osób w obawie przed koniecznością izolacji w domu, klikało zainfekowany odnośnik, nieświadomie narażając się na nieprzyjemne konsekwencje.

Jedną z metod socjotechnicznych jest wykorzystanie tak zwanego scareware – formy złośliwego oprogramowania, które wyświetla na komputerze ofiary informację o zainfekowaniu systemu. Użytkownik dostaje propozycję natychmiastowego rozwiązania problemu za pomocą dedykowanego (płatnego) oprogramowania, które w rzeczywistości jest wirusem. Według Anti-Phising Working Group duży wzrost popularności tej metody miał miejsce na przełomie 2008 i 2009 roku¹.