Fizični socialni inženiring
Kaj je fizični socialni inženiring in zakaj je najbolj spregledana oblika napadov
Fizični socialni inženiring je oblika socialnega inženiringa, pri kateri napadalec pride do cilja osebno – izda se za serviserja, dostavljalca, revizorja ali novega sodelavca in s prepričljivo zgodbo pridobi fizični dostop do prostorov, naprav ali zaupnih podatkov. Namesto tehničnih ranljivosti izkorišča človeško vljudnost, zaupanje in nepripravljenost. Med najpogostejše tehnike sodijo tailgating (vstop za zaposlenim), pretvarjanje, puščeni USB ključki (baiting), premetavanje odpadkov (dumpster diving) in opazovanje zaslonskih vsebin (shoulder surfing).
V Zavodu Varna AI organizacijam pomagamo okrepiti fizično odpornost – z razumljivimi vsebinami, resničnimi primeri iz prakse in nadzorovanimi simulacijami fizičnega vdora, ki varno preverijo pripravljenost vaše ekipe in prostorov ter merljivo zmanjšajo tveganje za uspešen napad.
Kaj vključuje vsebina o fizičnem socialnem inženiringu
Vsebina je zasnovana tako, da zaposlene nauči poskuse fizičnega vdora prepoznati, pravilno odreagirati in jih pravočasno prijaviti. Vključuje:
Kaj je fizični socialni inženiring
Tailgating – vstop za zaposlenim
Pretvarjanje (impersonation)
Lažni serviserji in dostavljalci
USB vaba (baiting)
Shoulder surfing
Dumpster diving
Lažni revizorji in inšpektorji
Obiski "novih sodelavcev"
Kontrola dostopa in kartice
Obiskovalci in spremljava
Varno ravnanje z dokumenti
Čista miza in čisti zaslon
Simulacije fizičnega vdora
Prijavljanje sumljivih oseb
Poročanje in analitika
Želite preveriti fizično odpornost vaše organizacije?
Vsako organizacijo obravnavamo posebej. Skupaj pripravimo program ozaveščanja in nadzorovanih simulacij fizičnega vdora, prilagojen vašim prostorom, procesom in najpogostejšim grožnjam, s katerimi se srečujete.
Skupaj gradimo odpornost proti socialnemu inženiringu
Verjamemo, da so ozaveščeni zaposleni najmočnejša obramba organizacije. Zato pomagamo graditi varnostno kulturo, v kateri je vljudno, a odločno preverjanje neznanih obiskovalcev vsakdanja veščina vseh zaposlenih.
Zaupanja vreden partner pri kibernetski varnosti
Strokovnost in izkušnje
Vsebine pripravljajo strokovnjaki s področja kibernetske varnosti, socialnega inženiringa in obvladovanja tveganj.
Razumljiva vsebina
Napade predstavimo na razumljivih, resničnih primerih in s konkretnimi navodili za vsakdanje delo.
Podpora tudi po uskladitvi
S simulacijami in analitiko spremljamo napredek ter vsebine prilagajamo dejanskim tveganjem vaše organizacije.
Pogosta vprašanja in odgovori
Fizični socialni inženiring je vrsta napada, pri kateri napadalec z osebnim stikom in manipulacijo – ne s tehničnimi sredstvi – pridobi fizični dostop do prostorov, naprav ali zaupnih informacij. Tipičen scenarij: napadalec se izda za serviserja ali dostavljalca, z vljudno prošnjo ali prepričljivo zgodbo prepriča zaposlenega, da ga spusti v varovane prostore, in tam namesti zlonamerno napravo, ukrade dokumente ali prestreže podatke. Gre za eno najučinkovitejših oblik socialnega inženiringa, ker tehnični varnostni ukrepi (požarni zidovi, protivirusna zaščita) proti njemu ne pomagajo.
Tailgating (tudi piggybacking) je vstop nepooblaščene osebe v varovane prostore tik za zaposlenim – na primer ko nekdo »vljudno« pridrži vrata osebi z napolnjenimi rokami. Preprečimo ga z jasnimi pravili: vrata se ne pridrži neznancem, vsak obiskovalec se najavi in spremlja, dostopne kartice se ne izposojajo, morebiten poskus pa se nemudoma prijavi. Pomembno je, da zaposleni vedo, da vljudno vprašanje »Ali se lahko pomagam do recepcije?« ni nevljudnost, temveč varnostni ukrep.
Priporočljiv postopek je:
- Neznano osebo vljudno nagovorite in jo povprašajte, ali potrebuje pomoč – ponudite spremstvo do recepcije ali odgovorne osebe.
- Ne spuščajte se v konflikt in osebe fizično ne zadržujte.
- O dogodku takoj obvestite recepcijo, varnostno službo ali vodjo.
- Zapomnite oziroma zabeležite opis osebe, smer gibanja in morebitna vozila.
Ključno je, da ima organizacija jasno napisana pravila in da jih zaposleni poznajo – tako nihče ne tvega, da bi bil »nevljuden«, ko ravna varno.
Baiting je tehnika, pri kateri napadalec namenoma pusti okužene USB ključke na vidnih mestih (parkirišče, hodnik, čakalnica) in računa na radovednost zaposlenih. Žrtev, ki ključek vstavi v službeni računalnik, lahko sproži namestitev zlonamerne programske opreme in napadalcu odpre dostop do omrežja. Pravilo je preprosto: najdenih ali neznanih USB ključkov nikoli ne vstavljajte v službene naprave – oddajte jih IT službi.
Simulacija fizičnega vdora je nadzorovan in vnaprej dogovorjen preizkus, pri katerem pooblaščena oseba poskusi s tehnikami socialnega inženiringa (pretvarjanje, tailgating, lažna identiteta) vstopiti v vaše prostore ali pridobiti podatke. Preizkus poteka po jasno dogovorjenih pravilih, brez ogrožanja ljudi in premoženja. Po njem pripravimo poročilo z ugotovitvami, ranljivostmi in konkretnimi priporočili za izboljšave – od tehničnih do organizacijskih ukrepov.
Najučinkovitejši ukrepi so:
- delujoča kontrola dostopa (kartice, zaklepanje, recepcija),
- pravila za sprejem in spremljavo obiskovalcev,
- načelo čiste mize in čistega zaslona,
- varno uničevanje dokumentov (namizni koši niso varnostni ukrep),
- redna usposabljanja in simulacije fizičnih vdorov,
- jasen postopek prijavljanja sumljivih oseb.
Tehnični ukrepi delujejo le, če jih zaposleni razumejo in dosledno uporabljajo.
Da, neločljivo. Zakon o informacijski varnosti (ZInfV-1), direktiva NIS-2 in standard ISO/IEC 27001 izrecno zahtevajo tudi fizične varnostne kontrole – kontrolo dostopa do prostorov, varovanje opreme in varno ravnanje z nosilci podatkov. Fizični vdor je hkrati tudi potencialna kršitev varstva osebnih podatkov po GDPR in ZVOP-2. Redna usposabljanja in simulacije fizičnih vdorov so zato pomemben del dokazovanja skladnosti.
