Title: Sociální inženýrstvíSocial engineering
Course: CRP-KYBER21 > Section: Modul 4: Sociální inženýrstvíModule 4: Social engineering

Sociální inženýrství Social engineering

V tomto modulu se seznámíme s typem bezpečnostních útoků, které pro své cíle bohužel využívají jednu z nejcitlivějších metod – psychologickou manipulaci, a to skrze naše přirozené lidské slabosti, tedy například zvědavost, strach či nepozornost. Skrze tento typ manipulace dokáže útočník svou oběť dokonale oklamat, ta se může následně dopustit bezpečnostní chyby a poskytnout tak útočníkovi informace v podobě citlivých údajů a přístupových práv, nebo rovnou peněžních částek. Přečtěte si příběhy lidí, kteří zažili některé z nejznámějších a nejčastějších technik sociálního inženýrství na vlastní kůži. Nemusíte se bát – nebudeme vás jen strašit, v každém z příběhů se dozvíte také rozuzlení a návod, jak se podobným děsivým scénářům vyhnout. Na těchto fiktivních příbězích chceme zejména ukázat, jak dokážou být útočníci v kyberprostoru vynalézaví a zákeřní, a co vše jsou ochotni využít, aby dosáhli svého cíle. This module introduces a range of security attacks that, unfortunately, rely on a particularly shady method: Psychological manipulation through our natural human weaknesses, such as curiosity, fear or inattention. Through this type of manipulation, the attacker can perfectly deceive their victim, leading them into committing some security mishap. As a result, the victim ends up providing the attacker with information in the form of sensitive data, access rights, or even money. Read the stories of people who have experienced some of the most common and well-known social engineering techniques firsthand. And don’t worry – the goal here isn’t just to scare you. Each of the stories has a resolution, and you’ll learn how to avoid similar scary scenarios along the way. In particular, these fictional stories should serve as an example of how resourceful and sneaky attackers can be in cyberspace, and how far are they willing to go to achieve their goals.

Baiting

Marie, 42 let Marie, 42 years

Vedoucí univerzitní knihovny Manager of the University Library

Marii považují její kolegové za zodpovědnou vedoucí univerzitní knihovny. Aby ne, v této pozici působí již deset let. Jednoho dne, cestou do práce najde Marie na parkovišti výrazně žlutý USB flash disk s nápisem „Teambuilding fotky“. Marie si takzvanou flashku chvíli prohlížela, a nakonec se rozhodla ji vzít. Leží přece před budovou, kde pracuje, a mohla by někomu chybět. Odnese ji na vrátnici a tam se o ni jistě přihlásí majitel. Po příchodu do kanceláře to ale Marii nedá. O jaký teambuilding asi šlo? A jaké zajímavé fotografie by tam mohla najít? Flashku vrátí, ale až si obsah sama prohlédne. Jedná se přeci o její kolegy, a kdyby ne, alespoň bude vědět, že nemá cenu disk na vrátnici odevzdat a vymyslí jiné řešení. Zapojí médium do svého pracovního počítače a otevře složku. Žádné fotografie však nenajde, jen nějaké nesmyslné soubory. Fotografie už asi někdo vymazal, pomyslí si. Škoda. Disk vytáhne a odnese jej na vrátnici budovy s úmyslem nahlásit nález.It shouldn’t come as a surprise that Marie is considered by her colleagues to be a responsible head of the university library – she has been in this position for over ten years. One day, on her way to work, Marie finds a vibrant yellow flash drive in the parking lot with "Teambuilding photos" written on it. After staring at the drive for a while, she finally decides to take it. After all, it was laying in front of her workplace, and someone might be missing it. She’s going to leave it at the front desk, where the owner is sure to claim it. When she gets to the office though, Marie starts to wonder: What kind of team building was it? And what sorts of interesting photos might she find there? Sure, she'll hand over the flash drive eventually, but only after checking out its contents. It's just her colleagues, after all. And if not, at least she'll know there's no point in giving it to the receptionist and she can think of another solution. She plugs the drive into her work computer and opens the folder. There are no photos to be found, just some meaningless files. Someone must’ve already deleted the photos, she thinks. Well, too bad. She pulls out the drive and heads to the building's concierge to report her discovery.

Marie v tuto chvíli vůbec netuší, že se stala obětí takzvaného Baitingu – metody sociálního inženýrství, která využívá naši přirozenou zvědavost. Cílem útočníka v tomto případě bylo namotivovat lákavým popiskem na disku některého z pracovníků, aby médium zapojil do své pracovní stanice. Mezitím, co Marie hledala fotografie, se za jejími zády dávno spouštěl škodlivý software, který má možná nyní vládu nad jejím počítačem. Co s ním asi provede? At this point, Marie has no idea she has fallen victim to Baiting – a method of social engineering that exploits our natural curiosity. In this case, the attacker's goal was to trick an employee into plugging the drive into their workstation by using an alluring description. While Mary was looking for photos, malicious software was already running behind her back and possibly managed to take over her computer. What will it do next?

Marie má štěstí – má na svém pracovním počítači nainstalovaný a plně aktualizovaný antivirový program, který si se škodlivým softwarem poradí. Ne vždy to však končí takto. Marie is lucky – her workstation is protected by up-to-date antivirus protection, which will take care of the malware in no time. However, it doesn’t always end like this.

Pozor! Nikdy do svých pracovních ani osobních zařízení nezapojujte a nevkládejte nosiče (flash disky, SD karty...), u kterých si nejste jisti původem a obsahem. Doporučujeme také svá zařízení zabezpečit: jak na to, si ukážeme v pátém modulu. Beware! Never plug any media (flash drives, SD cards) into your workstations if you’re not sure about their origin and contents. We also recommend securing your devices. We’ll show you how in the fifth module.

Blagging

Dominika, 32 let years

Marketingová specialistka Marketing specialist

„Ahoj Domi! Prosím Tě, jsem ve velkým průšvihu! Jel jsem na služebku a ukradli mi peněženku, nemám se jak dostat zpátky domů. Mohla bys mi prosím přes tenhle odkaz poslat peníze na letenku? Prosím, zachraň mě! Petr.“ „Hey Domi! Um, I’m in big trouble! I’m in the middle of a business trip and my wallet was stolen. I can’t get back home. Could you please click this link and send me some money for a plane ticket? Please, save me! Petr.“

Tento e-mail dostala hlavní představitelka příběhu o technice označované jako Blagging. Dominika v rychlosti přečetla zprávu, že se její kolega nachází v nesnázích, a samozřejmě chtěla ihned pomoci – Petr by pro ni přeci udělal to samé, ne? V reakci na urgentní situaci si ale nevšimla, že e-mail přišel z úplně jiné adresy, která neodpovídala Petrově pracovní či osobní adrese. Ve chvíli, kdy by Dominika odeslala peníze, stala by se obětí jedné z technik sociálního inženýrství. Metody, při které se útočník snaží zmanipulovat oběť zpravidla velmi poutavým a naléhavým příběhem. This e-mail was received by the protagonist of our story about a technique referred to as Blagging. Dominika skimmed through the message and of course, immediately wanted to help a colleague in need – Peter would do the same for her, wouldn't he? Due to the overall urgency of the situation, she failed to notice that the e-mail had come from a completely different address – one that didn't match Peter's work or personal e-mail. Had Dominika sent the money, she would have fallen victim to a technique of social engineering. This is a method in which the attacker tries to manipulate the victim usually with a very compelling and urgent story.

U Blaggingu je velmi častý právě požadavek o určitou peněžní částku. Útok z našeho příběhu byl natolik sofistikovaný, že útočník využil reálnou identitu Dominičina kolegy. Jak věděl, že Petr opravdu vyrazil na služební cestu? Na výběr má přeci mnoho dalších technik sociálního inženýrství, které mohou k získání podobných informací posloužit! Co když Petr například sdílel veřejně fotku z ciziny na sociálních sítích? Útočníkovi pak stačí jen vymyslet poutavý příběh a zfalšovat e-mailovou adresu. Ale jak se proti Blaggingu bránit? With Blagging, a request for a certain amount of money is very common. The attack in our story was so sophisticated that the attacker actually used the real identity of Dominika's colleague. How did he know Peter was really on a business trip? Well, there are many other social engineering techniques he could have used to learn that! Maybe Peter had publicly shared a photo from abroad on social media? All it takes from there is for the attacker to make up a compelling story and spoof the e-mail address. But how do we defend against Blagging?

Pakliže obdržíte podobnou zprávu jako Dominika, zkuste v první řadě ověřit adresu odesílatele. Pakliže adresa odesílatele nesouhlasí s formátem adres vaší univerzity, je načase zpozornět. Should you receive a message similar to the one Dominika got, check the sender address first. If its format doesn’t match the format used by your university, it’s time to start thinking.

Pozor! Nabydete-li podezření, kontaktujte danou osobu skrze jiný komunikační kanál, například osobní e-mailovou adresu, sociální sítě, anebo zkuste prostě a jednoduše dané osobě zatelefonovat. Potvrdí-li se vám, že se jedná o podvod, či daná osoba delší chvíli nereaguje, raději hlaste celý incident kompetentním osobám (IT technikům, vedoucím). V případě MUNI neváhejte situaci hlásit kyberbezpečnostnímu týmu Beware! If you become suspicious, contact the person through another communication channel, such as a personal e-mail address, social media, or simply try calling the person on their phone. If it turns out to be a scam, or if the person does not respond for a while, report the whole incident to relevant people or departments (IT technicians, managers) <school-specific>.

Phishing

Zdeněk, 38 years years

Vyučující francouzštiny French teacher

Zdeněk se ve svém příběhu tváří v tvář setkává s nejrozšířenějším typem útoku sociálního inženýrství – phishingem. Phishing má zpravidla podobu v rozesílání hromadných podvodných e-mailů. Tyto podvodné e-maily se snaží z uživatele vymámit nejrůznější přihlašovací údaje. V osobním životě může jít o přihlašovací jméno a heslo k bankovnímu účtu, v zaměstnání zase o přístup do pracovních aplikací a systémů. V prostředí univerzity je to nejčastěji přístup do informačního systému. Co když ale útočníci změní taktiku a začnou si brousit zuby třeba na váš O365 účet In his story, Zdeněk comes face to face with the most common type of social engineering attack – phishing. Phishing usually takes the form of sending out mass fraudulent e-mails. These messages try to extort various login details from the user. In personal life, this may be the username and password to an online banking account. In work, it could be the access to internal company applications and systems. In the university environment, the most sought after is access to the school information system. But what if the attackers change their tactics and try their luck with your O365 account? <school-specific: použít kritický účet/identitu>? S takovým pokusem se setkal právě Zdeněk... Zdeněk has encountered just such an attempt...

Zdeňkovi přišel v pátek odpoledne e-mail nabízející excelentní kurzy jazyků s výhodnými slevami v přiloženém dokumentu. Zaraduje se a přiložený soubor rozklikne. Náhle na něj vyskočí okénko s žádostí o oprávnění k přístupu ke Zdeňkovým údajům účtu O365. Požaduje přístup ke kalendáři, kontaktům a dalším položkám. Po odsouhlasení těchto požadavků by Zdeněk dal útočníkům plný přístup ke svému O365 účtu. Co by mělo být Zdeňkovi i vám, čtenáři, podezřelé na první pohled? On a lazy Friday afternoon, Zdenek received an e-mail offering excellent language courses with great discounts in the attached document. Filled with joy, he clicks the attached file. Suddenly a window pops up asking for permission to access Zdeněk's O365 account. It requests access to his calendar, contacts, and some other items. By agreeing, Zdeněk would hand over full control over his O365 account to an attacker. What should have been the red flag Zdeněk (and also you, the reader) should have spotted?

Při přistupování k jakémukoli souboru po vás O365 nikdy nebude chtít potvrdit přístup k účtu (ať seznamu kontaktů, změnám v kalendáři nebo čemukoli jinému). When opening any document, O365 never asks you for any sort of permissions (be it access to your contacts, editing the calendar, or anything else). <school-specific> Každá aplikace by vždy měla požadovat přístup pouze k položkám, které souvisí s její primární činností. Pokud Zdeněk otevírá odkaz na dokument ve Wordu z O365, proč by měla aplikace chtít přístup do jeho kalendáře nebo číst veškeré jeho soubory? Any application should only ever request access to items that are related to its primary purpose. When Zdeněk is opening a link to a Word document, why would an application need access to his calendar or read all of his files?

Pozor! Vždy si pečlivě přečtěte, jaké souhlasy aplikaci dáváte, i když myslíte, že ji „znáte jako vlastní boty“. Pokud se vám zdají požadavky podezřelé, či v případě, že phishingu podlehnete (což se vždy dříve nebo později projeví), nahlaste to. Beware! Always carefully read the permissions you are granting to an app, even if you think you "know it like the back of your hand". If the requests seem suspicious, or if you managed to fall for the phishing attempt (which will be apparent sooner or later), report it.

Pharming

Štěpánka, 29 letyears

DoktorandkaPhD student

Přestože se pharming může zdát ve svých důsledcích jako technika podobná phishingu, v reálném životě se s ním lze potkat méně často, vyžaduje totiž více práce ze strany útočníka. To ovšem neznamená, že bychom se před ním neměli mít na pozoru a stejně tak i doktorandka Štěpánka. Although pharming may seem similar in its consequences to phishing, it’s less common in real life, as it requires more work on the attacker’s part. That doesn't mean we shouldn't be wary of it though, and neither should Štepánka.

Štěpánka dnes jako každé pracovní ráno začala den přihlášením do Informačního systému kliknutím na záložku na liště svého prohlížeče. Záložku má na tento web v prohlížeči už roky, takže si v adresním řádku nevšimla podivné URL adresy, která se od obvyklé mírně lišila a nevědomky tak předala své údaje útočníkovi. Jak se to mohlo stát? Útočník možná napadl DNS server univerzity a přesměroval Štěpánku na téměř identickou kopii přihlašovací stránky. Každý pharmingový útok ovšem nemusí být takto rozsáhlý a pokud by si útočník například brousil zuby na Štěpánčin přístup do bankovního účtu, mohl využít právě phishingu, aby následně pomocí nastraženého škodlivého softwaru při jejím příštím vstupu do internetového bankovnictví zobrazil až na pár malých detailů téměř identickou kopii přihlašovací stránky. Štěpánka started the day like every other workday: by logging into the Information system by clicking on the bookmark on her browser bar. The bookmark has been sitting there for years, she uses it routinely and without giving it any extra thought, let alone checking the address bar. It’s no surprise she failed to notice that this time, the bookmark took her to a slightly different URL. The login page seemed identical to the one she knows, so she entered her credentials and handed them over to an attacker. How could this happen? The attacker might have hijacked the university’s DNS server and redirected Štepánka to an almost identical copy of the login page. However, not every pharming attack necessarily has to be this extensive. If the attacker had plans with, for example, Štěpánka's bank account, he could plant malware into her computer (using phishing, for example). The next time Štepánka would try to access her online banking, the malware – silently waiting in the background up to that point – could then step in and provide its own version of the login page.

Co bychom tedy měli my (i Štěpánka) dělat, abychom odevzdání svých údajů předešli? Kromě dodržování zásad předcházejících phishingu je dobré kontrolovat v adresním řádku, zda se skutečně nacházíme na věrohodné stránce a nezanedbávat pravidelné antivirové kontroly. Tam, kde je to možné, se také vyplatí mít nastavené dvoufaktorové ověřování při přihlašování do dané webové aplikace. So what should we (and Štepánka) do to prevent handing over our personal data? In addition to following best practices in preventing phishing, it's always a good idea to check the address bar to verify that we really are on a trusted site. Where possible, it's also a good idea to enable two-factor authentication. And don’t forget about regular virus scans!

Spear-phising

Jana, 24 letyears

EkonomkaEconomist

Spear-phishing lze nazvat sofistikovanějším bratrem phishingových technik. V čem spočívá jeho zákeřnost? To zakusí začínající ekonomka Jana... Každý z nás patří pracovně do určité skupiny s konkrétními právy a specifickými přístupy. Nejčastěji útočníky vyhledávanou skupinou jsou pracovníci, kteří manipulují s peněžními prostředky a vysoce citlivými daty. A právě Jana spadá do této skupiny. We can think of spear-phishing as the more sophisticated sibling of phishing techniques. What makes it so insidious? Budding economist Jana is about to find out... Each of us belongs to a specific group with certain rights and certain approaches. The group most often targeted by attackers are workers responsible for handling funds and highly sensitive data. Jana falls into this group.

Do pracovní e-mailové schránky jí denně přichází několik desítek zpráv. Dnes se mezi nimi objevila i zpráva, jež nesla název „Kalendář plánu mezd listopad“. Stručná zpráva mimo tohoto popisu obsahovala také odkaz, který vybízel k otevření dokumentu na příslušné adrese. Po kliknutí na odkaz se Janě na obrazovce objevila učebnicová phishingová stránka, která se snažila napodobit jednotné přihlášení do univerzitního systému She receives several dozen messages a day in her work e-mail inbox. Today, one of them was entitled "November Payroll Calendar". In addition to that description, the brief message also contained a link encouraging her to open the document at the given address. Upon clicking the link, Jana's screen displayed a textbook phishing page attempting to mimic the single sign-on page of the university’s school system <school-specific>. Ve chvíli, kdy by Jana tento formulář vyplnila, její přihlašovací údaje by putovaly přímo do rukou útočníka, který je může libovolně zneužít.Had Jana filled out this form, her login credentials would go directly into the hands of an attacker who could abuse them at will.

Proč měla Jana tendenci tento e-mail otevřít? Souvisel totiž přímo s její pracovní náplní, a právě na to útočníci sázeli. Mimo to se také mezi dalšími pracovními e-maily poměrně dobře zamaskoval. Co mohla Jana udělat, aby se ujistila, že něco není v pořádku? A čím se můžete řídit i vy? Why did Jana have the urge to open this e-mail? Because it was directly related to her job, and that's what the attackers were banking on. Besides, it was also fairly well disguised among other work e-mails. What could Jana have done to help her notice something was wrong? And what can you do?

I přes věrně působící vizuální identitu si vždy důkladně prohlédněte adresní řádek. Je všechno v pořádku? V každodenní rychlé pracovní rutině nezbývá tolik času na kontrolu každého detailu v e-mailu nebo na webu. Kontrola adresního řádku se však vždy vyplatí. Despite a convincing visual identity, always take a closer look at the address bar. Is everything in order? In the fast-paced daily work routine, there's not much time to check every detail in an e-mail or on the web. However, checking the address bar is always worthwhile.

<school specific> Jednotné přihlášení MUNI bude mít vždy podobu id.muni.cz. Každá, byť drobná změna webové adresy indikuje podvržený web. A nezapomeňte – obdržené podezřelé e-maily i již vyplněné phishingové formuláře vždy nahlašujte. The MUNI single sign-on page will always be located at id.muni.cz. Any change of the web address, no matter how minor, indicates a fraudulent website. And don't forget – always report suspicious e-mails received and phishing forms already filled out.

Víte, že... pokusů o útok na principu spear-phishingu existuje celá řada? Ty nejzákeřnější nalezneme pod označením business e-mail compromise (BEC). Útoky BEC jsou charakteristické tím, že mají za cíl získat citlivé údaje od osob, které se v rámci hierarchického žebříčku firem zabývají nejčastěji činnostmi souvisejícími s penězi. Útočníci se v tomto případě vydávají za významné představitelé firem i VVŠ a pod maskou nadřízených rozesílají zaměstnancům podvodné e-maily s žádostí o uhrazení faktury po splatnosti či příkazu rychlého převodu peněz apod. Pachatelé často provádějí solidní množství průzkumů a pečlivě identifikují role ve společnosti. Zjišťují si, kdo jsou v dané společnosti účetní, manažeři, ředitelé... Dělají prostě vše pro to, aby obsah zaslaných e-mailů co nejvíce odrážel prostředí instituce na kterou cílí. Did you know? There are several kinds of attacks falling under the umbrella of spear-phishing. Among the most insidious ones are attacks known by the name business e-mail compromise (BEC). BEC attacks aim to obtain sensitive data by usually targeting individuals responsible for financial affairs within the company. The attackers tend to impersonate important company representatives or school officials, abusing this authority to send out all sorts of payment orders. The perpetrators often conduct a solid amount of research, making themselves familiar with the company’s hierarchy and identifying individual roles – exactly who the directors, managers or accountants are. They simply do everything they can to ensure that the messages they send reflect the environment of the target institution as closely as possible.

Smishing

Radek, 47 letyears

Studijní referentStudy officer

Radek pracuje jako studijní referent na univerzitě již více něž 17 let, během této doby už se dobře naučil, že do e-mailové schránky občas přistávají zprávy, které mají nekalé úmysly. Proto si dává pozor a vzorně je nahlašuje. Co ale Radek netuší je, že útočníci se vyvíjejí a jejich útoky mohou cílit i na jiná zařízení. Dnes ráno totiž Radkovi přišla na služební telefon SMS zpráva, kde se psalo, že univerzitní covid-semafor přechází na červenou a ať se urychleně přes přiložený odkaz přihlásí do Informačního systému své univerzity a neprodleně obeznámí se situací všechny své kolegy na pracovišti. A co se v takové situaci stane? Úplně to samé jako u podvodného phishingového e-mailu, Radek dobrovolně odevzdal své údaje útočníkům, a ještě rozšířil poplašnou zprávu mezi své kolegy. Radek has been working as a study officer at the university for more than 17 years. During this time, he has learned well that messages with sinister intentions sometimes land in his e-mail inbox. That’s why he is being careful and always reports them in an exemplary manner. What Radek doesn't know is that attackers are evolving and their attacks can target other devices as well. This morning, Radek received a text message on his work phone saying that the university's covid-semaphore was turning red. The message further invited him to log into the information system using the attached link and immediately inform all of his colleagues. And what happens in such a situation? Just like with a phishing e-mail, Radek voluntarily handed over his data to the attackers, and even spread the false alarm among his co-workers.

Tento typ útoku se nazývá Smishing. Jak i název napovídá, jedná se o phishing proveden prostřednictvím SMS zprávy. A může přijít i v mnohem atraktivnější formě, například doručovací SMS od dodávky jídla nebo jako výhra mobilního telefonu. Jak se této metodě sociálního inženýrství bránit? This type of attack is called Smishing. As the name suggests, it is phishing executed via an SMS message. And it can also come in a much more attractive form, such as a food delivery confirmation or an unexpected new phone won in a contest. How to defend against this method of social engineering?

Neposkytujte svá telefonní čísla na volně dostupných místech, pokud to není nutné. Na příchozí SMS zprávu neodepisujte a na dané číslo rozhodně nevolejte.Don't give out your phone numbers in public places unless necessary. In case you receive a suspicious SMS message, do not reply and definitely do not call the number.

Neklikejte na přiložený odkaz v SMS zprávách dříve, než si ověříte identitu odesílatele, pokud je to možné. Ověření lze provést skrze sociální sítě, nebo můžete zkusit telefonní číslo zadat do prohlížeče a přečíst si recenze. Never click any attached link before verifying the identity of the sender (if possible). Verification can be done through social media, or you can try typing the phone number into your browser and reading the reviews.

Máte-li podezření, že nemá příchozí zpráva zrovna nejčistší úmysly, neváhejte ji nahlásit svému zaměstnavateli, a v případě univerzity kompetentní osobě či přímo kyberbezpečnostnímu týmu.If you suspect that an incoming message doesn't have the purest of intentions, don't hesitate to report it to your employer. In the case of university, report to the appropriate person or directly to the cybersecurity team.

Vishing

Markéta, 36 letyears

Členka nadačního fonduMember of an endowment fund

Po náročném pracovním dni se Markéta konečně těšila na poklidnou chvilku čtení před spaním. V tu chvíli jí ale začal bzučet telefon s neznámým číslem svítícím na displeji. Markéta v rozhořčení hovor přijala, než ale stačila dotyčnému důrazně vysvětlit, že v takto pozdní hodinu je velmi nezdvořilé komukoliv volat, představil se jí profesionálně znějící hlas a začal na Markétu rychle naléhat. Byl prý napaden bankovní účet nadačního fondu, který spravuje, jedná se zásadní bezpečnostní problém a pro zajištění účtu potřebují o Markéty okamžitou spolupráci, ideálně aby pracovníkovi ihned sdělila přihlašovací údaje do bankovnictví, včetně PINu.After a hard day's work, Markéta was looking forward to a well-deserved moment of reading before bed. Out of the blue, her phone started buzzing, showing an unfamiliar number on the screen. Being irritated, Markéta picked up the call, but before she had a chance to clearly explain how she feels about being bothered at this hour, a professional-sounding man promptly introduced himself and began to exert pressure on her. He explained that the bank account of the foundation, an account she’s responsible for managing, had been hacked. It’s a major security incident and they need Markéta's immediate cooperation to secure the account, ideally to give the employee her banking login details, including her PIN, right away.

Markéta byla chvíli přirozeně zmatená a vyděšená, velmi rychle si ale uvědomila, že se musí jednat o podvodný telefonát, přihlašovací údaje se přeci nikdy nikomu nesdělují, natož PIN. Markéta měla pravdu, stala se totiž obětí Vishingu – voice-phishingu, tedy techniky podobné phishingu využívající ovšem pro přesvědčení oběti místo e-mailu podvodný hovor.Markéta was naturally confused and frightened for a moment, but she quickly realized that it must be a scam, since one should never disclose their login details to anyone, let alone a PIN. Markéta was right, she has fallen victim to Vishing – voice-phishing, a technique similar to phishing that uses a voice call instead of an e-mail to convince the victim.

Hned jak si Markéta uvědomila, v jaké situaci se nachází, žádné údaje podvodníkovi nesdělila a hovor urychleně ukončila. Co bychom ale v podobné situaci my i Markéta měli dělat dál? V ideálním případě si poznamenat číslo, z kterého nám bylo voláno, čas, kdy nám bylo voláno a jaké údaje chtěl útočník vědět. S těmito údaji je vhodné se poté obrátit na policii, které mohou výrazně pomoci při dopadení pachatele a zabránění dalších podobných pokusů, které nemusí skončit tak dobře, jako Markétin příběh. As soon as Markéta realized the situation she was in, she ended the call quickly without giving any information to the scammer. But what are the next steps in a similar situation? Ideally, note down the calling number, the time we were called and what kind of information the attacker was after. With these details it is then advisable to contact the police, who can greatly assist in catching the perpetrator and preventing further similar attempts – which may not end as well as Markéta's story.

Pretexting

Lukáš, 19 letyears

Nový studentA Freshman

Začátek studia na univerzitě dokáže být extrémně stresující a takto ho také vnímá Lukáš, který nastupuje do prvního ročníku. Každý den mu chodí e-maily a upozornění, které ho informují o více i méně důležitých událostech z akademického světa, schránku postupně zaplavují všemožné pozvánky, instrukce a žádosti. Když tedy Lukášovi přišel e-mail, ve kterém ho „IT podpora MUNI“ žádala o zaslání hesla do informačního systému pro ověření studentovy identity, zpočátku se nad ním příliš nepozastavoval, podobných starostí měl mnoho a přidal ho pouze na pomyslnou hromádku úkolů, které je potřeba splnit.Starting university studies can be extremely stressful and Lukáš, who is just entering his first year, couldn’t agree more. Every day he receives e-mails and notifications about more and less important events in the academic world. His inbox is gradually flooded with all kinds of invitations, instructions and requests. So when Lukáš received an e-mail in which "MUNI IT support" asked him to send his information system password for verification purposes, at first he didn't think much of it. He had to deal with many similar tasks, this just landed on the top of an imaginary pile of tasks to be completed.

Když se pak ale k žádosti dostal podrobněji, uvědomil si, že sdělovat neznámému člověku, byť se podepíše jako správce systému, přes elektronickou poštu přístupové údaje, není v těchto situacích obvyklý postup. Zprávu si proto důkladněji prohlédl a při porovnání s jinými e-maily z univerzity zjistil, že adresa odesílatele má jiný tvar než obvykle, rozhodl se proto své údaje nezasílat. Later, when he went about dealing with this request more thoroughly, he realized that disclosing login credentials to a stranger via e-mail is not the usual course of action in such situations – even if that person is signed as a system administrator. He examined the message more closely and found that, compared to other e-mails from the University, the sender address was in a different format. Therefore he decided to ignore the message.

Toto rozhodnutí Lukáše ochránilo před technikou sociálního inženýrství, kterou nazýváme Pretexting. Spočívá v tom, že si útočník vymyslí přesvědčivý příběh nebo scénář. Ten pak využívá při komunikací s vyhlédnutou obětí, kterou se snaží přesvědčit, aby spolupracovala a například, jako se tomu stalo v Lukášově případě, zaslala své přístupové údaje k různým účtům. This decision protected Lukáš from a social engineering technique we call Pretexting. It involves the attacker making up a convincing story or scenario and using it to communicate with the intended victim. The goal is to make them cooperate and – for example, as in Lukáš's case – disclose various login credentials.

Víte, že... pretexting může probíhat i ve fyzickém prostředí? Představte si následující situaci: přijdete na přednášku, posadíte se do zadních řad a otevřete si notebook. Za chvíli si k vám přisedne studentka, kterou osobně neznáte – ale zjevně chodíte na stejný předmět... Chvíli se zkouší přihlásit do sítě eduroam a za chvíli se obrátí na vás s tím, že se jí to nedaří a zda byste se nezkusili na jejím počítači přihlásit přes svoje údaje. Pomůžete jí? Did you know? Pretexting can also take place in a physical environment? Imagine the following situation: You come to a lecture, sit in one of the back rows and open your laptop. Several minutes pass, and a student you don't know personally (but you’re obviously in the same class) sits down next to you... She tries logging into eduroam for a while, but it fails every time. Finally, she gives up and turns to you for help, asking if you could try connecting to the network using your credentials, on her computer. Would you help her?

Důležité je proto mít na paměti, že své přihlašovací údaje a hesla bychom nikdy neměli nikomu zasílat ani sdělovat jakýmikoliv komunikačními prostředky. Nápomocné je také při každém podezření na nekalost kontrolovat adresu odesílatele v hlavičce e-mailu. It is therefore important to remember that we should never send or disclose our login details and passwords to anyone by any means of communication. It is also helpful to check the sender address in the e-mail header whenever you suspect fraud.

Quid Pro Quo

Tereza, 26 letyears

LaborantkaLab Technician

Quid pro quo je technika, která může jednoduše nalézt své místo nejen v akademickém prostředí a jejíž důsledky málem zakusila laborantka Tereza. Tereza tráví mnoho času v laboratoři a svým experimentům a projektům je velice oddaná. Pečlivě si schraňuje data s nimi spojená a dbá o jejich bezpečnost, jelikož se mnohdy jedná o citlivé údaje. Jednoho dne jí ovšem přišla zpráva, ve které ji spřátelené výzkumné středisko žádá o zaslání dat z výzkumu, a to výměnou za peněžní odměnu. Středisko ve zprávě přesvědčivě argumentovalo, data prý plánuje využít pro rozšíření Terezina výzkumu o nové metody. Zasláním dat by tedy Tereza prý přispěla i k posílení vztahů mezi pracovišti, vzniku nových poznatků a rozvoji vědního oboru jako takového. Quid pro quo is a technique that can easily find its place even outside the academic environment, and a lab technician named Tereza was close to feeling its consequences. Tereza spends a lot of time in the lab and is fully dedicated to her experiments and projects. She carefully stores her data and results and takes good care of their security, as oftentimes the data is of sensitive nature. One day, however, she received a message from an affiliated research center, asking her to forward her research data in exchange for a monetary reward. They were quite persuasive, too – pointing out how they planned to use the data to extend Tereza's research with new methods. By sharing the data, Tereza would also contribute to the strengthening of relationships between the departments, the creation of new knowledge and the advancement of her field of research as a whole.

Přestože nabídka na první pohled zněla lákavě, Tereza si při čtení všimla podivné adresy, ze které zpráva přišla a brzy si uvědomila, že nejspíš obdržela podvodný e-mail a nejedná se o žádnou skutečnou žádost. Spojila se tedy skrze jiný komunikační kanál s údajným spřáteleným střediskem a skutečně – žádnou podobnou nabídku výzkumné pracoviště nezasílalo. Although the offer sounded tempting at first glance, Tereza noticed the message came from a rather strange address and came to the conclusion it was most likely a scam. She contacted the research center in question using a different communication channel and indeed – there was no offer and no reward to be claimed.

Ve skutečnosti si pouze na data brousil zuby útočník díky využití techniky Quid pro quo, která spoléhá na představení lákavé nabídky, často i se zmínkou finanční odměny. Tereze se ovšem v tomto případě díky zdravé obezřetnosti podařilo ochránit cenná výzkumná data před potenciálním zneužitím. In reality, an attacker was attempting to snatch the data by utilizing the quid pro quo technique, which relies on presenting an enticing offer, often with the mention of a financial reward. In this case, however, Tereza was able to protect valuable research data from potential misuse thanks to a healthy dose of caution.

Shoulder-surfing

Kristýna, 21 letyears

StudentkaStudent

Nechybělo mnoho a Kristýna se stala obětí Shoulder Surfingu, metody sociálního inženýrství, která se vám může stát prakticky kdekoli a kdykoli. Shoulder Surfing, jak napovídá sám název, je založen na odpozorování důležitých dat a informací (například PINu) z displeje zařízení svého uživatele. Doslova tedy stačí, aby se vám útočník koukal přes rameno a čekal na správnou chvíli. I takto může začínat kybernetický útok a Shoulder Surfing může představovat jen jeden střípek z mozaiky. Kristýna was rather close to becoming a victim of Shoulder Surfing – a method of social engineering that can happen to you virtually anywhere, anytime. Shoulder Surfing, as the name implies, is based on sniffing out important data and information (such as a PIN) from the display of its user's device. So the only thing an attacker needs to do is to literally look over your shoulder and wait for the right moment. It might also serve as the start of a bigger cyberattack scheme; Shoulder Surfing being just one piece of the puzzle.

Kristýna jednoho dne vyrazila městskou hromadnou dopravou do školy, jako téměř každý den, a rozhodla se zkontrolovat, jestli má v informačním systému již zapsanou známku za zkoušku. Tramvaj byla standardně přeplněná, ale Kristýna ukořistila místo k sezení. Když se přihlašovala, vůbec nezpozorovala podivného člověka za zády, kterému se přímo nabízel pohled do jejího přihlašovacího formuláře. Jak předejít podobné situaci? Kristýna took public transport to school one morning, as she did almost every day. On the tram, she decided to check if her exam grade had already been entered in the information system. The tram was crowded as usual, but Kristýna had snagged a seat. While logging in,, she didn't even notice the strange man behind her, who had a ringside view of her screen as she was entering her password. How do we avoid a similar situation?

Kristýna měla to štěstí, že zvolila dostatečně silné heslo, které nemohl útočník odpozorovat. Příště by měla ale dbát také na okolí a například si stoupnout zády ke stěně tramvaje, nebo ještě lépe využívat správce hesel, který heslo vyplní automaticky za ní. No a samozřejmě i zde platí, že pokud je to možné, měla by využívat 2FA. Luckily for Kristýna, she had set up a strong enough password and the attacker couldn’t keep up and memorize it. Next time, however, she should mind her surroundings and, for example, stand with her back against the tram wall. Or better yet, use a password manager that will automatically fill in the password for her. And of course, the benefits of enabling 2FA apply here as well.

Pozor! Minimalizujte manipulaci se svými citlivými údaji na veřejných místech. Internetové bankovnictví si raději zkontrolujte doma a pracovní e-maily jistě počkají do kanceláře. Stejně tak přihlašování do dalších univerzitních systémů a aplikací by mělo probíhat pouze v práci nebo s dostatečnou ochranou pro distanční přístup (např. VPN Attention! Handling of your sensitive data in public places should be kept to a minimum. Check your online banking at home, and your work e-mails can certainly wait for the office. Similarly, logging into other university systems and applications should only be done at work or with sufficient protection for remote access (e.g. VPN <school-specific: odkaz na návod k VPN>) – nikoliv například na veřejných WiFi v kavárnách. Problematické je také vyřizování pracovních věcí na cizím počítači či na počítači, kde je aktuálně přihlášen někdo jiný. ) – not, for example, on public Wi-Fi in cafes. Handling work-related affairs on someone else's computer

Všechna tato doporučení platí nejen pro Shoulder Surfing, ale také pro ochranu vašeho soukromí jako takovou, a to i mimo kyberprostor. Soukromí bychom si všichni měli vždy pečlivě chránit.All of these recommendations apply not only to Shoulder Surfing, but also to protecting your privacy as a whole, even outside cyberspace. We should all take care to protect our privacy at all times.

Sniffing

Mikuláš, 47 letyears

Pracovník nakladatelstvíUniversity Press employee

Práce v univerzitním nakladatelství zahrnuje poměrně hodně papírování a korespondence, zejména pak na pozici marketingu a PR. Mikulášovi papírování nevadí, s čím si ale moc nerozumí, je nový e-mailový klient doporučovaný univerzitou. Uživatelské prostředí je pro něj neintuitivní, zbytečně komplikované a obecně nepřívětivé. Na internetu ovšem při brouzdání narazil na krásně vypadající aplikaci, která slibovala jednoduchý a mnohem přehlednější přístup k poště. A tak estetické prostředí! Mikuláš se zaradoval a aplikaci ihned nainstaloval na svůj pracovní počítač. Working in university press involves quite a lot of paperwork and correspondence, especially in a marketing and PR role. Mikuláš doesn't mind the paperwork, but he’s not a huge fan of the new e-mail client recommended by the university. He finds the user interface nonintuitive, unnecessarily complicated and unfriendly in general. However, while surfing the internet, he came across a neat looking app promising a simple and much cleaner approach to mail. And with such an aesthetically pleasing interface! Mikuláš was delighted and immediately installed the application on his work computer.

Na pracovním večírku se pak svým řešením pochlubil kolegovi z IT oddělení. Jaké bylo jeho překvapení, když mu kolega důrazně doporučil, aby aplikaci ihned odinstaloval a vrátil se ověřenému klientovi. Jednalo se totiž o aplikaci využívající zastaralý protokol pro stahování pošty, a tedy aplikaci náchylnou ke zneužití pomocí Sniffingu. At a work party, Mikuláš casually bragged about his discovery to a colleague from the IT department. To his surprise, the colleague strongly advised him to uninstall the application immediately and stick with the verified client. Apparently, the app was using an outdated protocol to download e-mail, therefore being vulnerable to Sniffing.

Při využití této techniky útočníci nasadí do sítě program, který dokáže „odposlouchávat” všelijaké informace, které sítí prochází. Podobným způsobem jako když policie v detektivkách napíchne telefonní linku, aby mohla následně dopadnout pachatele. Stejně jako v Mikulášově příběhu, při obraně proti Sniffingu se tedy jistě vyplatí poslechnout svého kolegu z IT a využívat vždy pro pracovní záležitosti ověřený software doporučený či zprostředkovaný samotnou univerzitou. When using this technique, the attackers plant a piece of software in a network, able to “eavesdrop” on all sorts of information passing through that network – just like when the police in a crime thriller tap a phone line in order to catch the perpetrator. So, as in the story of Mikuláš, when trying to protect oneself against sniffing, it is certainly worth listening to one’s IT colleague: For dealing with work-related matters, one should stick to using verified software, recommended or facilitated by the university itself.

Tailgating

Michal, 28 letyears

VýzkumníkResearcher

Že se sociální inženýrství a kybernetické útoky netýkají jen našich zařízení, e-mailových schránek nebo třeba serverů se dnes na vlastní kůži přesvědčí výzkumník Michal. Při rušném pondělním ránu Michal vchází do oddělení svého pracoviště, a sotva pípne kartičkou u vstupu, volá na něj pohledná mladá žena. „Pustíte mě prosím? Nechala jsem si kartičku doma.“ Michal prosbě gentlemansky vyhoví a slečně při vstupu ještě přidrží dveře. Na univerzitě pracuje pouhé dva měsíce, takže ještě nemá úplně přehled o všech svých spolupracovnících. Zatím ještě netuší, že slečnu už nikdy neuvidí... Co Michal netuší zcela určitě je, že se právě stal obětí takzvaného Tailgatingu, který může mít nedozírné následky. Jak že se to mohlo stát? Today, a researcher named Michal is about to learn the hard way that social engineering and cyber-attacks are not just about our devices, e-mail inboxes and servers. On a busy Monday morning, Michal walks into his department, and as soon as he uses his entrance card to open the door, an attractive young woman calls out to him. "Will you let me in, please? I left my card at home." Michal complies with the request in a gentlemanly manner and as the lady enters, he even holds the door for her. It has only been two months since he started working at the university, so he still lacks a full picture of all his colleagues. He doesn't know yet that he will never see this woman again… What just happened? Michal had just fallen victim to so-called Tailgating, and the consequences could be unfathomable.

Tailgating je metodou sociálního inženýrství, která využívá situace především ve velkých organizacích. Tato pracoviště často charakterizuje to, že se všichni zaměstnanci mezi sebou neznají. Hůře se jím tedy rozlišuje, kdo v tomto zázemí opravdu pracuje. A právě na to útočníci sázejí. Pro úspěch takového útoku pak stačí působit dostatečně sebejistě a v ideálním případě oběť rozptýlit. Jakmile se útočník dostane na pracoviště s omezeným přístupem, může způsobit spoustu potíží. Od ukradení dat z nezašifrovaného disku po nasazení škodlivého kódu do zařízení vedoucího pracovníka. Jak se proti Tailgatingu může Michal i vy bránit? Tailgating is a social engineering method that is best targeted at organizations of larger size. These workplaces are often characterized by the fact that it’s impossible for all employees to know each other. It is therefore harder to distinguish who really works in a workplace, and this is exactly what attackers are banking on. To succeed in such an attack, it is enough to appear confident and ideally distract the victim. Once an attacker gets into a workplace with restricted access, they can cause a lot of trouble – from stealing data from an unencrypted drive to planting malicious code onto an executive's device. How can both Michal and yourself defend against Tailgating?

Pozor! Pokud se setkáte s někým, koho neznáte a tvrdí, že zapomněl ID kartu či klíče, pokuste se danou osobu prověřit například na vrátnici. Rozhodně ale nikdy nepouštějte neznámé osoby přímo na svá pracoviště. Beware! If someone you don't know approaches you, claiming to have forgotten their ID card or keys, try to verify the person at the reception, for example. But never just let strangers right into your workplace, no questions asked..

Pokud vstupujete do prostoru s omezeným přístupem, používejte vždy pouze své identifikační karty a klíče. Zároveň je nikdy nezapůjčujte jiným osobám, a to ani kolegům. A na závěr k zamyšlení – nepouštěli jste v poslední době někoho cizího na své pracoviště? If you’re entering a restricted area, always use only your own identification cards and keys. At the same time, never lend them to others – not even colleagues. And finally, something to think about: Have you let a stranger into your workplace lately?

Trashing

Lenka, 43 letyears

Mzdová účetníPayroll accountant

Lenka, která pracuje na personálně-mzdovém oddělení při úřadu většího města, nastoupila do nové práce před třemi měsíci. Minulý týden se jí do denní agendy dostal úkol – vystavit zápočtový list zaměstnanci, který odchází. Lenka tedy vše připravila, ale při předání si zaměstnanec všiml drobného překlepu ve svém příjmení. Lenka tedy připravila nový zápočtový list a ten starý hodila v rychlosti do koše. Za pár dnů začala kopie tohoto zápočtového listu putovat po internetu. Ukázalo se, že zápočtový list obsahuje velmi citlivé údaje, které by nikdo z nás nechtěl veřejně sdílet. Například, jestli se ze mzdy prováděly nějaké soudem nařízené srážky. Lenka, who works in the personnel and payroll department of a larger city office, started her new job three months ago. Last week, she was given the task of issuing an employment record to a departing employee. Lenka prepared everything, but when handing it over, the employee noticed a small typo in his last name. Lenka prepared a record and swiftly threw the old one into the trash. A few days later, a copy of the employment record began circulating on the Internet, which is bad news, since it contained very sensitive information none of us would want to share publicly. For example, whether there were any court-ordered deductions imposed upon his salary.

Co se tedy stalo? Lenka okamžitě dostala podezření na škodlivý software ve svém počítači. Vysvětlení je však mnohem více prosté. Takzvaný Trashing je technika sociálního inženýrství, kde útočník zkouší získat informace mezi vyhozeným smetím z kanceláří. Ano, čtete správně. Takto se zápočtový list dostal na internet, odkud už ho pravděpodobně nikdy nikdo nesmaže. Jak se tedy bránit proti Trashingu? What happened here? Lenka immediately suspected malware on her computer, but the truth is simpler. So-called Trashing is a social engineering technique where an attacker tries to gather information by literally going through the office thrash. Yes, you read that correctly. That's how the credit report got online, where it will probably remain forever. So how can you defend against Trashing?

Nejúčinnější metodou je prevence. Útočníci dokážou být velmi obratní při pokusech o získání citlivých údajů a informací, zvlášť jedná-li se o vytipovanou oběť. Pamatujme tedy, že odpadkové koše nejsou černé díry. I v případě, kdy dokument jen ručně roztrháte nebo rozstříháte, obratný útočník si poradí. Svěřte tedy nepotřebné dokumenty raději skartovačce. The most effective method is prevention. Attackers can be very adept at their attempts to obtain sensitive information, especially if the victim was directly targeted. So let's keep in mind that trash cans are not black holes. Even if you just tear or cut a document by hand, a skilful attacker can still manage. All of your unwanted documents should end up in the shredder.

A na závěr...In conclusion...

Techniky sociálního inženýrství mohou být v kyberprostoru – a částečně i mimo něj – každodenní hrozbou pro každého. Některé možné scénáře jsme vám představili, jejich hlavní účel ale spočívá v názorných ukázkách, jak kreativní útočníci dokážou být a také, že nikoho nešetří. Pojďme si to celé shrnout. Toto jsou základní kroky, jak se preventivně bránit před technikami sociálního inženýrství, které lze snadno aplikovat do našeho každodenního života: Social engineering techniques can be an everyday threat to everyone in cyberspace, and to some extent, beyond. We've presented some possible scenarios, but their main purpose is to illustrate how creative attackers can be, and also that they spare no one. Let's recap. These are some basic rules that protect us against social engineering techniques, and they can be easily applied to our daily lives:

Na co nezapomenout ze čtvrtého modulu?
Vždy ověřujte adresu odesílatele zprávy a adresní řádek na webu.
Neotvírejte e-maily a přílohy z podezřelých zdrojů.
Mějte nainstalován antivirový program a udržujte jej aktualizovaný.
Nikdy nezapojujte a nevkládejte externí nosiče, u kterých si nejste jisti původem a obsahem.
Minimalizujte manipulaci se svými citlivými údaji na veřejných místech.
Nepůjčujte své identifikační karty a klíče žádným osobám, dokonce ani kolegům.
What should you remember from module 4?
Always verify an e-mail’s sender address, as well as the address bar in your browser.
Do not open e-mail and attachments from suspicious sources.
Have an antivirus program installed and keep it updated.
Never plug in or insert external media whose origin and content you’re unsure of.
Minimize the handling of your sensitive data in public places.
Do not lend your identification cards and keys to anyone, not even colleagues.

Pozor! Co dělat, když se něco pokazí? V případě, že došlo k bezpečnostnímu incidentu nebo máte podezření, že mohlo být narušeno vaše kyberbezpečí, obracejte se na Attention! What to do in case something goes wrong? In case of a security incident, or if you suspect your online safety might have been compromised, reach out to <school-specific>.