Cómo ingenieros sociales buscar información para hacks

Una vez que los ingenieros sociales tienen un objetivo en mente, por lo general iniciar el ataque mediante la recopilación de información pública sobre la víctima (s). Muchos ingenieros sociales a adquirir información lentamente con el tiempo para que no se levantan sospechas. Recopilación de información Obvio es un chivatazo al defender contra la ingeniería social.

Independientemente del método de investigación inicial, todo un hacker podría tener que penetrar en una organización es una lista de empleados, algunos números clave de teléfono interno, las últimas noticias de un sitio web de redes sociales, o un calendario de empresa.

Usa el Internet

A pocos minutos de buscar en Google u otros motores de búsqueda, usando palabras claves simples, como el nombre de la empresa o los nombres de los empleados específicos, a menudo produce una gran cantidad de información. Puede encontrar más información en los documentos presentados a la SEC en y en sitios tales como Hoover y Yahoo Finanzas. Mediante el uso de esta información los motores de búsqueda y navegación en el sitio web de la compañía, el atacante a menudo tiene suficiente información para comenzar un ataque de ingeniería social.

Los malos pueden pagar unos pocos dólares para un control integral de antecedentes en línea sobre los individuos. Estas búsquedas pueden subir prácticamente cualquier público - ya veces privada - información sobre una persona en cuestión de minutos.

Buzos Dumpster

Basurero de buceo es un poco más arriesgado - y ciertamente es desordenado. Pero, es un método muy eficaz de obtener información. Este método implica, literalmente, hurgando en los cubos de basura para obtener información sobre una empresa.

Basurero de buceo puede subir la información más confidencial porque muchos empleados asumen que su información está segura después de que se va a la basura. La mayoría de la gente no piensa en el valor potencial del papel tiran. Estos documentos a menudo contienen una gran cantidad de información que puede alertar a la ingeniería social con la información necesaria para penetrar en la organización. El ingeniero social astuto busca los siguientes documentos impresos:

• Listas de teléfonos internos

• Los organigramas

• Manuales para los empleados, que a menudo contienen políticas de seguridad

• Diagramas de red

• Listas contraseña

• Notas de reuniones

• Las hojas de cálculo e informes

• Las impresiones de los e-mails que contienen información confidencial

Destrozo de documentos sólo es eficaz si el papel es cruzada rallado en pequeños trozos de papel picado. Trituradoras de bajo costo que triturar documentos sólo en tiras largas son básicamente inútiles contra un ingeniero social determinado. Con un poco de tiempo y la cinta, un ingeniero social puede piece un documento nuevo juntos si eso es lo que está decidido a hacer.

Los malos también buscan en la basura de los CD-ROM y DVD, cajas de ordenadores antiguos (especialmente aquellos con discos duros siguen intactos) y cintas de respaldo.

Sistemas de teléfono

Los atacantes pueden obtener información mediante el uso de la función de marcación por nombre incorporado en la mayoría de los sistemas de correo de voz. Para acceder a esta función, por lo general sólo pulsa 0 después de llamar al número principal de la empresa o después de entrar en el buzón de voz de alguien. Este truco funciona mejor después de horas para asegurar que no responde.

Los atacantes pueden proteger su identidad si pueden esconder donde llaman desde. Aquí hay algunas maneras que pueden ocultar sus ubicaciones:

• Teléfonos Residenciales a veces puede ocultar su número de identificación de llamada marcando * 67 antes del número de teléfono.

  Esta característica no es eficaz cuando se llama a los números gratuitos (800, 888, 877, 866) o 911.

• Los teléfonos del negocio en una oficina con un interruptor de teléfono son más difíciles de falsificar. Sin embargo, todo el atacante normalmente necesita es la guía del usuario y la contraseña de administrador para el software del conmutador telefónico. En muchos interruptores, el atacante puede introducir el número de fuente - incluyendo un número falsificado, como el número de teléfono de la casa de la víctima. Voz sobre Protocolo de Internet (VoIP) sistemas de telefonía están haciendo esto no sea un problema, sin embargo.

• Servidores VoIP como el Asterisk de código abierto puede ser utilizado y configurado para enviar cualquier cantidad que quieran.

Phish e-mails

La última moda piratería criminal es suplantación de identidad - delincuentes envían correos electrónicos falsos a las víctimas potenciales en un intento de conseguir que divulguen información confidencial o haga clic en enlaces maliciosos. Phishing en realidad ha existido durante años, pero se ha ganado recientemente una mayor visibilidad dado algunas hazañas de alto perfil contra las organizaciones aparentemente impenetrables.

La efectividad del phishing es increíble, y las consecuencias son a menudo feo. Unos correos electrónicos bien colocados son todo lo que necesita para los criminales de recoger contraseñas, robar información confidencial, o inyectar el malware en equipos de destino.

Usted puede realizar su propio ejercicio de phishing. Un método rudimentario es la creación de una cuenta de correo electrónico falsos solicitando información o vincular a un sitio malicioso, enviar correos electrónicos a los empleados u otros usuarios que desea probar y ver qué pasa. Es realmente tan simple como eso.

Usted se sorprenderá de cuán susceptibles a los usuarios realmente son de este truco. La mayoría de las pruebas de phishing tienen una tasa de éxito del 10 a 15 por ciento. Puede ser tan alto como 80 por ciento. Dichos tipos no son buenas para la seguridad o para los negocios!

Un medio más formales para la ejecución de las pruebas de phishing es el uso de una herramienta hecha específicamente para el trabajo. Incluso si usted tiene una buena experiencia con proveedores comerciales, es necesario pensar mucho acerca de renunciar a la información potencialmente sensible que puede ser directa o inadvertidamente enviado fuera del sitio, para no ser controlado de nuevo.

Si usted va por este camino, asegúrese de comprender plenamente lo que está siendo divulgada a estos terceros phishing vendedores tal como lo haría con cualquier proveedor de servicio en la nube. Confiar pero verificar.

Una alternativa de código abierto a las herramientas de phishing comerciales es la simple Phishing Toolkit, también conocido como spt. La creación de un entorno de proyecto spt no es necesariamente sencillo, pero después de tener en su lugar, puede hacer cosas increíbles para sus iniciativas de phishing.

Usted tiene pre-instalado plantillas de correo electrónico, la capacidad de raspar (página copia de) viven sitios web para que pueda personalizar su propia campaña, y varias capacidades de informes para que pueda controlar que el correo electrónico a los usuarios toman el cebo y falta de pruebas.

Los ingenieros sociales pueden encontrar cosas interesantes de la información, a veces, como cuando sus víctimas son fuera de la ciudad, con sólo escuchar a los mensajes de correo de voz. Incluso pueden estudiar las voces de las víctimas por escuchar sus mensajes de voz, podcasts, o webcasts para que puedan aprender a hacerse pasar por esas personas.