Генезис криминальной социальной инженерии

Аннотация

The article discusses the main definitions, as well as the stages of development of the concept of “social engineering”. It is determined that at different historical stages the essence of this concept underwent a change under the influence of various factors, respectively, the scope of the concept gradually changed and expanded. It is established that social engineering consists in the use of various technologies that allow an attacker to organize an illegal intrusion into an information system and seize the necessary digital information. It is argued that socioengineering attacks have become so complex that they can be compared in terms of the degree of implementation with technical types of attacks. Keywords: social engineering, attacker, socioengineering attack, phishing, cybercrime, criminal law, cyberattack Введение. На современном этапе ключевым фактором обеспечения рабо- ты любой компании выступает информационная безопасность. Информационная безопасность – это защита информации от широкого спектра угроз в целях обе- спечения устойчивости и работоспособности бизнеса, минимизации бизнес-ри- сков и максимизации прибыли [1]. В этой связи руководству компаний необходи- мо регулярно инвестировать в технологии информационной безопасности, так как злоумышленники постоянно анализируют возможности организации информаци- онной защиты крупных и средних организаций с целью получить несанкциониро- ванный доступ к тому или иному массиву информационных данных. 24 Специальные вопросы регулирования и охраны цифровых технологий Специальные вопросы регулирования и охраны цифровых технологий Special issues of regulation and protection of digital technologies Special issues of regulation and protection of digital technologies Однако необходимо учитывать, что не только посредством организации эф- фективной системы информационной защиты можно обезопасить конфиденци- альные данные. Достаточно важно обеспечить такую защиту и с учетом челове- ческого фактора, который считается самым слабым звеном в информационной системе и в системе безопасности [2]. Одной из основных угроз информационной безопасности организации явля- ется рост числа инцидентов, связанных с применениями социоинженерных техно- логий – криминальной социальной инженерии. Социальная инженерия заключена в применении различных социальных технологий, позволяющих социальному инженеру организовать незаконное втор- жение в информационный массив жертвы [3]. Данная технология позволяет из- бежать технических манипуляций, связанных со взломом системы безопасности. Основная часть. Уже к концу 2007 года методы социальной инженерии ши- роко использовались инсайдерами для совершения электронных преступлений, при этом пользователи, выступившие «проводниками» к данным, не до конца осознали свою роль в этом процессе. Согласно Оксфордскому словарю английского языка, термин «социальная инженерия» имеет два различных значения [4]. Во-первых, это «использование централизованного планирования в попытке управлять социальными изменения- ми и регулировать будущее развитие и поведение общества». Во-вторых, это «ис- пользование обмана для того, чтобы побудить человека разгласить частную или другую информацию и невольно обеспечить несанкционированный доступ к ком- пьютерной системе или сети». В обоих определениях имеет место индивид, который индуцирует поведение со стороны других, однако, если первое определение чаще может использоваться в области политического и экономического управления, то второе используется исключительно в сфере киберпространства. Следующие определения социальной инженерии иллюстрируют, что не су- ществует единого, широко принятого определения. В частности, данное понятие в разных источниках определяется следующим образом: – «социально-психологический процесс, с помощью которого индивид мо- жет получить информацию от человека о целях организации» [5]; – «вид нападения на человеческий элемент, в ходе которого нападающий психологически склоняет потерпевшего разглашать информацию» [6]; – «использование социальных маскировок, культурных уловок и психологиче- ских трюков, чтобы заставить пользователей компьютеров помогать хакерам в их незаконном вторжении или использовании компьютерных систем и сетей» [7]; – «искусство получения доступа к защищенным объектам путем использова- ния человеческой психологии без взлома информационной системы» [8]; – «атака, в которой злоумышленник использует человеческое взаимодей- ствие для получения информации об организации или ее компьютерной систе- ме» [9]; – «процесс, в котором злоумышленник пытается получить информацию о сети и компьютерной системе с помощью социальных средств» [10]; 25 Специальные вопросы регулирования и охраны цифровых технологий Специальные вопросы регулирования и охраны цифровых технологий Special issues of regulation and protection of digital technologies Special issues of regulation and protection of digital technologies – «метод обмана, используемый хакерами для получения информации или данных о компании» [11]; –