Što je socijalni inženjering i korporativna špijunaža?

Korporativna špijunaža ili industrijska špijunaža je postupak pridobivanja tajnih informacija od naših poslovnih konkurenata, a provodi se iz ekonomskih razloga i radi stjecanja prednosti nad poslovnom konkurencijom.

Jedan od današnjih načina špijunaže uključuje pridobivanje informacija pomoću društvenih mreža.  Kad se Web 2.0 fenomen prvi put prihvatio od strane samih korisnika, mnogi su smatrali da predstavlja trošenje korisnog vremena.

Organizacije su bile zabrinute za potrošeno vrijeme unutar tvrtke jer bi se zaposlenici prijavljivali u takve web stranice i opterećivali bandwidth tvrtkine mreže ili što je još gore, otkrivali tajne informacije.

Takvi stavovi danas se smatraju prošlošću, jer su tvrtke široko prihvatile korištenje društvenih mreža. One danas uobičajeno koriste blogove i sve više prihvaćaju društvene mreže da bi proširile i podijelile informacije sa korisnicima.

Možemo reći da današnji poslovni svijet teško može ignorirati ovakvu činjenicu. No korištenje društvenih mreža i dalje nosi sa sobom određene opasnosti otkrivanja tajnih informacija.

Što je socijalni inženjering?

Socijalni inženjering predstavlja skup različitih  načina napada koje često koriste hakeri da bi zaobišli sigurnosne mehanizme mreže i dobili pristup osjetljivim podacima tvrtke – ne koristeći tehnologiju, nego same zaposlenike.

Hakeri pribjegavaju ovom načinu napada ako je tvrtkina mreža vrlo dobro zaštićena, tj. ako nisu pronašli način da upadnu u mrežu pomoću standardnih načina napada. Oni tada pokušavaju prikupiti što je više moguće podataka i informacija o samoj tvrtki i zaposlenicima, koncentrirajući se na individualne ranjivosti samih zaposlenika.

Napadi socijalnim inženjeringom koristeći društvene mreže su rastući i često podcijenjen rizik prema tvrtkinoj IT infrastrukturi. Podaci se obično prikupljaju suptilno i postepeno, dio po dio. Ovdje društvene mreže mogu predstavljati vrlo važan alat u organiziranom napadu na tvrtku.

Potrebno je nešto malo informacija da se učlanimo u društvene mreže kod kojih je obično sam nivo postavki privatnosti zanemaren, a prag za dobitak informacija vrlo nizak. Na primjer, na pretrazi društvenih mreža možemo lako pronaći listu zaposlenika neke tvrtke koja bi mogla biti korisna u slučaju napada na tvrtku socijalnim inženjeringom.

Ovakva ranjivost je specifična za društvene mreže jer možemo vidjeti i veze između zaposlenika. Također na društvenim mrežama mogle biti se nalaziti i informacije o dioničarima tvrtke sa kojima tvrtka posluje.

Ako zaposlenik objavi osjetljive informacije kao što je, na primjer, njegova pozicija unutar tvrtke, to bi moglo predstavljati ozbiljan sigurnosni problem. Isto tako, objava informacija o IT infrastrukturi kao što su mrežne mape, često je viđena stvar kod tehničkog blogganja ili po diskusijskim forumima na mreži, ali i na društvenim mrežama.

Za mnoge tvrtke, ideja kontroliranja posjećivanja društvenih mreža jednostavnim stavljanjem blokade na takve stranice je nepraktična. Potrebne su mnogo suptilnije kontrole, kao što su praćenje određenih vrsta informacija koje prolaze izvan tvrtke, ali i sama edukacija zaposlenika.