14. nädal: Inimfaktor ja sotsiaalmanipulatsioon

Inimene on sageli IT-turvalisuse kõige nõrgem lüli. See võib kõlada karmilt, aga tõsiasi on, et ükskõik kui tugev on tulemüür, krüpteeringud või autentimissüsteemid, siis kui inimene teeb vea, võib kogu süsteem hetkega kokku variseda. Ründajad teavad seda väga hästi ja just seetõttu keskenduvadki nad sageli mitte niivõrd tehnilistele turvaaukudele, vaid inimesele endale. See lähenemine kannab nime sotsiaalmanipulatsioon (ingl social engineering) ja see tähendab, et rünnaku sihtmärgiks ei ole mitte arvuti, vaid inimese psühholoogia.

 

Paljud inimesed usuvad, et nad on liiga tavalised ja keegi ei vaevuks neid ründama ning ainult suured ettevõtted vajavad kaitset. Tegelikkuses ei huvita ründajat, kes sa oled, vaid kas temal on võimalik sinult midagi saada. Piisab sellest, kui sa töötad ettevõttes, millele rünnakut kavandatakse, või kui sul on ligipääs mõnele tundlikule süsteemile. 

Üks nutikas viis pääseda kinno, hotelli või kontorisse on maskeeruda kellekski teiseks. Kui inimene kannab näiteks ohutusvesti ja hoiab käes tööriistakasti või redelit, siis eeldatakse automaatselt, et tegemist on tehnikuga ning teda lastakse üldjuhul ilma pikema jututa sisse. Sellised olukorrad näivad pealtnäha tavalised ja tekitavad vähem kahtlust. Kuidas keegi reageerib, sõltub muidugi asutuse valvsusest. Mõnes kohas kontrollitakse hoolikamalt, teises aga võib märkamatult siseneda ilma et küsitaks, kes sa oled. Just nii sotsiaalmanipulatsioon töötabki: ründaja esitab end kas kellegi tuttavana või mingi muu spetsialistina, kes justkui peaks seal olema, esitab palju küsimusi, tekitab usaldust ja kasutab väikest hetkesegadust ära.

 

Mitnicki valem

Et end selliste manipulatsioonide eest kaitsta on abiks Mitnicki valem: tehnoloogia, koolitus, reeglid. Kui ükski neist kolmest lülist on nõrk, võib kogu turbesüsteem kokku variseda.

Pildil Kevin Mitnick

Tehnoloogia aitab, kuid ei lahenda kõike. Näiteks saab ligipääsu kaitsta kahe- või mitmetasemelise autentimisega, mis nõuab lisaks paroolile ka telefonikinnitust või biomeetrilist kinnitust. Samuti saab paigaldada jälgimissüsteeme, mis registreerivad kahtlased ligipääsud või annavad häire, kui keegi siseneb süsteemi ebatavalisel ajal või asukohast. Kuid isegi need vahendid ei pruugi aidata, kui ründaja pääseb süsteemi näiteks selle kaudu, et keegi jättis ukse lahti või logis sisse kellegi teise nime alt.

Seepärast mängib koolitus küberkaitses võtmerolli. Isegi parimad tehnilised lahendused jäävad jõuetuks, kui inimene ei oska neid õigesti kasutada. Kõige olulisem on teadlikkuse kasvatamine, et inimesed julgeksid kahelda, küsimusi esitada ja vajadusel “ei” öelda.

Lõpuks on oluline, et olemas oleks selged reeglid. Need ei ole loodud karistamiseks, vaid selleks, et töötajad teaksid täpselt, kuidas erinevates olukordades käituda. Kui on kindel juhis, et võõraid ei tohi kontorisse lasta, isegi kui nad tunduvad viisakad ja usaldusväärsed, on töötajal lihtsam keelduda ja oma otsust põhjendada.

 

Kokkuvõttes ei tähenda andmeturve ainult viirustõrjet ja tulemüüre. See tähendab mõistmist, et inimene on alati osa süsteemist. Inimeses peitub sageli suurim oht, aga ka suurim kaitse. Turvalisus eeldab, et tehnoloogia, koolitus ja reeglid toimiksid ühtse tervikuna. Kui need kolm on tasakaalus, siis muutub ka inimfaktor tugevaks lüliks, mitte riskiks.

Kasutatud allikad:

https://www.standaard.be/media-en-cultuur/amerikaanse-hacker-kevin-mitnick-overleden/40694420.html

https://purplesec.us/learn/social-engineering-awareness-training/

https://advisense.com/2025/03/17/human-factor-in-cybersecurity-social-engineering/

https://www.cisco.com/c/en/us/products/security/what-is-social-engineering.html

https://www.imperva.com/learn/application-security/social-engineering-attack/

https://hoxhunt.com/blog/social-engineering-training