podatność na social engineering przez automaty

Podatność na socjotechnikę przez automaty to scenariusze wykonujące działania wrażliwe bez potwierdzenia przez człowieka.

Na czym polega podatność automatu na socjotechnikę

Podatność na social engineering przez automaty występuje wtedy, gdy skrypt, agent programowy, makro, wtyczka albo inny mechanizm automatyzacji wykonuje wrażliwe działanie na podstawie komunikatu, danych wejściowych lub polecenia, którego wiarygodność nie została sprawdzona przez człowieka. Automaty mogą między innymi otwierać odnośniki, pobierać pliki, uruchamiać polecenia, wysyłać wiadomości, zmieniać konfigurację albo zatwierdzać operacje w aplikacji. Problem nie polega wyłącznie na błędzie technicznym. Przyczyną może być także takie zaprojektowanie przepływu, w którym system traktuje treść z zewnętrznego źródła jak zaufaną instrukcję.

Socjotechnika wykorzystuje sposób podejmowania decyzji, a nie tylko lukę w kodzie. Atakujący może przygotować wiadomość, dokument, stronę internetową, komentarz lub wynik wyszukiwania zawierający polecenie skierowane do automatu. Jeżeli automat nie rozróżnia danych od instrukcji, może wykonać działanie zgodne z treścią ataku. Szczególnie ryzykowne są mechanizmy mające jednocześnie dostęp do poczty, plików, przeglądarki, schowka lub aplikacji firmowych oraz uprawnienie do wykonywania operacji bez dodatkowego potwierdzenia.

Jak zaufanie do danych wejściowych prowadzi do niepożądanego działania

Podstawowym źródłem ryzyka jest brak wyraźnej granicy między informacją przeznaczoną do odczytu a poleceniem sterującym zachowaniem automatu. Przykładowo tekst pobrany ze strony internetowej może zawierać instrukcję, aby otworzyć kolejny adres, skopiować zawartość pliku albo przesłać dane do wskazanego odbiorcy. Sam fakt, że tekst pochodzi z dokumentu lub witryny, nie potwierdza jego wiarygodności. Bez walidacji źródła, formatu, celu i zakresu operacji automat może potraktować złośliwą treść jako element legalnego procesu.

Ryzyko rośnie, gdy automatyzacja korzysta z uprawnień użytkownika bez rozdzielenia czynności odczytu i zapisu. Odczyt wiadomości może być względnie bezpieczny, lecz automatyczne kliknięcie odnośnika, uruchomienie pobranego pliku lub wysłanie odpowiedzi powoduje już zmianę stanu systemu albo komunikację z zewnętrzną stroną. Znaczenie ma także brak ograniczeń dotyczących domen, typów plików, odbiorców i liczby operacji. Mechanizm, który może wykonać dowolną czynność po jednym poleceniu, ma większą powierzchnię nadużycia niż rozwiązanie wymagające osobnej autoryzacji dla każdej operacji wrażliwej.

Potwierdzenia, ograniczenia i rejestrowanie operacji automatycznych

Ograniczanie podatności powinno zaczynać się od podziału działań według skutków. Operacje odwracalne i lokalne można wykonywać automatycznie, natomiast czynności prowadzące do wysłania informacji, zmiany ustawień, uruchomienia programu, usunięcia pliku lub przyznania dostępu powinny wymagać wyraźnego potwierdzenia. Potwierdzenie powinno opisywać rzeczywistą operację: wskazywać odbiorcę, nazwę pliku, adres strony albo zakres zmiany. Sam przycisk z ogólnym komunikatem „kontynuuj” nie daje użytkownikowi wystarczającej informacji do świadomej decyzji.

Przydatne są również zasada najmniejszych uprawnień, izolowanie automatu od pozostałych aplikacji oraz kontrola dozwolonych źródeł. Automat powinien mieć dostęp tylko do tych plików, katalogów i funkcji, które są niezbędne do jego zadania. Warto rejestrować polecenie wejściowe, źródło danych, decyzję o wykonaniu, wynik i ewentualne odrzucenie operacji. Log powinien umożliwiać odtworzenie kolejności zdarzeń, ale nie powinien bez potrzeby przechowywać haseł, tokenów sesyjnych ani pełnej zawartości poufnych dokumentów. Testy należy prowadzić na danych testowych, sprawdzając także reakcję na sprzeczne, niejednoznaczne i celowo manipulacyjne komunikaty.

Rozpoznanie problemu na laptopie lub komputerze PC

Na komputerze objawem takiej podatności może być samoczynne otwieranie stron, pobieranie plików, wysyłanie wiadomości, zmiana ustawień przeglądarki, uruchamianie nieznanych programów albo wykonywanie czynności po wklejeniu tekstu do narzędzia automatyzującego. Nie każdy taki objaw oznacza atak socjotechniczny. Przyczyną może być również wadliwe rozszerzenie przeglądarki, makro, zadanie harmonogramu, program startowy lub błędna konfiguracja. Diagnostyka powinna dlatego obejmować listę zainstalowanych rozszerzeń i aplikacji, uprawnienia automatu, historię uruchomień, źródła pobieranych plików oraz logi rejestrujące wykonane akcje.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, w ramach której można sprawdzić przyczynę nieoczekiwanych działań oprogramowania oraz przywrócić prawidłowe działanie systemu. W praktyce ważne jest zachowanie komunikatów, nazw plików, adresów stron i czasu wystąpienia zdarzenia, ponieważ te informacje pomagają odróżnić automatyzację uruchomioną zgodnie z konfiguracją od działania wywołanego złośliwą treścią. Nie należy zatwierdzać kolejnych operacji ani usuwać logów przed ich zabezpieczeniem, jeżeli potrzebne jest ustalenie przebiegu zdarzenia.