Inżynieria społeczna (wyłudzanie informacji i witryny wprowadzające w błąd)

Inżynieria społeczna to treści, które podstępem nakłaniają użytkowników do zrobienia czegoś niebezpiecznego, na przykład do ujawnienia poufnych informacji lub pobrania oprogramowania. Jeśli Google wykryje, że Twoja witryna zawiera treści używane do inżynierii społecznej, to podczas próby jej wyświetlenia przeglądarka Chrome może pokazywać użytkownikom ostrzeżenie „Wchodzisz na stronę wprowadzającą w błąd”. Aby sprawdzić, czy jakieś strony w Twojej witrynie są podejrzewane o przeprowadzanie ataków za pomocą inżynierii społecznej, przejrzyj raport Problemy dotyczące bezpieczeństwa w Search Console.

Otwórz raport Problemy dotyczące bezpieczeństwa

Co to jest inżynieria społeczna?

Atak za pomocą inżynierii społecznej, polega na podstępnym nakłonieniu internauty, aby zrobił coś niebezpiecznego online.

Są różne rodzaje takich ataków:

• Phishing (wyłudzanie informacji): witryna nakłania użytkowników, aby ujawnili swoje dane osobowe (takie jak hasła, numery telefonów czy numery PESEL). Pozoruje ona działanie lub naśladuje wygląd i styl typowe dla zaufanego podmiotu – takiego jak przeglądarka, system operacyjny, bank czy instytucja państwowa.
• Treści wprowadzające w błąd: mają za zadanie podstępem nakłonić użytkownika do zrobienia czegoś, co zrobiłby tylko w przypadku podmiotu zaufanego – na przykład do udostępnienia hasła, skontaktowania się z zespołem pomocy technicznej lub pobrania oprogramowania. Mogą też zawierać reklamę z fałszywym ostrzeżeniem, że oprogramowanie na urządzeniu jest nieaktualne, co ma skłonić użytkownika do zainstalowania niechcianego oprogramowania.
• Niedostatecznie oznaczone usługi firm zewnętrznych: firma zewnętrzna to podmiot, który zarządza witryną lub usługą w imieniu innego podmiotu. Jeśli zarządzasz witryną w imieniu innej osoby lub firmy (jesteś firmą zewnętrzną), ale Wasza relacja nie jest wyraźnie określona, może to być powodem oznaczenia jej jako inżynierii społecznej. Jeśli na przykład prowadzisz witrynę organizacji charytatywnej, która korzysta ze strony zarządzającej darowiznami (należącej do firmy zewnętrznej), aby obsługiwać wpłacane darowizny, w witrynie zarządzającej darowiznami trzeba wyraźnie zaznaczyć, że działa ona jako zewnętrzna platforma obsługująca witrynę organizacji charytatywnej. W przeciwnym razie takie działanie może zostać uznane za inżynierię społeczną.

Bezpieczne przeglądanie Google chroni internautów, ostrzegając ich przed wchodzeniem na strony, które systematycznie stosują inżynierię społeczną.

Stronę internetową uważa się za stosującą inżynierię społeczną, jeśli:

• naśladuje ona wygląd i styl typowe dla zaufanego podmiotu, na przykład upodabnia się w działaniu do urządzenia bądź przeglądarki użytkownika albo samej „bezpiecznej” witryny;
• stara się podstępem nakłonić użytkownika do zrobienia czegoś, co zrobiłby tylko w przypadku zaufanego podmiotu – na przykład do udostępnienia hasła, skontaktowania się z zespołem pomocy technicznej lub pobrania programu.

Inżynieria społeczna w elementach umieszczanych na stronie

Techniki inżynierii społecznej są czasem stosowane w elementach umieszczanych na zwykłych, niegroźnych stronach – z reguły w postaci reklam. Umieszczanie w treści stron elementów stosowanych w inżynierii społecznej jest naruszeniem zasad witryny hosta.

Czasami elementy stosowane w inżynierii społecznej umieszczone w treści strony hosta są widoczne dla użytkownika, jak widać na przykładach. W innych przypadkach witryna hosta nie zawiera żadnych widocznych reklam, lecz kieruje użytkownika do stosującej inżynierię społeczną strony za pomocą wyskakujących okienek, reklam pop-under lub innych typów przekierowań. W obu przypadkach ten typ umieszczania elementów stosowanych w inżynierii społecznej stanowi naruszenie zasad strony hosta.

Przecież ja nie stosuję inżynierii społecznej

Fałszywe treści używane do inżynierii społecznej mogą pojawić się na stronie jako umieszczone na niej zasoby, takie jak obrazy, komponenty firm zewnętrznych czy reklamy. Tego typu elementy mogą podstępem nakłaniać użytkowników witryny, aby pobrali niechciane oprogramowanie.

Hakerzy mogą przejąć kontrolę nad uczciwymi witrynami, aby przechowywać lub rozpowszechniać na nich treści używane do inżynierii społecznej. Haker może zmienić zawartość witryny lub dodać do niej nowe strony, często z zamiarem przekonania użytkowników, aby podali takie dane osobowe jak numery kart kredytowych. Aby sprawdzić, czy witrynę zidentyfikowano jako zawierającą lub rozpowszechniającą treści używane do inżynierii społecznej, przejrzyj raport Problemy dotyczące bezpieczeństwa dostępny w Search Console.

Jeśli sądzisz, że Twoją witrynę przejął haker, przeczytaj Pomoc dla webmasterów stron zaatakowanych przez hakerów.

Inżynieria społeczna – przykłady naruszenia zasad

Przykłady treści wprowadzających w błąd

Oto przykłady stron stosujących techniki inżynierii społecznej:

Przykłady reklam wprowadzających w błąd

Oto kilka przykładów treści wprowadzających w błąd, które są umieszczane w reklamach. Te reklamy wyglądają bardziej jak część interfejsu niż reklama sama w sobie.

Jak naprawić problem

Jeśli Twoja witryna zostanie oznaczona jako zawierająca treści używane w inżynierii społecznej (wprowadzające w błąd), sprawdź, czy nie stosuje ona tego rodzaju praktyk, a następnie wykonaj te czynności:

1. Sprawdź w Search Console.
   • W Search Console zweryfikuj się jako właściciel witryny i sprawdź, czy nie dodano nowych, podejrzanych właścicieli.

   • Przejrzyj raport Problemy dotyczące bezpieczeństwa, aby dowiedzieć się, czy witrynę oznaczono jako zawierającą treści wprowadzające w błąd (w raporcie oznacza to inżynierię społeczną). Jeśli raport zawiera jakieś oznaczone adresy URL, otwórz niektóre z nich, ale użyj komputera spoza sieci, z której udostępniasz witrynę. Sprytni hakerzy mogą wyłączyć niebezpieczne elementy, gdy wykryją, że użytkownik odwiedzający witrynę jest jej właścicielem.

     Jeśli raport nie zawiera przykładowych adresów URL i masz pewność, że Twoja witryna nie zawiera treści używanych w inżynierii społecznej (wprowadzających w błąd), poproś o sprawdzenie zabezpieczeń w raporcie Problemy dotyczące bezpieczeństwa.

2. Usuń treści wprowadzające w błąd. Upewnij się, że wszystkie strony witryny zostały oczyszczone. Jeśli uważasz, że Bezpieczne przeglądanie błędnie sklasyfikowało stronę internetową, zgłoś to.
3. Sprawdź zasoby firm zewnętrznych umieszczone w Twojej witrynie. Upewnij się, że żadne reklamy, obrazy ani inne materiały firm zewnętrznych umieszczone na stronach witryny nie wprowadzają użytkowników w błąd.
   • Pamiętaj, że sieci reklamowe mogą stosować rotację reklam wyświetlanych w witrynie. Dlatego może być konieczne kilkukrotne odświeżenie strony, zanim pojawią się na niej reklamy z treściami używanymi w inżynierii społecznej.
   • Niektóre reklamy mogą wyglądać inaczej na urządzeniach mobilnych niż na komputerach. Możesz skorzystać z narzędzia do sprawdzania adresów URL, aby zobaczyć witrynę zarówno w wersji na komputery, jak i na urządzenia mobilne.
   • W przypadku usług firm zewnętrznych, których używasz w witrynie (np. usług płatności), postępuj zgodnie z wytycznymi dotyczącymi tych usług.
4. Poproś o sprawdzenie witryny. Gdy usuniesz z witryny wszystkie treści używane do inżynierii społecznej, z poziomu raportu Problemy dotyczące bezpieczeństwa możesz poprosić o sprawdzenie zabezpieczeń. Weryfikacja może potrwać kilka dni.

Wytyczne dotyczące usług firm zewnętrznych

Jeśli Twoja witryna wykorzystuje usługi firm zewnętrznych, zalecamy spełnić te warunki, aby nie została ona oznaczona jako stosująca inżynierię społeczną:

• Witryna firmy zewnętrznej powinna na każdej stronie zawierać dobrze widoczne, identyfikujące ją elementy, tak aby użytkownicy wiedzieli, kto zarządza witryną. Na przykład u góry strony dobrze jest dodać logo marki.
• Na każdej stronie, która zawiera elementy identyfikujące markę zlecającą wykonanie zadania, jednoznacznie określ relację między tą firmą a firmą zewnętrzną i podaj link, który prowadzi do strony zawierającej więcej informacji na ten temat. Możesz dodać na przykład takie oświadczenie:

  Ta usługa jest zarządzana przez example.com w imieniu example.organizacja-charytatywna.com. Więcej informacji.

Dobrą zasadą jest dbanie o to, aby użytkownik przeglądający witrynę bez kontekstu w łatwy sposób mógł ją zidentyfikować i dowiedzieć się o relacji obu podmiotów.