Threat Library

Social Engineering

What it isЧто это

Social engineering is an attack against human decision-making, not infrastructure. Attackers combine authority, urgency, and isolation to force irreversible actions: transfer funds, disclose credentials, approve access, or disable controls. In modern messenger environments, these campaigns are executed as scripted dialogues with predictable linguistic markers and repeated operator playbooks.Социальная инженерия — это атака не на инфраструктуру, а на процесс принятия решений человеком. Злоумышленники комбинируют авторитет, срочность и изоляцию, чтобы вынудить необратимые действия: перевод средств, передачу credentials, подтверждение доступа или отключение защитных мер. В современных мессенджерах такие кампании разворачиваются как сценарные диалоги с повторяющимися языковыми маркерами и стабильным playbook оператора.

Attack kill-chainKill-chain атаки

  • Preparation: actor studies target role, business process, and escalation path.Подготовка: актор изучает роль цели, бизнес-процесс и цепочку эскалации.
  • Authority setup: impersonates support, compliance, law enforcement, finance, or security staff.Формирование авторитета: имитация поддержки, комплаенса, госоргана, финансового или security-персонала.
  • Isolation: asks for secrecy and blocks peer validation ("do not tell anyone", "internal investigation").Изоляция: требование конфиденциальности и блокировка peer-validation («никому не говорите», «внутреннее расследование»).
  • Urgency: introduces artificial deadline and loss framing ("24 hours left", "account will be suspended").Фаза срочности: искусственный дедлайн и framing потерь («осталось 24 часа», «аккаунт будет заблокирован»).
  • Execution: requests OTP, seed phrase, private key, remote access, or immediate payment.Исполнение: запрос OTP, seed phrase, private key, удаленного доступа или немедленного платежа.
  • Persistence: if blocked, attacker switches identity/channel and repeats script with small lexical changes.Персистентность: при блокировке атакующий меняет личность/канал и повторяет сценарий с минимальными текстовыми вариациями.

Detection signals and reason codesДетект-сигналы и reason codes

SecuriLayer maps narrative patterns to deterministic reason codes. Core triggers are SOCIAL_ENGINEERING_SCRIPT (cross-group manipulation script), URGENCY_PRESSURE (forced immediate action), GOV_IMPERSONATION / DIGITAL_ARREST (state-agency intimidation), CONTACT_MISMATCH (fake contact claims), and RECOVERY_SCAM when secondary victimization is observed.SecuriLayer сопоставляет narrative-patterns с детерминированными reason codes. Ключевые триггеры: SOCIAL_ENGINEERING_SCRIPT (межгрупповой сценарий манипуляции), URGENCY_PRESSURE (принуждение к немедленному действию), GOV_IMPERSONATION / DIGITAL_ARREST (запугивание от имени госструктур), CONTACT_MISMATCH (поддельная контактная верификация) и RECOVERY_SCAM при вторичной виктимизации.

For enterprise SOC teams this means decisions are auditable: every warning and block references explicit cues rather than opaque model output. For regulated organizations this enables explainability in legal and compliance workflows.Для корпоративных SOC-команд это означает аудируемость решений: каждое предупреждение и блокировка опираются на явные признаки, а не на непрозрачный output модели. Для регулируемых организаций это обеспечивает explainability в юридических и compliance-процессах.

Enterprise / government controlsКонтрмеры enterprise / gov

  • Policy: never execute payment or credential actions from chat-only requests without out-of-band confirmation.Policy: не выполнять платежные и credential-действия по запросам только из чата без out-of-band подтверждения.
  • RBAC: separate request initiator and approver (4-eyes) for irreversible actions.RBAC: разделять инициатора и подтверждающего (4-eyes) для необратимых операций.
  • Channel governance: lock admin impersonation vectors, enforce verified staff tags.Управление каналами: закрывать векторы имитации админа, использовать verified-теги сотрудников.
  • Awareness operations: train staff on scripts, not generic slogans; rehearse escalation in tabletop format.Операционная осведомлённость: обучать по сценариям, а не общим лозунгам; отрабатывать эскалацию в tabletop-формате.
  • Evidence discipline: preserve Decision Contract, reason codes, and timeline for post-incident review.Дисциплина evidence: сохранять Decision Contract, reason codes и timeline для post-incident анализа.

Incident response playbookIncident response playbook

  • Contain: isolate affected account/session and revoke active tokens.Contain: изолировать затронутый аккаунт/сессию и отозвать активные токены.
  • Assess: identify exposed data types (OTP, credentials, financial requests, wallet operations).Assess: определить тип утечки (OTP, credentials, финансовые запросы, wallet-операции).
  • Communicate: issue incident advisory to all moderators/admins with attack script indicators.Communicate: выпустить advisory для модераторов/админов с индикаторами используемого скрипта.
  • Eradicate: block actor patterns and linked domains/contacts, monitor recurrence for 72 hours.Eradicate: заблокировать паттерны актора и связанные домены/контакты, мониторить рецидив 72 часа.
  • Improve: update rules, playbooks, and language templates in triage runbooks.Improve: обновить rules, playbooks и языковые шаблоны в triage-runbook.

False positives / false negativesFalse positive / false negative

False positives often occur in legitimate urgent ops messages. Mitigate by combining language cues with identity checks and channel history. False negatives appear when attackers split script across many short messages; mitigate with conversation-level aggregation and operator feedback loops.False positive обычно возникает в легитимных срочных операционных сообщениях. Снижается комбинацией языковых сигналов, проверки личности и истории канала. False negative возникает, когда атакующий дробит сценарий на много коротких сообщений; снижается агрегированием диалога и feedback-loop от операторов.

FAQFAQ

Q: Can social engineering be fully prevented by ML?Можно ли полностью закрыть социальную инженерию одной ML-моделью?
A: No. Reliable defense combines deterministic controls, escalation policy, and operator training.Нет. Надёжная защита — это комбинация детерминированных контролей, политики эскалации и обучения операторов.

Q: Why store reason codes?Зачем сохранять reason codes?
A: They provide explainability for legal, compliance, and post-incident reviews.Они обеспечивают объяснимость для юридических, compliance- и post-incident проверок.

Enable automated detection in your workspaceВключить автоматическое обнаружение в вашем workspace