Phishing i socijalni inženjering: izgradnja ljudskog vatrozida

Najslabija karika ujedno je i najjača obrana

Možete znatno ulagati u vatrozide, šifriranje i nadzor, a jedna uvjerljiva e-poruka i dalje može zaobići sve to. Napadači to znaju, zbog čega velika većina uspješnih povreda počinje socijalnim inženjeringom, vještinom manipuliranja ljudima kako bi poduzeli nesiguran postupak. Za tvrtke u Hrvatskoj i Nizozemskoj dobra je vijest da isti zaposlenici koji su na meti mogu postati najučinkovitiji sloj obrane kad su pripremljeni.

Kako funkcionira moderni phishing

Phishing je davno prerastao nespretne e-poruke s pravopisnim pogreškama iz prošlosti. Današnje kampanje su istražene, personalizirane i tempirane tako da djeluju legitimno.

• Spear phishing: poruke oblikovane za određenu osobu, često s referencama na stvarne projekte, kolege ili događaje prikupljene iz javnih izvora.
• Kompromitacija poslovne e-pošte: napadači se lažno predstavljaju kao viši rukovoditelj ili dobavljač kako bi zatražili hitno plaćanje ili promjenu bankovnih podataka.
• Vishing i smishing: telefonski pozivi i tekstualne poruke koje stvaraju pritisak i hitnost kako bi zaobišli uobičajeni oprez osobe.
• Prikupljanje vjerodajnica: lažne stranice za prijavu koje bilježe lozinke zaposlenika koji vjeruju da se prijavljuju na poznatu uslugu.

Zašto ovi napadi uspijevaju

Socijalni inženjering funkcionira jer cilja normalne ljudske instinkte, a ne tehničke propuste. Napadači se oslanjaju na hitnost, autoritet, znatiželju i prirodnu želju da se bude od pomoći. Poruka koja naizgled dolazi od nadređenog, označena kao hitna i traži brzu uslugu, tjera ljude da djeluju prije nego što razmisle. Nikakva količina tehnologije potpuno ne uklanja taj pritisak, zbog čega su osviještenost i jasne procedure toliko važne.

Izgradnja ljudskog vatrozida

Ljudski vatrozid je organizacija u kojoj zaposlenici prepoznaju manipulaciju i točno znaju što učiniti kada je uoče. Za njegovu izgradnju potrebno je više od jednog godišnjeg videa za obuku.

• Redovita, realistična obuka koje odražava taktike koje napadači zapravo koriste, a ne općenite savjete.
• Simulirani phishing koje omogućuje osoblju da sigurno doživi napad i uči iz njega bez stvarnih posljedica.
• Jasni putevi prijavljivanja tako da se sumnjiva poruka prijavi u nekoliko sekundi, a ne izbriše i zaboravi.
• Kultura bez okrivljavanja gdje se rano prijavljivanje pogreške nagrađuje, jer brzina prijavljivanja ograničava štetu.
• Snažne procedure provjere za osjetljive radnje kao što su plaćanja ili promjene podataka o računu.

Kako Obventum jača vaše ljude

U Obventumu testiramo i izgrađujemo ljudski sloj sigurnosti kroz naš phishing i socijalni inženjering usluga. Provodimo kontrolirane, realistične kampanje koje mjere kako vaša organizacija reagira na phishing e-poštu, telefonsko izmišljanje izgovora i druge tehnike manipulacije. Cilj nikada nije uhvatiti ljude u pogrešci. Cilj je pružiti iskrene podatke o tome gdje su rizici i dati vašem timu iskustvo koje pretvara svijest u instinkt.

Budući da napadači često kombiniraju uvjerljivu poruku s tehničkim uporištem, ove nalaze povezujemo s našim penetracijsko testiranje funkcioniraju, pokazujući kako jedan klik može dovesti do šireg kompromitiranja i kako prekinuti taj lanac.

Pretvorite svoje zaposlenike u svoju najbolju obranu

Tehnologija sama nikada neće zaustaviti društveni inženjering jer je meta ljudska prosudba. Organizacije koje se odupru tim napadima one su koje pripremaju svoje ljude realističnom praksom i jasnim procedurama. Obratite se Obventumu kako biste procijenili svoj ljudski vatrozid i pružili svojem timu samopouzdanje da prepozna i zaustavi manipulaciju prije nego što uspije.