Jedna fotografija sa plaže, informacija o godišnjem odmoru ili ime direktora mogu biti dovoljni da napadač sastavi uvjerljivu prevaru.
Umjesto probijanja sistema, sve češće napadaju ljude i koriste informacije koje sami ostavljamo na internetu.
Poruka izgleda kao da je poslao kolega
Objavili ste fotografiju sa plaže uz opis da ste na godišnjem odmoru. Nekoliko sati kasnije stiže poruka:
– Zdravo, izvini što te uznemiravam dok si na odmoru. Direktor je zamolio da hitno pregledaš jedan dokument pre sastanka u ponedeljak. Možeš li da otvoriš ovaj link?
Na prvi pogled, nema mnogo razloga za sumnju. Poruka djeluje kao da je stigla od kolege.
Pominje direktora, zna da ste na odmoru i stiže baš u trenutku kada niste u kancelariji.
Jedini problem je što kolega tu poruku nikada nije poslao.
Za razliku od hakera iz filmova koji pokušavaju da probiju komplikovane sisteme, današnji napadači često uopšte ne napadaju tehnologiju.
Napadaju ljude.
Kada javni podaci postanu oružje
Veliki dio informacija koje napadač može iskoristiti već je javno dostupan.
Dovoljno je nekoliko minuta pretrage društvenih mreža.
Na LinkedInu može vidjeti gdje radite, koju funkciju imate i ko vam je direktor. Na Instagramu može saznati da ste trenutno na ljetovanju, dok na Facebooku može pronaći informacije o porodici ili kolegama.
Kada se svi ti podaci spoje, nastaje veoma uvjerljiv profil potencijalne žrtve.
Napadač tada može poslati poruku koja izgleda potpuno legitimno:
– Pošto ste van kancelarije, molimo Vas da potvrdite pristup svom nalogu kako bismo izbegli blokadu.
Što više tačnih detalja iz vašeg života poruka sadrži, veća je vjerovatnoća da ćete joj povjerovati.
Socijalni inženjering više ne liči na klasični spam
Uz pomoć javno dostupnih informacija i alata zasnovanih na vještačkoj inteligenciji, napadači mogu sastaviti poruku koja zvuči kao da ju je poslao vaš kolega, direktor ili poslovni partner, piše RTS.
Takvi napadi poznati su kao „spear phishing“ ili ciljani socijalni inženjering.
Za razliku od masovnih prevara koje se šalju hiljadama ljudi, ovdje je meta jedna konkretna osoba ili organizacija.
Problem nije samo privatna bezbjednost.
Zaposleni često nesvjesno objavljuju informacije koje napadačima mogu pomoći da razumiju unutrašnju strukturu kompanije, identifikuju odgovorne osobe ili odrede trenutak kada je organizacija najranjivija.
Objava o odlasku na službeni put, fotografija sa konferencije ili informacija da je direktor na godišnjem odmoru mogu postati dio mnogo šire prevare usmjerene prema kompaniji.
Prevara koja je kompaniju koštala stotine miliona
Jedan od upečatljivijih primjera dogodio se prošle godine u kompaniji Marks i Spenser (Marks & Spencer), jednom od poznatijih britanskih trgovinskih lanaca.
Napadači nisu prvo pokušali da probiju bezbjednosne sisteme. Koristeći javno dostupne informacije i socijalni inženjering, uspjeli su da se predstave kao zaposleni i prevare IT podršku.
Napadač se predstavio kao jedan od oko 50.000 ljudi koji rade sa kompanijom i tako prevario treću stranu, odnosno IT servis, da resetuje lozinku zaposlenog.
Nakon što su dobili pristup internim sistemima, kompanija se suočila sa ozbiljnim poremećajima u poslovanju, uključujući prekid internet prodaje i finansijski udar procijenjen na više stotina miliona evra.
Ovaj slučaj pokazao je da ni velike kompanije sa naprednim bezbjednosnim sistemima nisu imune kada napadači uspiju da iskoriste ljudsko povjerenje.
Najslabija karika često nije tehnologija, već čovjek.
Kako smanjiti rizik?
Potpuno povlačenje sa društvenih mreža nije ni realno ni potrebno.
Ono što jeste važno jeste svijest o tome koje informacije objavljujemo i kako mogu izgledati kada ih neko poveže sa drugim javno dostupnim podacima.
Stručnjaci iz kompanije PULSEC, regionalnog lidera u oblasti sajber bezbjednosti, ističu da zaštita od socijalnog inženjeringa počinje edukacijom zaposlenih i razvojem bezbjednosne kulture.
Tehnološke mjere jesu važne, ali nijedan sistem ne može spriječiti korisnika da dobrovoljno otkrije podatke ili povjeruje u pažljivo osmišljenu prevaru.
Zato se prije objavljivanja fotografije sa putovanja, označavanja lokacije ili dijeljenja poslovnih informacija vrijedi zapitati:
Može li ova informacija, u kombinaciji sa svime što sam već javno objavio, nekome pomoći da me uvjerljivije prevari?
U vremenu kada se sajber napadi sve češće oslanjaju na psihologiju umjesto na tehniku, ta svijest postaje jedna od najvažnijih linija odbrane.
Besplatnu Android aplikaciju portala SrpskaCafe preuzmite ovdje.