Zawartość
- 01. Inżynieria społeczna
- 02. Zagrożenie wewnętrzne low-tech
- 03. Przynęta
- 04. Przyciski anulowania subskrypcji
- Kup bilet na Generate New York już teraz
Chociaż prawdą jest, że hakerzy cały czas tworzą bardziej złożone wirusy i złośliwe oprogramowanie, o których coraz częściej się zapomina, największe zagrożenie dla firm nie pochodzi w rzeczywistości ze strony oprogramowania, ale ze strony samych ludzi.
Firmy mogą zbudować najbezpieczniejszą infrastrukturę na świecie, aby chronić swoje dane przed zagrożeniami zewnętrznymi, za pomocą rozwiązań takich jak zapory ogniowe, sieci VPN i bezpieczne bramy, ale nie zmniejsza to ryzyka zagrożeń, złośliwych lub innych, pochodzących z samej organizacji. Ten mało zaawansowany technologicznie sposób hakowania staje się coraz bardziej popularny w ostatnich latach, a znane marki padają ofiarą oszustów kontaktujących się z młodszymi administratorami finansowymi z prośbą o fundusze po przeprowadzeniu małego śledztwa w LinkedIn.
- Najlepsze VPN 2019
Ponadto, ponieważ internet stanowi część codziennej rutyny większości ludzi, a wielu pracowników loguje się na konta osobiste w miejscu pracy, należy pamiętać, że jeśli chodzi o bezpieczeństwo w sieci, istnieje również skrzyżowanie danych osobowych i informacji o firmie. Jeśli haker zdobędzie Twoje dane osobowe, będzie mógł również uzyskać dostęp do Twoich profesjonalnych.
Oto cztery sposoby, w jakie hakerzy mogą ominąć Twoje zabezpieczenia i ukraść Twoje dane.
01. Inżynieria społeczna
Genezą każdego zagrożenia bezpieczeństwa cybernetycznego spowodowanego przez człowieka jest socjotechnika; czynność manipulowania poufnymi danymi osoby. Jasne, hakerzy mogą zainfekować sieć złośliwym oprogramowaniem i wejść tylnymi drzwiami, a jeszcze lepiej, mogą po prostu oszukać pracownika, aby podał hasło i przeszedł przez front bez uruchamiania dzwonków alarmowych. Gdy haker zdobędzie hasło danej osoby, niewiele możesz zrobić, aby go zatrzymać, ponieważ jego aktywność będzie wyglądać na autoryzowaną.
Z biegiem lat techniki inżynierii społecznej musiały stać się bardziej wyrafinowane, ponieważ przeciętny użytkownik stał się bardziej świadomy tradycyjnych metod stosowanych przez hakerów. Dlatego hakerzy muszą teraz sprytniej podchodzić do pozyskiwania danych. W sensie biznesowym coś tak prostego, jak nakłonienie użytkownika do kliknięcia złośliwego łącza, może dać atakującemu dostęp do całej sieci. Ludzie wiedzą, jak ignorować e-maile od błagających nieznajomych, którzy rozpaczliwie potrzebują danych bankowych, ale kiedy ten e-mail pochodzi od kogoś, kogo znasz, jest znacznie mniej prawdopodobne, że klikniesz „Oznacz jako spam”.
Hakerzy mogą łatwo przewijać konto potencjalnego celu na Facebooku, aby znaleźć imię i nazwisko znajomego ofiary. Następnie mogą wysłać ofierze wiadomość e-mail udającą tego przyjaciela, a ofiara będzie bardziej skłonna do tego nabrać, jeśli uzna, że pochodzi od kogoś, kogo zna.
WSKAZÓWKA: Jeśli chodzi o media społecznościowe, uważaj na dane osobowe, które podajesz. To, co może wydawać się nieszkodliwą grą, w której „Twoje imię rapowe to imię Twojego pierwszego zwierzaka plus nazwisko panieńskie matki”, może w rzeczywistości być oszustwem phishingowym używanym do znalezienia odpowiedzi na typowe pytania dotyczące odzyskiwania konta.
02. Zagrożenie wewnętrzne low-tech
Zamiast bezimiennego wroga, większość wewnętrznych zagrożeń cyberbezpieczeństwa pochodzi od obecnych lub byłych pracowników. Ci pracownicy mogą uzyskać nieautoryzowany dostęp do poufnych danych lub zainfekować sieć czymś złośliwym. Te wewnętrzne zagrożenia mogą przybierać różne formy:
- Surfowanie na ramieniu
„Surfowanie przez ramię” to prosta czynność polegająca na obserwowaniu przez jedną osobę, jak ktoś wpisuje swoje hasło. Jest to precedens. Niezadowolony lub niedługo odchodzący pracownik może od niechcenia stać za biurkiem i obserwować innych pracowników wpisujących swoje hasła. Ta prosta czynność może doprowadzić do nieautoryzowanego dostępu, co może mieć katastrofalne skutki dla firmy. - Hasła na karteczkach Post-it
Nawet łatwiejsze niż zapamiętanie hasła obserwowanego przez ramię, wewnętrzne zagrożenia mogą pochodzić od pracowników zapisujących hasła i przyklejających je do monitorów komputerów - tak, tak naprawdę się dzieje. Oczywiście sprawia to, że uzyskanie danych logowania, które można następnie wykorzystać do oszukania lub zainfekowania firmy, jest niezwykle łatwe. Dobra wiadomość jest taka, że tę nieostrożność można łatwo naprawić. - Pendrive'y włożone do komputerów
Komputery pracowników mogą zostać zainfekowane oprogramowaniem do keyloggera załadowanym na zwykły dysk USB. Atakujący musiałby po prostu podkraść dysk USB do tylnej części komputera i miałby dostęp do danych osobowych i haseł użytkownika.
WSKAZÓWKA: Aby uniknąć tych zagrożeń wewnętrznych, firmy powinny szkolić swoich pracowników za pomocą kursów bezpieczeństwa i komunikacji na temat tego, jak ważne jest zachowanie czujności przy używaniu haseł. Oprogramowanie do zarządzania hasłami, takie jak KeePass lub Dashlane, może bezpiecznie przechowywać hasła, więc nie musisz ich wszystkich pamiętać. Alternatywnie możesz również zablokować porty USB swoich stacji roboczych, aby całkowicie uniemożliwić dostęp do nieautoryzowanych urządzeń przez USB. Należy jednak dokładnie rozważyć to podejście, ponieważ sprawia, że każda stacja robocza jest znacznie mniej elastyczna i zwiększa obciążenie działu IT, ponieważ każde nowe urządzenie USB będzie wymagało zatwierdzenia przed użyciem.
03. Przynęta
Podobnie jak w przypadku inżynierii społecznej, metody przynęty oszukują użytkowników, wykorzystując informacje o danej osobie. Na przykład haker może sprawdzić witryny mediów społecznościowych i dowiedzieć się, że cel jest zainteresowany Grą o tron. Ta wiedza daje napastnikowi przynętę. Zamiast zwykłego e-maila, osoba atakująca może wysłać do celu wiadomość e-mail z napisem „Kliknij tutaj, aby obejrzeć najnowszy odcinek Gry o tron”. Użytkownik jest bardziej skłonny kliknąć przycisk, który oczywiście jest w rzeczywistości linkiem do złośliwego oprogramowania, a nie najnowszym odcinkiem Game of Thrones.
Podobnie, przy tak dużej liczbie informacji dostępnych publicznie na LinkedIn, hakerom może być łatwo zbadać strukturę raportowania, zaatakować młodszego pracownika udającego dyrektora generalnego i zażądać transferu środków na określone konto. Choć może się to wydawać naciągane, istnieją dobrze znane incydenty, które miały miejsce. Podsłuchiwanie jest podobną metodą, w której napastnicy słuchają rozmów biznesowych w kawiarniach, w transporcie publicznym, a nawet jako dostawca w środowisku biurowym.
04. Przyciski anulowania subskrypcji
Innym sposobem, w jaki atakujący nakłaniają użytkowników do pobierania złośliwego oprogramowania z wiadomości e-mail, jest użycie przycisków anulowania subskrypcji. Zgodnie z prawem każdy e-mail marketingowy musi zawierać link do rezygnacji z subskrypcji, aby konsumenci mogli zrezygnować z otrzymywania wiadomości. Osoba atakująca może wysyłać do użytkownika powtarzające się wiadomości e-mail, które wyglądają jak specjalne oferty marketingowe firmy odzieżowej (lub podobnej). E-maile wyglądają wystarczająco nieszkodliwie, ale jeśli użytkownik nie jest zainteresowany firmą lub uważa, że są one zbyt częste, może nacisnąć przycisk anulowania subskrypcji, aby przestać otrzymywać e-maile. Z wyjątkiem e-maila wyłudzającego informacje tego hakera, kliknięcie przycisku anulowania subskrypcji w rzeczywistości powoduje pobranie złośliwego oprogramowania.
WSKAZÓWKA: Prawidłowo skonfigurowany filtr antyspamowy powinien zatrzymać te e-maile, ale znowu najlepiej jest zachować czujność.
Kluczowym wnioskiem jest pozostanie czujnym i na bieżąco z szeregiem metod, które mogą wykorzystać hakerzy do kradzieży danych. Poinformuj swoich pracowników, aby znali techniki wymienione w tym artykule, których można użyć do pozyskiwania treści, takich jak dane logowania lub dane osobowe. Zachęcaj pracowników do przesłuchiwania kogokolwiek, kogo nie rozpoznają, i do zwracania uwagi na to, że ktoś słucha rozmów lub surfuje przez ramię.
Odkładając to wszystko na bok, warto jednak pamiętać, że internet pozostaje niezwykle pozytywnym i kreatywnym miejscem, a świat jest o wiele bogatszy. Jeśli zachowasz czujność, wszyscy będziemy mogli nadal korzystać z jego zalet.
Artykuł ukazał się pierwotnie w numerze 303 z netto, najlepiej sprzedający się magazyn na świecie dla projektantów i programistów stron internetowych. Kup numer 303 lub zapisz się tutaj.
Kup bilet na Generate New York już teraz
Najlepsze w branży wydarzenie poświęcone projektowaniu stron internetowychWygeneruj Nowy Jorkwrócił. W dniach 25-27 kwietnia 2018 r. Głównymi prelegentami są: Dan Mall z SuperFriendly, konsultant ds. Animacji internetowych Val Head, pełnoprawny programista JavaScript Wes Bos i nie tylko.
Jest też cały dzień warsztatów i cennych okazji do nawiązywania kontaktów - nie przegap tego.Zdobądź swój bilet Generuj teraz.
