Verizon v letnem poročilu o varnosti najde c-suite, smbs pod grožnjo

Glavni motivacijski dejavnik pri sprožanju kršitev podatkov je denar, preprost in preprost. Hekerji želijo zaslužiti s kršitvami in to je bila ključna ugotovitev v Verizon-ovem poročilu o preiskavah podatkov za leto 2019, objavljenem včeraj. Podjetje je preučilo 41.686 varnostnih incidentov in več kot 2000 kršitev podatkov in ugotovilo, da je 71 odstotkov kršitev finančno motivirano. Razkrilo je tudi, da je bilo veliko teh napadov poskusov socialnega inženiringa pri direktorjih družbe C-suite. Zdaj je bilo 12-krat večja verjetnost, da bo prišlo do incidenta socialnega inženiringa kot v obdobju, zajetem v poročilu o preiskavah podatkov o kršitvah podatkov Verizon 2018. Pogosta oblika teh napadov je lažno predstavljanje, v katerem se hekerji preoblečejo v zaupanja vrednega posameznika in si vzamejo uporabniška imena, gesla in podatke o kreditnih karticah.

Napadalci iščejo "hiter denar", pravi Gabriel Bassett, višji znanstvenik za informacijsko varnost v Verizonu in avtor poročila. In te grožnje bi morale imeti največ pozornosti za mala in srednje velika podjetja (SMB) - eno od številnih pomislekov, povezanih s SMB, ki se trenutno ukvarja med tedenskim nacionalnim tednom malih podjetij (NSBW), ki ga sponzorira ameriška administracija za mala podjetja. Glede na poročilo (glej spodnjo sliko) bi morale te grožnje ostati v glavi, saj je bilo 43 odstotkov kršitev povezanih z malimi podjetji.

(Kreditna slika: Verizon)

Zakaj so nevarnosti socialnega inženiringa v trendu

Lažno predstavljanje je poskus pridobivanja občutljivih informacij, kot so uporabniška imena, gesla in podatki o kreditnih karticah, tako da se pri pošiljanju elektronskih komunikacij prikrijete kot zaupanja vreden subjekt. Ti phishing napadi lahko vključujejo e-poštno sporočilo, ki vsebuje povezavo do ponarejenega spletnega mesta, ki je podobno strani za prijavo ponudnika e-pošte, ki temelji na oblaku. "To je res samo zasnovano za krajo vaših poverilnic, " je pojasnil Bassett.

Napadi lažnega predstavljanja so bili del 78 odstotkov incidentov kibernetskega vohunjenja, ki so jih preučevali raziskovalci podjetja Verizon. V e-poštnem sporočilu je napad lahko naslovljen na finančnega direktorja (finančni direktor) in zdi se, da je iz izvršnega urada (izvršni direktor), ki od izvršne uprave zahteva, da na račun naloži določeno količino denarja. V sporočilu bi lahko pisalo: "Res je pomembno. Prosim, naredite to zelo hitro, " je dejal Bassett.

Te napade imenujemo "kompromisi poslovne e-pošte." Bassett je pojasnil, da jih je Verizon v poročilu navedel kot "finančno motiviran socialni inženiring". Napadalci so usmerjeni na vodje C-suite, saj imajo pooblastilo za velike prenose denarja v korporaciji in morda ne bodo pozorno brali e-poštnih sporočil.

Napadi lažnega predstavljanja "veliko ljudi norčujejo, zato se morajo zavedati, da se tovrstne stvari dogajajo, in imeti morajo sekundarni nadzor, da preverijo kakršen koli prenos denarja ali celo plačilo računov, " je dejal Bassett. "To je lahko samo e-poštno sporočilo s ponarejenim računom. Če ne boste pozorni, ga lahko preprosto plačate, ne da bi se zavedali, da ne gre za dejansko zakonit račun."

Finančno motivirani napadi so bili v poročilu ključna tema v različnih panogah. Dejansko je v poročilu zapisano, da je bilo 68 odstotkov kršitev podatkov v proizvodnji finančno motivirano, 49 odstotkov od 352 incidentov v proizvodnji pa je bilo povezano z ukradenimi poverilnicami.

Zanimivo dejstvo je, da se pri kršitvi podatkov vse ne izgubi. FBI-jev center za pritožbe proti kriminalu (IC3) vam lahko pomaga izterjati sredstva, ukradena med tovrstnim napadom. Polovica incidentov, ki so vplivali na ogrožanje poslovne e-pošte, je prinesla vrnitev ali zamrznitev 99 odstotkov ukradenih sredstev, navaja poročilo. "Če postanete žrtev enega od teh dejanj, imate še vedno čas za ukrepanje, " je dejal Bassett. "Če hitro prijavite IC3, vam bodo morda pomagali."

Bassett pravi, da napadi po e-pošti ne potrebujejo veliko tehnične spretnosti. "Ni vam treba razumeti, kako delujejo računalniki, da bi nekoga prosili za denar, " je dejal. "In tako odpira kibernetsko kriminaliteto ljudem, ki so morda netehnični, a zelo prepričljivi."

Druga ključna odvzema

Napadi po e-pošti niso bili edini zanimivi parčki iz poročila Verizon. Tu so še štiri ključne ugotovitve:

1) Skupaj s finančno motiviranimi napadi socialnega inženiringa obstajajo grožnje transakcijam e-trgovine, poznane tudi kot napadi "kartica ni prisotna". Porast napadov na e-trgovino je posledica zmanjšanja groženj transakcijam osebnih prodajnih mest (POS). Kršitve POS-jev so se od leta 2015 zmanjšale za 10 odstotkov, kršitve spletnih aplikacij pa imajo zdaj 13-krat večjo možnost. Poročilo lahko napadalce odvrne z uporabo EMV čip kartic. POS napadi v gostinski in prehrambeni industriji so se zlasti zmanjšali s 307 v poročilu Verizon 2018 na 40 v letošnji različici (glej spodnjo sliko).

2) Na več kot 60 milijonov podatkovnih zapisov so vplivale kršitve, ki so vplivale na shranjevanje datotek v oblaku za podjetja. Napačne nastavitve sistemskih skrbnikov povzročijo te kršitve in nenamerno izpostavijo občutljive podatke. "To se dogaja vedno pogosteje in je ena tistih enostavnih, hitrih kršitev, " je dejal Bassett. "Od iskanja baze podatkov do njene kršitve ni potrebnih veliko korakov."

Ta vrsta kršitve se lahko zgodi tudi, ko pride do prenosa osebja. Naslednji skrbnik, ki dela na spletnem mestu, morda ne bo spoznal, da je oseba, ki je prišla prej, javno objavila bazo podatkov.

3) Poročilo Verizon je razkrilo tudi, da so 69 odstotkov napadov izvedli zunanji sodelavci v primerjavi s 34 odstotki napadov, ki so jih izvedli notranji ljudje. Izjema od tega trenda je bilo v zdravstvu, kjer so notranje grožnje prevladovale v primerjavi z drugimi industrijami. To je zato, ker je pogosto videti radovednost pri pregledu elektronskih zdravstvenih kartotek slavnih ali ljudi, ki jih poznajo zdravstveni delavci.

"V zdravstvenem varstvu imajo brezvestne zaposlene, ki bi te informacije lahko pogledali in spoznali, da so zanjo koristne goljufije v zdravstvu, " je dejal Bassett. Opisal je skupen trend, ko napadalci nekomu izročajo ogrožene podatke, da bi lahko vložili goljufive zahtevke za zdravstveno zavarovanje.

4) Verizon je tudi ugotovil, da je kršitev podatkov doživelo šestkrat manj strokovnjakov s področja človeških virov. Poročilo navaja, da poleg izboljšanja ozaveščenosti podjetij o grožnjah s podatki nima razloga za ta padec. Napadi na HR lahko vključujejo poskus pridobivanja davčnih podatkov o zaposlenih, da bi hekerji lahko vložili lažne davčne napovedi in zaposlenim pustili plačilo računa, je dejal Bassett.

(Kreditna slika: Verizon)

Zaščita pred kršitvami podatkov

Da bi zaščitili pred kršitvami podatkov, zlasti z lažnimi napadi, bi morali SMB upravljavci gesel uporabiti za izboljšanje svojih praks upravljanja identitete. Druga priporočena praksa je uporaba večfaktorskih overitev (MFA) za zaščito računov pred kršitvami. Ta praksa vključuje uporabo dveh ali več oblik overjanja za dostop do sistema. Vključujejo lahko gesla, biometrične podatke, kot so prstni odtisi, ali žetone iz mobilnega telefona.

Za zaščito pred napadi, kot je lažno predstavljanje, Bassett priporoča tudi, da uporabniki, ki odpirajo nezaželene datoteke zunanjih subjektov, uporabljajo zaporni operacijski sistem (OS) samo tabličnega računalnika in tipkovnice, da preprečijo širjenje zlonamerne programske opreme. Peskovnik je omejeno okolje, v katerem so aplikacije izolirane in kjer lahko uporabniki preprečijo brisanje datotek in spreminjanje sistemskih informacij.

• Marriott hekerji ukradli več kot 5 milijonov nezašifriranih številk potnih listov Marriott hekerji ukradli več kot 5 milijonov šifriranih številk potnih listov
• "Kava izpolnjuje bagel" Zgodba spletnega mesta za zmenke zaradi kršitve podatkov 'Kava izpolnjuje bagel' Zmenka spletnega mesta za zmenke zaradi kršitve podatkov
• SecurityWatch: Naredite korporacije, ne stranke, trpite zaradi kršitev podatkov SecurityWatch: naredite korporacije, ne stranke, trpite za kršitve podatkov

Morda je to zdravorazumsko, vendar je ključni korak, da zaposlenim omogočimo prijavo lažnih e-poštnih sporočil in kršitev podatkov, ko jih odkrijejo. Hitro premikanje je bistvenega pomena, saj včasih v podjetju za lažno predstavljanje v podjetju nastane val klikov, ki se zgodi teden dni po njihovem pošiljanju.

"Poročanje in kliki se zgodijo s podobno hitrostjo v prvi uri, vendar poročila odpadejo, medtem ko se kliki še naprej dogajajo naslednji teden, " je dejal Bassett. "S poročili, ki ste jih dobili v prvi uri, uporabite brisanje e-poštnih sporočil z lažnimi sporočili iz prejetih sporočil, tako da ga ljudje ne bodo kliknili dan ali teden kasneje in znova zagnali incident."

Izhodišče: Bodite pozorni, bodite sumljivi do svoje e-pošte in imejte trdno obrambo, če želite opaziti poskuse družbeno inženirskih goljufij v vašem podjetju.