Ali smo uporabniki največja ranljivost računalniških sistemov?

Kdo je največji krivec za uspešne kibernetske napade? Slab požarni zid ali protivirusna programska oprema? Mogoče zastareli računalniški sistemi, ki ne prejemajo več posodobitev in varnostnih popravkov? Ne, največja ranljivost sistemov so njihovi upravljalci oziroma uporabniki, vse dokler niso usposobljeni za prepoznavanje znakov poskusa vdora in kraje podatkov. Za kibernetske strokovnjake so največji vir frustracij phishing napadi in strategije, povezane s socialnim inženiringom.

Phishing napade je skorajda nemogoče preprečiti zgolj s tehničnimi sredstvi. Seveda strokovnjaki lahko postavijo spletne stražnike, ki nadzorujejo poštni in spletni promet. Tudi ponudniki poštnih storitev stalno izboljšujejo svoje detekcijske sisteme, ki veliko phishing napadov samodejno uvrstijo med nezaželeno pošto. Toda na enak način se izboljšujejo tudi napadi, ki jih vse težje prepoznamo. Najboljši stražnik in varuh je zato uporabnik sam. Tukaj glavno vlogo igra ozaveščenost o phishing in ostalih kibernetskih napadih. Uporabniki, ki so sposobni prepoznati znake phishing napadov ali vsaj posumiti, da je nekaj narobe s prejetim sporočilom, so najboljša zaščita za podjetje pred kibernetičnimi kriminalci, hekerji in drugimi slabimi akterji, ki se želijo dokopati do dragocenih podatkov.

Strokovnjaki podjetja za kibernetsko varnost OptiCyber3 bodo vaše zaposlene podučili o različnih vrstah phishing napadov, kako jih prepoznati in kaj storiti v primeru phishing napada.

Kateri so najbolj pogosti phishing napadi?

Kot rečeno, so phishing napadi postali pametnejši in raznovrstnejši v nameri, da zaobidejo zaščito IT strokovnjakov. V zadnjih nekaj letih se je pojavilo kar nekaj vrst phishing napadov, ki se razlikujejo glede na način napada ali izbrano tarčo.

Smishing je okrajšava za SMS phishing, kjer napadalec išče informacije prek tekstovnega sporočila. Lahko se predstavlja kot telekomunikacijski ponudnik, ki vas obvesti, da imate možnost nadgradnje na najnovejši mobilni paket za »ugodno« ceno. Lahko se izdaja za znano podjetje, ki je ravno vas izbralo za »srečnega« nagrajenca nagradne igre, na katero se niste niti prijavili. Kakšna sreča, kajne? Smishing sporočila pogosto vključujejo tudi spletne povezave, prek katerih napadalci zbirajo informacije o žrtvah ali pa uporabijo kot vrata za namestitev zlonamerne programske opreme.

Ste se že kdaj oglasili na sumljivo ali neznano telefonsko številko in vas je na drugi strani slušalke pričakal prijazen glas prodajalca, strokovnjaka za tehnično podporo ali koga podobnega? Gre za t. i. vishing napade, kjer napadalci z različnimi tehnikami poizkušajo pridobiti številke računov, finančnih podatkov ali dostop do računalnika. Uporabljajo krinke, ki odražajo veliko mero zaupanja, kot na primer banka, policija, ministrstvo, Microsoft, Apple in podobno. Pogosto uporabljajo taktike ustrahovanja in tudi grožnje, s katerimi žrtve prisilijo v izdajo osebnih podatkov ali pa omogočanje dostopa do telefona ali računalnika.

Napadalci, ki želijo prizadeti največ škode in zaslužiti največ denarja, med svoje žrtve uvrščajo večinoma vodstvo. To je taktika spear phishing napadalcev, ki ciljno napadajo določene posameznike. Pred napadom se najprej pozanimajo, kdo v podjetju je ranljiv za napade in ima obenem dovoljšna dovoljenja, s katerimi bi lahko prevzeli nadzor nad določenimi sistemi. Nato pripravijo posebej prilagojena e-poštna sporočila, za katere se zdi, da prihajajo od drugega zaposlenega ali zaupanja vrednega vira. Tako si občutno povečajo možnosti za krajo ali dostop do podatkov.

Poznamo še angler phishing, kjer napadalci svojo priložnost čakajo na družbenih omrežjih. Potrpežljivo čakajo, da se uporabnik pritoži nad določenim podjetjem ali storitvijo, nato pošljejo povezavo, ki obljublja, da jih bo povezala s tehnično podporo, v resnici pa se v ozadju namesti zlonamerna programska oprema.

Uporabnik mora biti vedno v stanju pripravljenosti, še posebej v poslovnem okolju, ki kljub visokem nivoju zaščite ne more preprečiti vseh napadov. Zaposlene lahko o nevarnostih spleta osveščate sami, za največjo učinkovitost pa to raje prepustite kibernetskim strokovnjakom in etičnim hekerjem slovenskega podjetja OptiCyber3.

Kako poteka kibernetsko izobraževanje?

Ozaveščanje o phishingu se začne z zavedanjem morebitne škode uspešnih napadov. Zaposleni se morajo zavedati, kaj je na kocki in kakšno nevarnost predstavljajo kibernetski napadi. Za tem se lahko začne graditi temelje, s katerimi bodo zaposleni lahko prepoznali znake phishing napadov in jih prijavili pristojni službi. Začetno usposabljanje se izvaja s pomočjo dokumentov, videoposnetkov, rednimi sestanki, skupinskim izobraževanjem ali kombinacijo naštetega. Pripravo izobraževanja raje zaupajte kibernetskim strokovnjakom, ki imajo za seboj številne delavnice, s katerimi so uspešno dvignili nivo ozaveščenosti zaposlenih.

Brez pomoči strokovnjakov prav tako ne boste imeli dostopa do enega najbolj uporabnih orodij za izobraževanje zaposlenih. Govorimo o simuliranju pravih phishing napadov. Ni boljšega učitelja od izkušenj. IT strokovnjaki bodo zaposlene redno testirali (s predhodnim dovoljenjem vodstva) in spremljali njihov napredek. V primeru uspešnega simuliranega napada bodo zaposleni o tem obveščeni in preusmerjeni na stran za usposabljanje, kjer bodo lahko osvežili ali osvojili novo znanje za prepoznavo phishing napadov.

Če želite spremeniti vaše zaposlene v žive protivirusne programe, potem se obrnite na specializirano podjetje za kibernetsko varnost OptiCyber3. Obiščite njihovo spletno stran isf.si ali pa jih kontaktirajte na info@isf.si.