Człowiek – najsłabsze ogniowo firmowego bezpieczeństwa

27

proc. pracowników nadal daje się złowić hakerom poprzez ataki

phishingowe – takie dane płyną z najnowszego raportu firmy

Positive

Technologies.

Dają się oszukać nawet pracownicy działów IT. Hakerzy zdają

sobie z tego sprawę i coraz śmielej wplatają w ataki metody

socjotechniczne, by bezkarnie wykradać firmowe dane.

Firma

Positive Technologies przeprowadziła badania na grupie prawie 3,5

tys. pracowników z dziesięciu dużych zachodnich firm. W ramach

tzw. pentestów, czyli testów penetracyjnych, pracownicy otrzymali

zainfekowane załączniki i maile z linkami do fałszywych stron

logowania. Przy tym nie zdawali sobie sprawy, że to część

kontrolowanego włamania. Raport pokazał dobitnie, że gdyby te

maile wysłali prawdziwi przestępcy, a nie pentesterzy, 17 proc.

otwartych wiadomości doprowadziłaby do naruszenia bezpieczeństwa

firmy.

Skrzynki mailowe pracowników to nadal najsłabsze

ogniwo w bezpieczeństwie firm. O ile jednak firma może się

zabezpieczyć przed zawirusowanymi załącznikami dzięki odpowiednim

programom, to jeszcze nie mamy jednego skutecznego sposobu na

powstrzymanie nieświadomego podstępu pracownika przed podaniem

swojego hasła na udającej właściwą stronie autoryzującej

dostęp. Tu mogą pomóc wyłącznie szkolenia i edukacja –

komentuje wyniki

Adam Dzielnicki z Atmana, firmy oferującej usługi data center i

przeprowadzającej pentesty w polskich firmach.

Raport

Positive Technologies wykazał, że socjotechniczne metody

wykorzystywane przez hakerów potrafią nie tylko uśpić czujność

pracowników, ale i stworzyć iluzję interakcji. Wiele z

przebadanych osób nie tylko otworzyło załącznik czy kliknęło w

linki, ale także wdało się w korespondencję z atakującymi.

Niektórzy

pracownicy, nie mogąc otworzyć linków lub przesłanych plików,

potrafili na fałszywej stronie logowania wprowadzić swoje hasło

nawet 40 razy. Co ciekawe, atakom ulegli nie tylko pracownicy spoza

działów IT, ale także 3 proc. specjalistów ds. bezpieczeństwa

IT, którzy teoretycznie powinni umieć rozpoznać tego typu ataki.

Hakerzy mają potężną broń: socjotechnikę i

ludzkie słabości. Cyberoszuści mogą wykorzystywać różne

złudzenia, by zwabić użytkowników i zachęcić ich do działania.

Mogą obiecywać jakiś upominek, oferować atrakcyjną ofertę lub

po prostu grozić poważnymi konsekwencjami. Metody są zmienne w

czasie i coraz bardziej wyszukane. Nie ma jednej skutecznej metody,

by poznać taki atak. Pozostaje tylko nieustanna świadomość

zagrożeń i daleko posunięta ostrożność. Nie tylko w wymiarze

jednostki, ale całej organizacji

– podkreśla Adam Dzielnicki z Atmana.

Aby

zmniejszyć ryzyko udanych ataków opartych na metodach

socjotechnicznych, ważne jest regularne przeprowadzanie szkoleń i

testowanie, na ile skutecznie każdy pracownik przestrzega zasad

bezpieczeństwa w praktyce. Dobrym sposobem, by przekonać się, na

ile pracownicy są świadomi internetowych zagrożeń, jest m.in.

realizacja włamania na zamówienie, czyli pentestów służących do

identyfikacji słabych punktów i wskazania adekwatnych środków

naprawczych. Trzeba mieć jednak świadomość, że przeprowadzony

test nie jest remedium na problem i nie podniesie automatycznie

poziomu bezpieczeństwa – zrobi to dopiero wdrożenie zaleconych

zmian.

Jak

można przeczytać w najnowszym raporcie Verizon

Data Breach Investigations, w

trzykrotnie. Z

tegorocznego raportu F-Secure wynika z kolei, że ponad jedna trzecia

cyberataków na przedsiębiorstwa dotyczy poczty elektronicznej – w

postaci phishingu (16% ogółu cyberzagrożeń), jak również

złośliwego oprogramowania przesyłanego w załącznikach maili

(18%).