Metinėje saugos ataskaitoje „Verizon“ randa „c-suite“, smogia pavojų

Pagrindinis motyvuojantis veiksnys, sukeliantis duomenų pažeidimus, yra paprastas ir paprastas pinigai. Piratai nori uždirbti pinigų iš pažeidimų, ir tai buvo pagrindinė išvada vakar „Verizon“ paskelbtoje 2019 m. Duomenų pažeidimų tyrimo ataskaitoje. Bendrovė ištyrė 41 686 saugumo incidentus ir daugiau nei 2000 duomenų pažeidimų ir nustatė, kad 71 proc. Pažeidimų buvo motyvuoti. Taip pat paaiškėjo, kad nemaža dalis šių atakų buvo „C-suite“ vadovų socialinės inžinerijos bandymai. Jie buvo 12 kartų labiau linkę patirti socialinės inžinerijos incidentą dabar, nei tuo laikotarpiu, kuris nurodytas „Verizon“ 2018 m. Duomenų pažeidimo tyrimų ataskaitoje. Įprasta šių išpuolių forma yra sukčiavimas sukčiavimo metu, kai įsilaužėliai slepia save kaip patikimą asmenį ir pasiima vartotojo vardus, slaptažodžius ir kredito kortelės duomenis.

Kaip teigė „Verizon“ vyresnysis informacijos saugumo duomenų žinovas ir pranešimo autorius, užpuolikai ieško „greito įnašo“. Šios grėsmės turėtų būti įsimenamos mažoms ir vidutinio dydžio įmonėms (MVĮ) - vienoms iš daugelio su SMB susijusių problemų, kurios šiuo metu sprendžiamos šios savaitės Nacionalinės smulkaus verslo savaitės (NSBW) renginyje, kurį remia JAV smulkaus verslo administracija. Remiantis ataskaita (žr. Paveikslą žemiau), šios grėsmės turėtų likti svarbiausios, nes 43 proc. Pažeidimų buvo smulkaus verslo aukos.

(Vaizdo kreditas: „Verizon“)

Kodėl socialinės inžinerijos grėsmės yra tendencingos

Sukčiavimas yra bandymas gauti neskelbtiną informaciją, pvz., Vartotojo vardus, slaptažodžius ir kredito kortelės duomenis, užmaskuojant save kaip patikimą subjektą, siunčiant elektroninius ryšius. Į šias sukčiavimo išpuolius gali būti įtrauktas el. Pašto pranešimas su nuoroda į suklastotą svetainę, kuri atrodo kaip prisijungimo puslapis iš debesies pagrindu sukurto el. Paslaugų teikėjo. „Tai iš tikrųjų tik skirta pavogti jūsų įgaliojimus“, - paaiškino Bassett.

Sukčiavimo apsimetant išpuoliai sudarė 78 procentų kibernetinio šnipinėjimo atvejų, kuriuos tyrė „Verizon“ tyrėjai. El. Laiške apie išpuolį galima kreiptis į vyriausiąjį finansų pareigūną (CFO) ir, atrodo, iš vyriausiojo vykdomojo biuro (generalinio direktoriaus) paprašyti vykdomosios valdybos pervesti tam tikrą pinigų sumą į sąskaitą. Pranešime gali būti sakoma: "Tai tikrai svarbu. Prašau, padaryk tai tikrai greitai", - sakė Bassett.

Šios atakos vadinamos „verslo el. Pašto kompromisais“. Bassett paaiškino, kad „Verizon“ pranešime juos vadino „finansiškai motyvuota socialine inžinerija“. Užpuolikai taiko „C-suite“ vadovus, nes jie turi didelę atsakomybę už didelius pinigų pervedimus korporacijoje ir gali atidžiai neskaityti el. Pašto pranešimų.

Sukčiavimo apsimetant išpuoliai „apgaudinėja daugybę žmonių, todėl jie turi žinoti, kad nutinka tokio pobūdžio dalykų, ir turi turėti antrinę kontrolę, kad patikrintų bet kokį pinigų pervedimą ar net sąskaitų apmokėjimą“, - teigė Bassett. "Tai gali būti tiesiog el. Laiškas su padirbta sąskaita faktūra. Jei nekreipiate dėmesio, galite tiesiog sumokėti, nesuvokdami, kad tai nebuvo faktinė teisėta sąskaita faktūra."

Ataskaitoje įvairiose pramonės šakose pagrindinė tema buvo finansiniai išpuoliai. Faktiškai ataskaitoje pažymėta, kad 68 procentai duomenų apie gamybos pažeidimus buvo finansiškai motyvuoti, o 49 procentai iš 352 atvejų, susijusių su gamyba, buvo pavogti.

Įdomus faktas yra tai, kad nepažeidus duomenų, viskas neprarandama. FTB skundų dėl interneto nusikaltimų centras (IC3) gali padėti susigrąžinti lėšas, pavogtas tokio tipo išpuolių metu. Ataskaitoje teigiama, kad pusė incidentų, susijusių su verslo elektroninio pašto kompromitavimu, grąžino arba įšaldė 99 procentus pavogtų lėšų. „Jei jūs nukentėsite dėl vieno iš šių veiksmų, vis tiek turite laiko veikti“, - teigė Bassett. "Jei greitai pranešite IC3, jie gali jums padėti."

Anot Bassett, el. Pašto atakos įvyksta todėl, kad joms nereikia daug techninių įgūdžių. „Nereikia suprasti, kaip veikia kompiuteriai, kad kažkas paprašytų pinigų“, - sakė jis. "Ir tai atveria elektroninius nusikaltimus žmonėms, kurie galbūt nėra techniniai, tačiau yra labai įtikinami".

Kiti pagrindiniai daiktai

El. Pašto atakos nebuvo vieninteliai įdomūs „Verizon“ pranešimo užuominos. Čia yra dar keturios pagrindinės išvados:

1) Kartu su finansiškai motyvuojamais socialinės inžinerijos išpuoliais kyla grėsmė ir elektroninės komercijos sandoriams, dar vadinamiems „kortelės nėra“ išpuoliais. Dėl elektroninės komercijos išpuolių sumažėja grėsmė asmeninėms pardavimo vietose (POS) operacijoms. Nuo 2015 m. POS pažeidimų sumažėjo 10 kartų, o internetinių programų pažeidimų tikimybė yra 13 kartų didesnė. Remiantis ataskaita, užpuolikai gali būti atgrasyti naudojant EMV lustines korteles. POS išpuoliai apgyvendinimo (svetingumo) ir maitinimo paslaugų pramonėje ypač sumažėjo nuo 307 2018 m. „Verizon“ ataskaitoje iki 40 šių metų versijoje (žr. Paveikslą žemiau).

2) Pažeidimai, turintys įtakos debesų duomenų bazių saugojimui įmonėms, turėjo įtakos daugiau nei 60 milijonų duomenų įrašams. Dėl netinkamos sistemos administratorių konfigūracijos šie pažeidimai atsiranda ir netyčia atskleidžia neskelbtiną informaciją. „Tai vyksta vis dažniau ir dažniau, ir tai yra vienas iš tų lengvų, greitų pažeidimų“, - teigė Bassett. "Nuo duomenų bazės suradimo iki jos pažeidimo nereikia daug žingsnių."

Tokio tipo pažeidimai taip pat gali įvykti, kai darbuotojai perduodami asmeniui. Kitas administratorius, dirbantis svetainėje, gali nesuvokti, kad prieš tai buvęs asmuo duomenų bazę paliko viešą.

3) „Verizon“ ataskaita taip pat atskleidė, kad 69 proc. Atakų įvykdė pašaliniai asmenys, palyginti su 34 proc. Išimtis šiai tendencijai buvo sveikatos apsauga, kur viešai neatskleista grėsmė buvo labiau paplitusi, palyginti su kitomis pramonės šakomis. Taip yra todėl, kad dažnai kyla smalsumas žiūrėti įžymybių ar žmonių, kuriuos žino medicinos specialistai, elektroninius medicinos įrašus (EMR).

„Sveikatos priežiūros srityje jie turi nesąžiningų darbuotojų, kurie gali peržvelgti tą informaciją ir suprasti, kad tai yra vertinga sveikatos priežiūros sukčiavimas“, - teigė Bassett. Jis apibūdino bendrą tendenciją, kai užpuolikai perduoda kažkokius pažeistus duomenis tam, kad galėtų pateikti apgaulingas sveikatos draudimo paraiškas.

4) „Verizon“ taip pat nustatė, kad šešis kartus mažiau žmogiškųjų išteklių (HR) specialistų patyrė duomenų pažeidimus. Ataskaitoje teigiama, kad ji neturi tokio sumažėjimo priežasties, išskyrus padidėjusį įmonių supratimą apie grėsmę duomenims. Žmogaus išpuoliai gali apimti bandymą išgauti informaciją apie darbuotojų mokestį, kad įsilaužėliai galėtų pateikti melagingą mokesčių deklaraciją ir palikti darbuotojams sumokėti sąskaitą.

(Vaizdo kreditas: „Verizon“)

Apsauga nuo duomenų pažeidimų

Norėdami apsisaugoti nuo duomenų pažeidimų, ypač nuo sukčiavimo apsimetant išpuoliais, SVV turi naudoti slaptažodžių tvarkytojus, kad sustiprintų savo tapatybės valdymo praktiką. Kita rekomenduojama praktika yra naudoti daugiafaktorinį autentifikavimą (MFA), siekiant apsaugoti paskyras nuo pažeidimų. Ši praktika apima dviejų ar daugiau autentifikavimo formų naudojimą norint gauti prieigą prie sistemos. Tai gali būti slaptažodžiai, biometriniai duomenys, pvz., Pirštų atspaudai, ar žetonai iš mobiliojo telefono.

Norėdami apsisaugoti nuo tokių atakų, kaip sukčiavimas apsimetant, „Bassett“ taip pat rekomenduoja vartotojams, kurie atidaro neprašytus failus iš išorinių subjektų, naudoti tik planšetinio kompiuterio ir klaviatūros „smėlio dėžės“ operacinę sistemą (OS), kad būtų išvengta kenkėjiškų programų plitimo. Smėlio dėžė yra ribota aplinka, kurioje programos yra izoliuotos ir kurioje vartotojams gali būti užkirstas kelias ištrinti failus ir pakeisti sistemos informaciją.

• „Marriott“ piratai pavogė daugiau nei 5 mln. Nešifruotų pasų numerių. „Marriott“ piratai pavogė daugiau nei 5 mln. Nešifruotų pasų numerių
• Pažinčių svetainė „Coffee Meets Bagel“ nukentėjo dėl duomenų pažeidimo „Coffee Meets Bagel“ pažinčių svetainė nukentėjo dėl duomenų pažeidimo
• „SecurityWatch“: Padarykite korporacijas, o ne klientus, kurios gali pažeisti duomenis. „SecurityWatch“: teiraukitės korporacijų, o ne klientų, turėkite duomenų pažeidimus

Tai gali būti sveikas protas, tačiau pagrindinis žingsnis yra suteikti darbuotojams galimybę pranešti apie sukčiavimo el. Laiškus ir duomenų pažeidimus, kai jie bus aptikti. Greitas judėjimas yra būtinas, nes kartais įmonėje sukčiavimo elektroniniame laiške paspaudimų banga įvyksta per savaitę po jų išsiuntimo.

„Ataskaitų teikimas ir paspaudimai vyksta panašiu greičiu pirmą valandą, tačiau ataskaitos išnyksta, o paspaudimai ir toliau vyksta kitą savaitę“, - teigė Bassett. "Naudokite ataskaitas, kurias gavote per pirmą valandą, kad pašalintumėte sukčiavimo elektroninius laiškus iš gautų laiškų aplanko, kad žmonės nespustelėtų jo po dienos ar savaitės ir iš naujo paleistų įvykį."

Esmė: būkite budrūs, įtariai el. Laiškus ir turėkite tvirtą gynybos liniją, kad pastebėtumėte bandymus sukčiauti jūsų versle.