Zavřete přední dveře: Prevence phishingových útoků

Bezpečnostní incidenty byly po celý rok 2022 na rekordně vysoké úrovni a mezi hlavní hrozby patří narušení dat a ransomware, podněcování finančních podvodů a ztráty z plateb výkupného.

Počty známých malwarových útoků neustále rostou. Nedávná zpráva společnosti IT Governance se sídlem ve Spojeném království identifikovala 112 veřejně odhalených bezpečnostních incidentů v srpnu 2022 ve Spojených státech, Velké Británii, Evropě, Jižní Americe a jinde. Tato narušení zabezpečení měla za následek 97 456 345 kompromitovaných záznamů.

Známé malwarové útoky během roku 2022 stojí společnosti miliony dolarů. Během první poloviny roku 2022 došlo podle webu Statista na celém světě k celkem 236,1 milionu útoků ransomwaru. Hackeři často využívají chytré phishingové kampaně k získání přístupu k přihlašovacím údajům zaměstnanců za účelem zahájení těchto útoků.

Sociální inženýrství

V současnosti existuje mnoho různých lstivých hackerských metod, ale právě sociální inženýrství by mělo být na vrcholu seznamu rostoucích hrozeb každého CSO. Tyto hacky můžou zahrnovat vše od falešných zpráv od bank se spamovými odkazy, podezřelých přímých facebookových zpráv od přátel až po podvodníky získávající phishingem přihlašovací údaje zaměstnanců, aby získali přístup k firemním systémům.

Obelstění a podvádění nic netušících zaměstnanců se pro hackery stalo jedním z nejjednodušších způsobů, jak získat přístup k firemním systémům. Najděte nic netušícího zaměstnance, získejte přístup k přihlašovacím údajům tohoto zaměstnance a ukradněte klíče od království. Jak se říká, je snazší se dostat dovnitř pomocí klíčů od předních dveří, než se nabourat zadními dveřmi.

Společně musíme přijmout modernější a bezpečnější způsob, jak ověřit identitu jednotlivce a překonat staré způsoby více uživatelských jmen, hesel a odpovědí na bezpečnostní otázky. Ani vícefaktorové ověřování již není neomylné.

Přečtěte si také:

Osm charakteristik vysoce efektivních CIO

Uber, Twilio a Mailchimp hacky

Každá organizace je vystavena riziku narušení dat nebo narušení bezpečnosti. Toto se stalo minulé léto Uberu. Hacker pomocí sociálního inženýrství získal přihlašovací údaje zaměstnance Uberu a získal tak přístup k internímu intranetu Uber, firemnímu systému Slack, správci Google Workspace, účtům AWS společnosti Uber, finančním panelům a dalším.

K dalšímu významnému příkladu došlo dříve v roce 2022, kdy bezpečnostní firma Group-IB odhalila, že zaměstnanci Twilio, MailChimp a Klavioyo byli nevědomými oběťmi masivní phishingové kampaně. Tento útok ohrozil téměř 9 400 účtů ve více než 130 organizacích. Mnozí z těchto zaměstnanců byli v USA a používali hojně využívanou službu správy identit a přístupu od společnosti Okta.

Na začátku tohoto roku došlo k dalším útokům. O těchto zprávách jsem informoval ve svém sloupku CIO v červnu. Například hack Lapsus$ zahrnoval společnosti Cisco, NVIDIA, Samsung, T-Mobile, Vodafone a pravděpodobně i další významné organizace.

Přečtěte si také:

Jak poznáte, že už s tím máte seknout

A CSO, všimněte si, že i platformy navržené k ochraně vás a vašich zaměstnanců jsou napadeny. V srpnu společnost LastPass zabývající se správou hesel oznámila, že její systémy byly narušeny.

CSO a správci systémů považovali MFA (vícefaktorové ověřování) nebo 2FA (dvoufaktorové ověřování) za ideální řešení. Ale nyní jsou i tyto procesy hackovány a podvodníci získávají neoprávněný přístup k uživatelským datům a informacím.

Vznikající legislativa

Lidé se stávají oběťmi phishingových/podvodných útoků a začínají si toho všímat zákonodárci ve Spojeném království i v USA. Ve Velké Británii existuje návrh, podle kterého by banky a další finanční instituce vyplácely oběti on-line podvodů.

Regulátor platebních systémů v září oznámil, že chce, aby odvětví plateb změnilo způsob, jakým spravuje podvody APP (Authorised Push Payment). Navrhovaná opatření vyžadují, aby banky obětem podvodu uhradily odcizené částky přesahující 100 liber.

Banky se sídlem ve Spojeném království budou povinny zákazníka odškodnit, i kdyby šlo o phishingový útok umožněný neznalostí zákazníka banky. Banka bude i nadále povinna pomoci vrátit ztracené peníze.

Pište pro CIO Business World

Máte dobré nápady, máte co říct? Chcete se podělit o své znalosti se čtenáři CIO BW?

Je tu ideální příležitost. V redakci neustále hledáme externí autory, kteří rozšíří náš záběr. Nabízíme možnost publikací zajímavých článků nejen na webu, ale také v našem tištěném magazínu. Pokud máte zájem, ozvěte se šéfredaktorovi na e-mail: radan.dolejs@iinfo.cz

Ve Spojených státech prosazuje podobnou legislativu také senátorka za Massachusetts Elizabeth Warrenová, a to v důsledku své analýzy zákazníků Zelle, kteří nahlásili ukradené peníze.

Finanční instituce musí věnovat přísnou pozornost podvodným schématům, aby lépe chránily své zákazníky. Tím, že banky budou chránit své zákazníky, ochrání i svůj hospodářský výsledek. Problémy kybernetické bezpečnosti nejsou jen problémem bezpečnosti nebo značky; stávají se také represivním finančním problémem.

Jak se mohou CSO bránit

Organizace CSO musí zdvojnásobit prevenci pokusů o phishing v interních systémech a kolem nich. Je to jedna z nejkritičtějších akcí, které je třeba řešit. Nejen, že dochází k napadání vašich zákazníků a odhalování jejich osobních informace, ale nyní byly kompromitovány i společnosti, které spravují přihlašovací údaje a řízení přístupu (Duo, OKTA, LastPass), což problém dále prohlubuje.

Uzamykání předních dveří je stále nejlepším způsobem, jak se těmto hrozbám bránit. Dobrým začátkem je přijetí víceúrovňového přístupu k přehodnocení identity vašich zaměstnanců, partnerů a zákazníků. Pokud o tom ještě neuvažujete, je čas začít se poohlížet po nové generaci produktů pro správu identit a řízení přístupu, které jsou uváděny na trh.

Přečtěte si také:

Za 50 tisíc už v IT v Praze nikdo nepracuje, horní hranice i je čtvrt milionu

Tyto inovativní systémy mohou lépe stanovit identitu nejen přihlašovaného zařízení, ale také identitu jednotlivce, který zařízení používá. Identita navíc musí být nepřetržitou záležitostí, nejen na začátku dne, směny nebo online relace. Novější systémy založené na AI toho dokážou dosáhnout bez vytváření nepříjemných vyskakovacích oken s neustálým opětovným ověřováním, a to kombinací různých behaviorálních a případně biometrických signálů v reálném čase.

Nulová důvěra se v tomto odvětví stala příliš často používanou frází, ale nyní je čas začít nasazovat řešení, která vám jako CSO umožní skutečně důvěřovat tomu, kdo přistupuje k vašim sítím a datům.