Najlepsze sposoby na phishing w firmach

E-mail od „dyrektora generalnego” z prośbą o szybki przelew. Strona logowania wyglądająca jak Microsoft 365. Powiadomienie od partnera z fakturą do natychmiastowej zapłaty. To już nie są oczywiste oszustwa z kiepskim językiem. Phishing stał się ukierunkowaną metodą ataku na firmy, a najlepsze sposoby na phishing opierają się na więcej niż jednej ochronie.

Atakujący często potrzebuje tylko chwili uwagi jednego pracownika, aby zdobyć hasła, dane do płatności lub dostęp do poufnych danych. Firma musi jednak posiadać odpowiednie procesy, technologię i reakcje każdego dnia. Jest to znacznie bardziej opłacalne niż radzenie sobie z oszustwami, utratą danych lub przerwami w działalności po fakcie.

Dlaczego phishing tak często odnosi sukces

Phishing polega przede wszystkim na wykorzystywaniu zaufania i pośpiechu. Wiadomości mogą pochodzić z adresu e-mail przypominającego adres dostawcy, banku lub menedżera. Mogą odnosić się do rzeczywistego projektu, niedawnego klienta lub publicznych informacji, które atakujący znalazł na stronie internetowej firmy lub w mediach społecznościowych.

Celem jest zazwyczaj jedno z trzech: nakłonienie odbiorcy do zalogowania się na fałszywej stronie, otwarcie złośliwego załącznika lub wykonanie płatności. W wielu przypadkach pierwsza wiadomość nie zawiera złośliwego oprogramowania. Dostęp do jednego e-maila może wystarczyć, aby atakujący śledził komunikację, wysyłał wiarygodne wiadomości z skrzynki pocztowej i określił następny krok.

Dlatego nie jest uczciwe obarczanie całego ciężaru odpowiedzialności na personel. Dobry pracownik może podjąć złą decyzję, gdy wiadomości wyglądają przekonująco, presja czasu jest duża, a procedury są niejasne. Firmy potrzebują ochrony, która sprawi, że błędy będą mniej brzemienne w skutki.

Najlepsze sposoby na phishing zaczynają się od jasnych procesów

Bezpieczne działanie nie opiera się na ciągłym podejrzewaniu personelu. Opiera się na tym, że pewne działania nigdy nie są wykonywane wyłącznie na podstawie poczty elektronicznej. Płatności, zmiany danych bankowych dostawców, nowi odbiorcy płatności i prośby o poufne dane zawsze wymagają potwierdzenia inną drogą.

Potwierdzenie to może być rozmowa telefoniczna pod znanym numerem telefonu, prośba w zatwierdzonym systemie zgłoszeń lub rozmowa twarzą w twarz. Ważne jest, aby nie używać numeru telefonu ani linku zawartego w podejrzanej wiadomości. Jeśli atakujący kontroluje kanał komunikacji, potwierdzenie jest bezwartościowe.

Menedżerowie muszą wspierać te praktyki w praktyce. Pracownik, który wstrzymuje płatność w celu weryfikacji prośby, powinien być chwalony, a nie upominany za spowalnianie procesu. Kiedy liczy się tylko szybkość, oszust ma większe szanse na wygraną.

Naucz personel rozpoznawać kontekst, a nie tylko błędy

Szkolenie dotyczące phishingu nie powinno być corocznym, obowiązkowym kursem, o którym zapomina się następnego dnia. Musi być powiązane z komunikatami i decyzjami, które ludzie podejmują w swojej pracy. Na przykład zespół finansowy musi ćwiczyć prośby o zmiany płatności, podczas gdy zespół sprzedaży i obsługi klienta musi rozpoznawać fałszywe linki logowania i nieoczekiwane prośby o dokumenty od klienta.

Dobre szkolenie uczy ludzi zatrzymywać się, gdy wiadomości tworzą niezwykle pilną sytuację, wymagają poufności lub proszą o ominięcie zwykłych procedur. Uczy również prostej reakcji: nie klikać, nie odpowiadać, natychmiast zgłosić. Pracownicy powinni wiedzieć dokładnie, dokąd się udać, nie bojąc się wyglądać na niepewnych.

Symulowane ataki phishingowe mogą być przydatne, ale tylko wtedy, gdy są wykorzystywane do poprawy. Celem nie jest złapanie ludzi w pułapkę, ale znalezienie miejsc, w których zawodzą procedury, szkolenia lub zabezpieczenia techniczne. Częste, krótkie sesje edukacyjne zazwyczaj przynoszą lepsze rezultaty niż jedna długa prezentacja raz w roku.

Chroń tożsamość za pomocą uwierzytelniania wieloskładnikowego i zarządzania hasłami

Skradzione hasło jest nadal jednym z najczęstszych sposobów dostania się do systemów firmowych. Uwierzytelnianie wieloskładnikowe znacznie zmniejsza ryzyko, ponieważ samo hasło nie wystarcza do zalogowania. Musi być jednak prawidłowo skonfigurowane i obejmować pocztę elektroniczną, usługi w chmurze, dostęp zdalny, dostęp administratora i inne systemy, które przechowują lub otwierają wrażliwe dane.

Nie wszystkie uwierzytelniania wieloskładnikowe są równie silne. Kody SMS są lepsze niż nic, ale mogą być podatne na oszustwa i kradzież numeru telefonu. Aplikacje uwierzytelniające, klucze bezpieczeństwa i metody logowania odporne na phishing zapewniają silniejszą ochronę tam, gdzie jest to uzasadnione. Właściwy wybór zależy od systemów, ryzyka i środowiska pracy firmy.

Menedżer haseł pomaga pracownikom używać długich, unikalnych haseł bez przechowywania ich w dokumentach, przeglądarkach lub notatkach. Może również zmniejszyć ryzyko fałszywych stron logowania, ponieważ prawidłowo zapisane dane logowania nie będą automatycznie wypełniane na nieprawidłowej stronie internetowej. Należy również zdefiniować, kto ma dostęp do wspólnych kont i co się dzieje, gdy pracownik zmienia rolę lub odchodzi.

Wzmocnij pocztę e-mail, zanim wiadomości dotrą

Ochrona poczty e-mail powinna zatrzymać jak najwięcej, zanim pracownik zobaczy wiadomość. Filtry spamu i zagrożeń, analiza szkodliwych załączników i linków internetowych, a także zasady dotyczące fałszowania domen firmy, stanowią podstawę ochrony. Prawidłowe ustawienia SPF, DKIM i DMARC pomagają również zapobiegać wykorzystywaniu nazwy firmy do oszukiwania klientów lub partnerów.

Jednak techniczna ochrona nie może zagwarantować, że nic nie przejdzie. Nowe ataki i spersonalizowane oszustwa mogą ominąć filtry, zwłaszcza jeśli atakujący użyje przejętego, prawdziwego adresu e-mail. Dlatego ochrona poczty e-mail, szkolenie użytkowników i procesy płatności muszą ze sobą współpracować.

Ważne jest również ograniczenie programów, które mogą być uruchamiane z załączników, oraz tego, którzy użytkownicy mają uprawnienia administratora. Jeśli podejrzany dokument doprowadzi do infekcji jednego komputera, atak nie powinien automatycznie rozprzestrzenić się na całą sieć. Ochrona punktów końcowych, regularne aktualizacje i separacja dostępu zmniejszają zakres szkód, gdy coś pójdzie nie tak.

Uprość proces, gdy ktoś kliknie

Pomimo dobrych zabezpieczeń, incydenty będą się zdarzać. Różnica między małym incydentem a poważnym naruszeniem bezpieczeństwa często zależy od pierwszych kilku godzin. Pracownik, który wpisał hasło na podejrzanej stronie, musi być w stanie natychmiast to zgłosić. Następnie należy zmienić hasło, unieważnić aktywne sesje logowania, przejrzeć historię logowania i ocenić, czy skrzynka pocztowa nie została wykorzystana do dalszych oszustw.

Jeśli załącznik został otwarty lub program uruchomiony, urządzenie musi zostać odizolowane, zbadane i upewnić się, że atak nie dotarł do innych systemów. W przypadku potencjalnego oszustwa płatniczego, zespół finansowy musi niezwłocznie skontaktować się z bankiem i odpowiednimi stronami. Opóźnienia mogą zadecydować o tym, czy przelew zostanie zatrzymany.

Plan reagowania nie musi być grubym raportem, którego nikt nie otwiera. Musi określać, kto podejmuje decyzje, kto jest informowany, które systemy należy chronić w pierwszej kolejności i jak utrzymać ciągłość działania. Testuj go regularnie, zwłaszcza gdy pojawiają się nowe systemy, nowi pracownicy lub nowe metody płatności.

Ochrona przed phishingiem to ochrona operacyjna

Koszt phishingu rzadko jest tylko techniczny. Przejawia się w straconych godzinach pracy, zatrzymanych projektach, błędnych płatnościach, uszkodzonej usłudze i zaufaniu, którego odbudowa zajmuje dużo czasu. Dla małych i średnich firm jeden poważny incydent może odwrócić uwagę od działalności na wiele tygodni.

Dlatego w nexIT postrzegamy ochronę przed phishingiem jako interakcję codziennego zarządzania systemem, odpowiednich ustawień bezpieczeństwa i dostępnej porady, gdy coś wydaje się nie tak. Nie musicie zatrudniać eksperta za każdym razem, gdy pracownik otrzyma podejrzaną wiadomość.

Zacznij od jednego realistycznego pytania: Jeśli ktoś w firmie kliknie przekonujący fałszywy link dzisiaj, czy wiemy dokładnie, co stanie się dalej? Jeśli odpowiedź nie jest jasna, jest to dobre miejsce na poprawę ochrony, zanim zrobi to atakujący.