Phishing wciąż najskuteczniejszym atakiem
W systemie ochrony człowiek niezmiennie pozostaje najsłabszym ogniwem. Jak wynika z najnowszego raportu firmy Positive Technologies, aż 27 proc. pracowników daje się złowić hakerom stosującym ataki phishingowe.
Firma Positive Technologies przeprowadziła w latach 2016-2017 badania na grupie prawie 3,5 tys. pracowników z dziesięciu dużych zachodnich firm. W ramach tzw. pentestów, czyli testów penetracyjnych, pracownicy otrzymali maile z zainfekowanymi załącznikami i linkami do fałszywych stron logowania. Przy tym nie zdawali sobie sprawy, że to część kontrolowanego włamania.
Najefektywniejszą metodą ataku pozostaje mail z linkiem do fałszywej strony internetowej: aż 27 objętych badaniem pracowników nie miało oporów, by kliknąć na spreparowany przez pentesterów odnośnik. Nie zwracali przy tym uwagi na adres internetowy, nie przejmując się, że odwiedzają strony tylko udające legalne.
– Skrzynki mailowe pracowników to nadal najsłabsze ogniwo w bezpieczeństwie firm. O ile jednak firma może się zabezpieczyć przed zawirusowanymi załącznikami dzięki odpowiednim programom, to jeszcze nie mamy jednego skutecznego sposobu na powstrzymanie nieświadomego podstępu pracownika przed podaniem swojego hasła na udającej właściwą stronie autoryzującej dostęp. Tu mogą pomóc wyłącznie szkolenia i edukacja – komentuje wyniki raportu Adam Dzielnicki z Atmana, firmy oferującej usługi data center i przeprowadzającej pentesty w polskich firmach.
Nawet IT daje się złowić
Raport Positive Technologies wykazał, że coraz doskonalsze socjotechniczne metody wykorzystywane przez hakerów potrafią nie tylko uśpić czujność pracowników, ale i stworzyć iluzję interakcji. Wiele z przebadanych osób nie tylko otworzyło załącznik czy kliknęło w linki, ale także wdało się w korespondencję z atakującymi.
Niektórzy pracownicy, nie mogąc otworzyć linków lub przesłanych plików, potrafili na fałszywej stronie logowania wprowadzić swoje hasło nawet 40 razy. Co ciekawe, atakom ulegli nie wyłącznie pracownicy spoza IT. Złowić się dało 9 proc. zatrudnionych w działach informatycznych, a nawet 3 proc. specjalistów ds. bezpieczeństwa IT, którzy teoretycznie powinni umieć rozpoznać tego typu ataki.
Atak na zamówienie
Aby zmniejszyć ryzyko udanych ataków opartych na metodach socjotechnicznych, ważne jest regularne przeprowadzanie szkoleń i testowanie, na ile skutecznie każdy pracownik przestrzega zasad bezpieczeństwa w praktyce. Na rynku dostępne są rozwiązania do symulowania ataków phishingowych, które mogą pomóc w wyrobieniu wśród pracowników dobrych praktyk w obszarze bezpieczeństwa. Klientom można oferować także “włamania na zamówienie”, czyli pentesty służące do identyfikacji słabych punktów i wskazania adekwatnych środków naprawczych. Firmy powinny mieć jednak świadomość, że przeprowadzony test nie jest remedium na problem i nie podniesie automatycznie poziomu bezpieczeństwa – zrobi to dopiero wdrożenie zaleconych zmian.
Pełna treść raportu jest dostępna tutaj
Podobne aktualności
Gang rozsyłający wiadomości phishingowe rozbity
Policja zatrzymała 21 osób. Oszukali 800 osób na 2,5 mln zł.
Przestępcy podszywają się pod marki IT, aby kraść dane
Zazwyczaj udają Microsoft, Amazona albo Google'a. „W związku z powszechnym wykorzystaniem AI w tym roku możemy spodziewać się większej liczby kampanii phishingowych” – ostrzega ekspert.