Objavili ste fotografiju sa plaže uz opis da ste na godišnjem odmoru. Nekoliko sati kasnije stiže vam poruka. „Zdravo, izvini što te uznemiravam dok si na odmoru. Direktor je zamolio da hitno pregledaš jedan dokument pre sastanka u ponedeljak. Možeš li da otvoriš ovaj link?“
Na prvi pogled, nema razloga za sumnju. Poruka deluje kao da ju je poslao kolega.
Spominje direktora, zna da ste na odmoru i stiže baš u trenutku kada niste u kancelariji. Jedini problem je što kolega tu poruku nikada nije poslao.
Za razliku od hakera iz filmova koji probijaju sisteme, današnji napadači često uopšte ne napadaju tehnologiju. Oni napadaju ljude.
Kada javni podaci postanu oružje
Većina informacija koje napadač koristi dostupna je svima. Dovoljno je nekoliko minuta pretrage društvenih mreža. Na LinkedIn-u može da vidi gde radite, koju poziciju imate i ko vam je direktor.
Na Instagramu može da sazna da ste trenutno na letovanju. Na Fejsbuku može da pronađe informacije o porodici ili kolegama.
Kada se svi ti podaci spoje, nastaje veoma uverljiv profil žrtve. Napadač tada može da pošalje poruku koja izgleda potpuno legitimno: „Pošto ste van kancelarije, molimo Vas da potvrdite pristup svom nalogu kako bismo izbegli blokadu.“
Što više tačnih detalja iz vašeg života poruka sadrži, veća je verovatnoća da ćete joj poverovati.
Socijalni inženjering danas ne liči na spam
Uz pomoć javno dostupnih informacija i alata zasnovanih na veštačkoj inteligenciji, napadači mogu da napišu poruku koja zvuči kao da ju je poslao vaš kolega, direktor ili poslovni partner.
Ovakvi napadi poznati su kao „spear phishing” ili ciljani socijalni inženjering. Oni nisu namenjeni hiljadama ljudi ođednom, već jednoj konkretnoj osobi ili organizaciji.
Problem nije samo privatna bezbednost. Zaposleni često nesvesno objavljuju informacije koje mogu pomoći napadačima da razumeju unutrašnju strukturu kompanije, identifikuju odgovorne osobe ili odrede trenutak kada je organizacija najranjivija.
Objava o odlasku na službeni put, fotografija sa konferencije ili informacija da je direktor na godišnjem odmoru mogu postati deo mnogo šire prevare usmerene ka kompaniji.
Poruka koja košta milione
Jedan od upečatljivijih primera dogodio se prošle godine u kompaniji Marks i Spenser, jednom od najpoznatijih britanskih trgovinskih lanaca.
Napadači nisu prvo pokušali da probiju bezbednosne sisteme, već su koristeći javno dostupne informacije i socijalni inženjering uspeli da se predstave kao zaposleni i prevare IT podršku.
Napadač se predstavio kao jedan od oko 50.000 ljudi koji rade sa kompanijom i tako prevario treću stranu (IT servis) da resetuje lozinku zaposlenog.
Nakon što su dobili pristup internim sistemima, kompanija se suočila sa ozbiljnim poremećajima u poslovanju, uključujući prekid internet prodaje i finansijski udar procenjen na više stotina miliona evra.
Ovaj slučaj pokazao je da ni velike kompanije sa naprednim bezbednosnim sistemima nisu imune kada napadači uspeju da iskoriste ljudsko poverenje i da najslabija karika često nije tehnologija, već ljudsko poverenje.
Kako smanjiti rizik
Potpuno povlačenje sa društvenih mreža nije realno, ni potrebno. Ono što jeste važno jeste svest o tome koje informacije objavljujemo i kako one mogu izgledati kada ih neko poveže.
Stručnjaci iz kompanije PULSEC, regionalnog lidera u oblasti sajber bezbednosti, ističu da zaštita od socijalnog inženjeringa počinje edukacijom zaposlenih i razvojem bezbednosne kulture.
Tehnološke mere jesu važne, ali nijedan sistem ne može sprečiti korisnika da dobrovoljno otkrije podatke ili poveruje u pažljivo osmišljenu prevaru.
Zato je, pre nego što objavimo fotografiju sa putovanja, označimo lokaciju ili podelimo poslovne informacije, korisno zapitati se da li ova informacija, u kombinaciji sa svim ostalim koje ste već javno objavili, nekome može pomoći da vas ubedljivije prevari.
U vremenu kada se sajber napadi sve češće oslanjaju na psihologiju umesto na tehniku, upravo ta svest postaje jedna od najvažnijih linija odbrane.
Izvor: RTS
