Wiele ataków uderza w ludzi, nie w maszyny. Przestępcy grają na pośpiechu, strachu, ciekawości i szacunku dla szefa. Często łatwiej oszukać pracownika, niż włamać się do systemu.
Częste formy
- Phishing: e-mail lub wiadomość podająca się za wiadomość z banku, od dostawcy, z poczty, z urzędu skarbowego, działu IT lub od współpracownika. Prosi o kliknięcie linku, otwarcie załącznika albo zalogowanie się.
- Smishing: to samo w SMS-ie. Vishing: to samo w rozmowie telefonicznej.
- Spear phishing (ukierunkowany phishing): wiadomość jest napisana specjalnie dla ciebie i używa prawdziwych nazwisk oraz szczegółów z twojej pracy.
- Oszustwo na dyrektora (CEO fraud): „dyrektor” prosi o szybką i poufną zapłatę faktury albo wysłanie list pracowników. Nadawca jest podrobiony albo konto zostało przejęte.
- Fałszywa pomoc techniczna: ktoś dzwoni i mówi, że jest z działu IT lub z Microsoftu, i prosi o zainstalowanie oprogramowania lub podanie kodu.
- Dostęp fizyczny: obcy wchodzi za tobą przez drzwi („tailgating”) albo podaje się za rzemieślnika.
Oznaki
- Adres nadawcy wygląda prawie dobrze, ale jest odrobinę inny.
- Twierdzenia o pilności: „zrób to teraz”, „konto zostanie zablokowane”.
- Nietypowe prośby, zwłaszcza o pieniądze, hasła, generatory kodów, dane płacowe lub listy osób.
- Linki, w których adres pod kursorem nie zgadza się z tekstem.
- Nieoczekiwane załączniki, zwłaszcza pliki zip i dokumenty biurowe, które każą „włączyć zawartość”.
- Kiepski język, ale nie zawsze. Nowoczesne oszustwa mogą być dobrze napisane.
Co robisz?
- Zatrzymaj się. Pośpiech to najlepszy sprzymierzeniec oszusta.
- Nie klikaj i nie otwieraj. Zamiast tego wejdź bezpośrednio na stronę, wpisując adres samodzielnie.
- Sprawdź innym kanałem. Zadzwoń do nadawcy pod numer, który już znasz, a nie pod numer z wiadomości.
- Płatności i zmiany numeru konta muszą przebiegać według procedury organizacji z udziałem dwóch osób, nawet jeśli „szef” mówi, że to pilne.
- Zgłaszaj podejrzane wiadomości do działu IT lub osoby odpowiedzialnej za bezpieczeństwo. Zgłoś też, jeśli link jest już kliknięty. Szybkie zgłoszenie może zatrzymać szkodę.
- Jeśli hasło trafiło na fałszywą stronę, natychmiast je zmień i powiadom kogoś.
Dlaczego zgłaszać, nawet jeśli się wstydzisz?
Każdy może dać się oszukać. O powadze skutków decyduje to, jak szybko organizacja się dowie. Atak phishingowy dający dostęp do skrzynki e-mail z danymi osobowymi może być naruszeniem ochrony danych osobowych z terminem zgłoszenia do Datatilsynet (lekcja 7). Terminy biegną od chwili, gdy organizacja dowiedziała się o naruszeniu, więc twoja zwłoka może sprawić, że spóźni się cała organizacja.
Oprogramowanie wymuszające okup
Ransomware szyfruje pliki i żąda zapłaty. Odłącz komputer od sieci, ale zostaw go włączonego i natychmiast zadzwoń do IT. Nie płać i nie negocjuj na własną rękę.
Media społecznościowe
Nie publikuj zdjęć miejsca pracy, ekranów z danymi klientów, kart dostępu ani wewnętrznych dokumentów. Przestępcy zbierają tam informacje, by przygotować wiarygodne ataki.