Multe atacuri vizează oamenii, nu mașinile. Infractorii mizează pe grabă, frică, curiozitate și respectul față de șef. Este adesea mai ușor să păcălești un angajat decât să pătrunzi într-un sistem.
Forme obișnuite
- Phishing: un e-mail sau un mesaj care pretinde că vine de la o bancă, un furnizor, Posten (poșta norvegiană), Skatteetaten (administrația fiscală), departamentul IT sau un coleg. Vă cere să dați clic pe un link, să deschideți un atașament sau să vă autentificați.
- Smishing: același lucru prin SMS. Vishing: același lucru prin telefon.
- Phishing țintit (spear phishing): mesajul este scris special pentru dumneavoastră și folosește nume reale și detalii din munca dumneavoastră.
- Frauda „directorului" (frauda CEO): „directorul" vă cere rapid și confidențial să plătiți o factură sau să trimiteți liste cu angajații. Expeditorul este falsificat sau contul a fost preluat.
- Suport fals: cineva sună și spune că este de la IT sau de la Microsoft și vă cere să instalați un program sau să dați un cod.
- Acces fizic: un străin vă urmează pe ușă („tailgating") sau se dă drept meseriaș.
Semne
- Adresa expeditorului arată aproape corect, dar este puțin greșită.
- Afirmații despre urgență: „faceți acum", „contul va fi închis".
- Cereri neobișnuite, mai ales despre bani, parole, token-uri, date salariale sau liste de persoane.
- Linkuri în care adresa de sub cursor nu se potrivește cu textul.
- Atașamente neașteptate, mai ales fișiere zip și documente de birou care vă cer să „activați conținutul".
- Limbă slabă, dar nu întotdeauna. Fraudele moderne pot fi bine scrise.
Ce faceți?
- Opriți-vă. Graba este cel mai bun ajutor al escrocului.
- Nu dați clic și nu deschideți. Mergeți mai degrabă direct pe site, scriind singur adresa.
- Verificați pe alt canal. Sunați expeditorul la un număr pe care îl cunoașteți deja, nu la unul din mesaj.
- Plățile și schimbările de număr de cont trebuie să urmeze procedura întreprinderii cu două persoane, chiar dacă „șeful" spune că este urgent.
- Raportați mesajele suspecte la IT sau la responsabilul cu securitatea. Raportați și dacă ați dat deja clic. Un răspuns rapid poate opri paguba.
- Dacă ați introdus parola pe o pagină falsă, schimbați-o imediat și anunțați.
De ce să anunțați chiar dacă vă este rușine?
Oricine poate fi păcălit. Ceea ce hotărăște cât de grav devine totul este cât de repede află întreprinderea. Un atac de phishing care dă acces la un cont de e-mail cu date personale poate fi o încălcare a securității datelor cu termen de notificare către Datatilsynet (lecția 7). Termenele curg din momentul în care întreprinderea a luat cunoștință de încălcare, deci o întârziere din partea dumneavoastră poate face întreaga întreprindere să întârzie.
Programe de extorcare
Ransomware-ul criptează fișiere și cere plată. Deconectați calculatorul de la rețea, dar lăsați-l pornit, și sunați imediat la IT. Nu plătiți și nu negociați pe cont propriu.
Rețelele sociale
Nu postați imagini ale locului de muncă, ecrane cu date ale clienților, cartele de acces sau documente interne. Infractorii culeg de acolo informații pentru a construi atacuri credibile.