Багато атак націлені на людей, а не на машини. Злочинці грають на поспіху, страху, цікавості та повазі до керівника. Часто легше обдурити працівника, ніж зламати систему.
Поширені форми
- Фішинг: електронний лист або повідомлення, що вдає, ніби надійшло від банку, постачальника, пошти, податкової, ІТ-відділу чи колеги. Воно просить вас перейти за посиланням, відкрити вкладення або увійти в акаунт.
- Смішинг: те саме в SMS. Вішинг: те саме під час телефонної розмови.
- Цільовий фішинг (spear phishing): повідомлення написане спеціально для вас і містить справжні імена та подробиці з вашої роботи.
- Шахрайство від імені директора (CEO fraud): «директор» просить швидко й конфіденційно сплатити рахунок або надіслати списки працівників. Відправника підроблено або акаунт перехоплено.
- Фальшива підтримка: хтось телефонує й каже, що він з ІТ чи Microsoft, і просить встановити програму або назвати код.
- Фізичний доступ: чужа людина заходить слідом за вами у двері («tailgating») або вдає майстра.
Ознаки
- Адреса відправника виглядає майже правильно, але трохи відрізняється.
- Заяви про терміновість: «зробіть це зараз», «акаунт буде закрито».
- Незвичні прохання, особливо про гроші, паролі, генератори кодів, дані про зарплати чи списки людей.
- Посилання, де адреса під курсором не збігається з текстом.
- Несподівані вкладення, особливо zip-файли й офісні документи, що просять «увімкнути вміст».
- Погана мова, але не завжди. Сучасне шахрайство може бути добре написаним.
Що ви робите?
- Зупиніться. Поспіх — найкращий помічник шахрая.
- Не натискайте й не відкривайте. Натомість перейдіть на сайт напряму, ввівши адресу самостійно.
- Перевірте іншим каналом. Зателефонуйте відправнику за номером, який уже знаєте, а не за номером із повідомлення.
- Платежі та зміни номера рахунку мають іти за процедурою організації за участі двох осіб, навіть якщо «керівник» каже, що терміново.
- Повідомляйте про підозрілі повідомлення ІТ або відповідальному за безпеку. Повідомте і тоді, коли вже натиснули. Швидке повідомлення може зупинити шкоду.
- Якщо ви ввели пароль на фальшивій сторінці, негайно змініть його і скажіть про це.
Чому треба повідомляти, навіть якщо соромно?
Обдурити можуть будь-кого. Наскільки серйозними будуть наслідки, визначає те, як швидко організація про це дізнається. Фішингова атака, що відкриває доступ до поштової скриньки з персональними даними, може бути порушенням безпеки персональних даних із строком повідомлення Datatilsynet (урок 7). Строки йдуть від моменту, коли організація дізналася про порушення, тож ваша затримка може зробити запізнілою всю організацію.
Програми-вимагачі
Програма-вимагач шифрує файли й вимагає плату. Від’єднайте комп’ютер від мережі, але залиште його ввімкненим, і негайно зателефонуйте в ІТ. Не платіть і не домовляйтеся самостійно.
Соціальні мережі
Не публікуйте фото робочого місця, екранів із даними клієнтів, перепусток чи внутрішніх документів. Злочинці збирають там інформацію, щоб зробити атаки правдоподібними.