Viisi parasta käytäntöä Keihäskalastuksen ja Valaanpyyntihyökkäysten pitämiseksi loitolla

Perry Carpenter on KnowBe4 Inc: n Pääevankelista., suositun Tietoturvatietoisuuskoulutuksen & tarjoaja simuloitu Tietojenkalastelualusta.

getty

tietojenkalastelu on nousussa eikä näytä hidastumisen merkkejä. Google kertoi ennätyksellisistä 2,1 miljoonasta tietojenkalastelusivustosta vuonna 2020, mikä on lähes 25 prosenttia enemmän kuin vuonna 2019. Kaiken lisäksi Google on estänyt ennakoivasti yli 18 miljoonaa tietojenkalastelusähköpostia joka päivä Covid-19-pandemian alkamisen jälkeen. Huikea.

useimmat tietojenkalasteluhyökkäykset ovat kuin tavallista roskapostia. Sähköpostit, tekstit, tweetit ja sosiaalisen median viestit menevät usein volyymilla yksinkertaisesti siksi, että se on halvempaa tehdä niin, kohdistaen kaikille, jotka klikkaavat viestiä, joka sitten käynnistää todellisen hyökkäyksen. Mutta olisi virhe ajatella, että kaikki tietojenkalasteluhyökkäykset ovat niin yleisiä. Tervetuloa keihäskalastuksen ja valaanpyynnin maailmaan (korkeamman luokan phish). Nämä phishing tekniikat kehittyvät jatkuvasti ja ovat kaikkea muuta kuin scatter-shot niiden lähestymistapa. Raporttien mukaan kyberrikollisuussyndikaatit investoivat aktiivisesti aikaa, rahaa ja vaivaa tavoitellakseen arvokkaita kohteita.

se, mikä erottaa keihäskalastuksen ja valaanpyynnin yleisemmistä, alakanttiin markkinoiduista sisaruksistaan, on hyökkäysten keskittyneisyys. Vaikka keihäs-phishing liittyy menee jälkeen tietyntyyppisiä kohteita, usein organisaation kuuluminen, valaanpyynti liittyy menee jälkeen tiettyjä tavoitteita (yleensä merkittävä ja oletettavasti varakas) aseman, identiteetti tai nimi. Katsotaanpa tarkemmin keihäskalastuksen ja valaanpyyntihyökkäysten mekanismeja.

Keihäskalastus: siirtyminen Umpimähkäisestä kohdennettuun

Keihäskalastushyökkäyksiin pyrkii hyödyntämään julkisesti saatavilla olevaa tietoa ja kohdeorganisaatioita. Sosiaalisen median viestit, lehdistötiedotteet, uutisartikkelit jne. tietoverkkorikolliset käyttävät sähköpostiviestejä, jotka vaikuttavat luotettavilta ja aidoilta. Tällaiset viestit voivat jopa näyttää olevan peräisin joltakulta organisaation sisältä, jolla on valtuudet pyytää luottamuksellisia tietoja. Kun hyökkääjät ovat luoneet luottamuksen, keihäsfiilistelijät yleensä pyytävät käyttäjätunnuksia ja salasanoja tai pyytävät uhreja klikkaamaan linkkiä, joka asentaa salaa drive-by-Latauksia heidän tietokoneisiinsa.

joulukuussa 2020 IBM ilmoitti löytäneensä Covid-19-rokotteen kylmäketjuun tähtäävän keihäsfishing-kampanjan lähettämällä tietojenkalastelusähköposteja työntekijöiden valitsemiseksi myynti -, hankinta -, tietotekniikka-ja rahoitusalan tehtäviin.

FBI antoi myös yhdysvaltalaisille yrityksille varoituksen kasvavasta äänipohjaisesta keihäsfishing-hyökkäyksestä, jonka tarkoituksena on kaapata työntekijöiden kirjautumistunnukset. Hyökkääjät naamioituvat toisiksi henkilöiksi, joita kutsutaan työperäisiksi työntekijöiksi yrittäessään saada heidän tilitietojaan. Kun hyökkääjät pääsevät käsiksi näihin tunnuksiin, he pääsevät käsiksi yritysympäristöön ja kartoittavat seuraavan toimintatapansa. Viime kädessä keihäsfisher voisi saada hallinnollisia salasanoja, pankkitilitietoja, pääsyn immateriaalioikeuksiin tai muihin arvokkaisiin tietoihin tai onnistua saamaan jonkun tietyn organisaation sisälle ajamaan haittaohjelmaa.

valaanpyynti: Palkitun pokaalin verkottaminen

Yleiset tietojenkalasteluhyökkäykset luovat laajan verkon toivoen saavansa kiinni kenet tahansa, joka lankeaa syöttiin, kun taas valaanpyynti kohdistuu valikoituun yksilöön, yleensä suuryrityksen C-tason johtoon. Yksi ensimmäisistä havainnoista valaanpyyntihyökkäyksestä tuli vuonna 2008, kun New York Times kertoi kyberhyökkäyksestä, joka kohdistui tuhansiin korkea-arvoisiin finanssipalveluyritysten johtajiin.

jokainen kohde sai sähköpostiviestin, joka oli naamioitu haasteeksi Yhdysvalloista. San Diegon piirioikeus, joka sisälsi johtajan nimen, yrityksen, osoitteen ja puhelinnumeron sekä ohjeet saapua suuren valamiehistön eteen tulevassa siviilioikeudenkäynnissä. Viesti sai vastaanottajat lataamaan täydellisen kopion haasteesta, joka sitten käynnisti drive-by-latauksen, joka sisälsi keyloggerin ja takaovitroijalaisen.

toisessa esimerkissä Saskatoonin kaupunki siirsi vuonna 2019 miljoona dollaria huijareille, jotka esiintyivät maineikkaan rakennusyhtiön talousjohtajana. Hyökkääjät loivat keskenään samannäköisiä verkkotunnuksia ja sähköpostiosoitteita ja saivat kaupungin vakuuttuneeksi siitä, että heidän pankkitietonsa olivat muuttuneet.

myös raportteja, jotka viittaavat tekoälyn (AI) ja koneoppimisen (ML) käyttöön, on alkanut nousta pintaan. Hyökkääjät menevät jopa niin pitkälle, että käyttävät tekoälyä jäljitelläkseen korkea-arvoisia johtajia ja toteuttaakseen korkean profiilin valaanpyyntihyökkäyksiä.

keihäs-ja Valaanpyyntihyökkäysten estäminen

vaikka keihäs-ja valaanpyyntihyökkäyksiä ei voida lopettaa, näiden viiden parhaan käytännön noudattaminen voi varmasti auttaa ihmisiä lankeamaan niihin:

1. Älä koskaan klikkaa linkkejä tai lataa epäilyttäviä liitetiedostoja. Useimmat tietojenkalasteluhyökkäykset päättyvät kutsuun toimia – yleensä napsauttamalla linkkiä tai avaamalla liite. Heti kun havaitset linkin, jota sinun pitäisi klikata, sinun pitäisi olla epäluuloinen. Jos linkki on mielestäsi laillinen, siirry selaimeen ja kirjoita URL liittämisen sijaan. Useimmat hyökkääjät käyttävät URL-lyhenteitä ja samannäköisiä verkkotunnuksia huijatakseen uhreja.

2. Älä lankea valmistetun kiireen uhriksi. Tärkeä osa keihäskalastusta tai valaanpyyntihyökkäystä on pyynnön tai vaatimuksen kiireellisyys. Useimmat hyökkääjät valmistavat kiireen, joka saa uhrin huolestumaan lähestyvästä uhasta tai määräajasta. Tällaisiin pyyntöihin, pyyntöihin tai vaatimuksiin vastaaminen ei ole koskaan viisasta.

3. Varmista pyynnöt ennen kuin toimit. Voisiko toimitusjohtaja tai talousjohtaja pyytää sinua siirtämään tuhansia dollareita ulkomaiselle tilille? Jos jokin on mielestäsi vialla, kannattaa sen aitous varmistaa välittömästi. Vaikka pyyntö olisi mielestäsi aito, on aina hyvä tarttua puhelimeen ja varmistaa. Jos saat satunnaisen puhelun, jossa pyydetään käyttöoikeustunnuksia, Varmista aina heidän henkilöllisyytensä ennen kuin jaat arkaluonteisia tietoja.

4. Rajoita henkilökohtaisia tietojasi verkossa. Keihäsfinalistit hyödyntävät usein henkilökohtaisia tietoja sosiaalisen median tileiltä, kuten Facebookista, Twitteristä tai LinkedInistä. Pidä tilit yksityisinä ja vältä henkilökohtaisen ja työelämäsi jokaisen yksityiskohdan lähettämistä tällaisille alustoille.

5. Lisää kyberturvallisuustietouttasi. On tärkeää, että sinä ja työntekijäsi käyt säännöllistä koulutusta, joka auttaa kehittämään lihasmuistia kyberhyökkäysten tunnistamiseen ja torjumiseen. Tutkimukset ovat osoittaneet, että simuloitu tietojenkalastelukoulutus voi vähentää keskimääräistä phish-alttiutta yli 60 prosentilla.

kohdennetut huijaukset voivat osoittautua erittäin vahingollisiksi. Hyvä kyberhygienia yhdistettynä säännölliseen tietoisuuskoulutukseen ja vahvaan teknologiseen puolustukseen voi kuitenkin varmasti auttaa yrityksiä suojautumaan ja pitämään tietojenkalastelijat loitolla.

Forbes Business Council on johtava yritysten omistajien ja johtajien kasvu-ja verkostoitumisorganisaatio. Olenko Pätevä?

Seuraa minua Twitterissä tai LinkedInissä. Katso nettisivuiltani.