Večina poslovnih sporočil, ki jih prejemamo dnevno, je pristnih, saj prihajajo od ljudi in organizacij, s katerimi sodelujemo ter jim zaupamo. Dovolj pa je že eno prepričljivo lažno sporočilo, da napadalec pridobi dostop do poslovnih podatkov ali informacijskega sistema podjetja.
- Kako prepoznati pristno poslovno sporočilo od vrhunsko zasnovanega lažnega predstavljanja?
- Zakaj so napadi z lažno predstavnostjo navkljub naprednim varnostnim tehnologijam tako uspešni?
- Ali lahko en nepremišljen klik uporabnika sproži zastoj poslovanja?
- Kaj lahko storijo podjetja za svojo varnost pred napadalci, ki so vse spretnejši in bolje prepoznavajo naše navade?
Zakaj lažna sporočila tako pogosto dosežejo svoj cilj
Napadi z lažnim predstavljanjem (phishing) sodijo med najpogostejše in najnevarnejše kibernetske grožnje, tudi pri sodobnem poslovanju. Uspešni so predvsem zato, ker napadalci ne izkoriščajo le tehničnih pomanjkljivosti, temveč tudi človeško zaupanje, poznavanje navad zaposlenih in vzpostavljajo občutek nujnosti.
Z njimi se srečujejo podjetja vseh velikosti, od samostojnih podjetnikov do največjih gospodarskih družb. Tarča niso le informacijski sistemi, temveč predvsem uporabniki, ki imajo dostop do poslovnih podatkov, elektronske pošte in drugih digitalnih storitev.
Digitalizacija poslovanja, vsakodnevna uporaba elektronske pošte, spletnih storitev in mobilnih naprav napadalcem omogočajo, da zelo prepričljivo posnemajo banke, državne ustanove, poslovne partnerje ali sodelavce.
Ko napadalec doseže svoj cilj, je to pogosto šele začetek. Vodi lahko do namestitve izsiljevalskega programa, kraje podatkov, finančnih prevar ali dolgotrajne prekinitve poslovanja.
Bistvo teh groženj ni v tehnologiji, temveč v psihologiji. Napadalci ne napadajo računalnikov, ampak nas , uporabnike. Z uporabo prepričljivih sporočil, logotipov, grafične podobe in komunikacijskega sloga podjetij, s katerimi poslujemo, uporabnika zavedejo, da razkrije občutljive podatke, klikne zlonamerno povezavo ali prenese okuženo datoteko.
Zakaj je lažno sporočilo vse težje prepoznati
Sporočila in tehnike napadalcev delujejo zelo verodostojno. Posnemajo komunikacijo bank, državnih ustanov, dostavnih služb, poslovnih partnerjev ali nadrejenih in jih spretno umeščajo v utečene komunikacijske poti, zaradi česar jih uporabniki pogosto ne ločijo od pristnih.
Svoje prevare vse pogosteje prilagajajo tudi aktualnim dogodkom in vsakdanjim poslovnim situacijam. V času oddaje davčnih obračunov pošiljajo lažna sporočila finančnih institucij, med dopusti lažne potrditve rezervacij, ob izplačilu plač pa obvestila o spremembi bančnega računa. Prav zato njihove prevare delujejo toliko bolj pristno.
Hkrati se njihove metode nenehno razvijajo. Uporabljajo lažne spletne domene, ki so skoraj enake izvirnim, ponarejene grafične podobe ter s pomočjo umetne inteligence pripravljajo prepričljiva sporočila in druge oblike komunikacije.
Katere oblike se pojavljajo v praksi
Lažno predstavljanje se pojavlja v različnih oblikah, ki se razlikujejo po načinu izvedbe, komunikacijskem kanalu in ciljni skupini. Nekatere ciljajo na širok krog uporabnikov, druge so prilagojene posameznim osebam, oddelkom ali vrstam podjetij.
Klasično lažno predstavljanje prek elektronske pošte (phishing)
To je najpogostejša oblika napada, pri kateri so generična elektronska sporočila poslana velikemu številu uporabnikov. Računa se na statistiko, saj že majhno število uporabnikov, ki nasede prevari, zadostuje za dosego cilja.
Ciljano lažno predstavljanje (spear phishing)
Gre za personalizirane napade, usmerjene na določeno osebo, oddelek ali podjetje. Informacije o žrtvi so zbrane prek družbenih omrežij, spletnih strani podjetja in javno dostopnih virov. Zaradi dobrega poznavanja okolja in navad uporabnika sporočila delujejo verodostojno kot legitimna interna komunikacija.
Poslovna e-poštna prevara (Business Email Compromise - BEC)
Pri tej obliki prevare se storilec predstavlja kot direktor, finančni vodja ali poslovni partner ter zahteva nujno nakazilo denarja, spremembo bančnega računa ali posredovanje zaupnih informacij. Pogosto pri tem izkoristi tudi že kompromitirane poslovne e-poštne račune.
Lažno predstavljanje prek SMS-sporočil (smishing)
Uporabnik prejme kratko SMS sporočilo, ki ga poziva k hitremu ukrepanju, na primer zaradi domnevne blokade računa, neuspele dostave pošiljke ali potrditve plačila.
Telefonsko lažno predstavljanje (vishing)
Uporabnik prejme telefonski klic osebe, ki se predstavlja kot predstavnik banke, državne ustanove ali druge zaupanja vredne organizacije. Namen takšnega klica je pridobiti občutljive podatke ali uporabnika prepričati, da izvede določeno dejanje oziroma posreduje zaupne informacije.
Telefonsko lažno predstavljanje z umetno inteligenco
Pri tej obliki napada umetna inteligenca posnema glas in način govora direktorja, sodelavca ali poslovnega partnerja. Zaradi zelo prepričljivega posnemanja glasu uporabniki takšne prevare pogosto ne prepoznajo.
Podvojeno lažno sporočilo (clone phishing)
Pristno sporočilo, ki ga je uporabnik že prejel, je spremenjeno tako, da vsebuje zlonamerno povezavo ali priponko. Ker uporabnik prepozna njegovo obliko in vsebino, je verjetnost, da bo sledil navodilom, bistveno večja.
Lažno predstavljanje prek družbenih omrežij (Angler phishing)
Lažni profili na družbenih omrežjih se predstavljajo kot uradna uporabniška podpora ali profil podjetja. Ker uporabniki na teh kanalih prevar običajno ne pričakujejo, jim pogosteje nasedejo.
Pharming
O pharmingu govorimo takrat, ko je uporabnik preusmerjen na lažno spletno stran, tudi če vnese pravilen spletni naslov. To je posebej nevarno zato, ker zaradi enakega videza spletnega mesta uporabnik ne zazna, da se nahaja na lažni strani.
Od finančne izgube do prekinitve poslovanja
Posledice napada lahko občutijo tako posamezniki kot celotno podjetje, saniranje škode pa pogosto zahteva precej časa, denarja in organizacijskih sprememb.
Med najpogostejšimi posledicami so:
- finančne izgube zaradi neposrednih prevar, lažnih nakazil ali stroškov odpravljanja posledic napada,
- ogrozitev zaupnih podatkov, vključno z osebnimi podatki zaposlenih, strank in poslovnih partnerjev,
- pravne in regulativne posledice, vključno z obveznostmi poročanja in morebitnimi sankcijami zaradi kršitev Splošne uredbe o varstvu podatkov (GDPR),
- prekinitev poslovanja, zlasti kadar napad predstavlja vstopno točko za namestitev izsiljevalskega programa,
- izgubo zaupanja strank in poslovnih partnerjev, kar lahko dolgoročno vpliva na ugled podjetja.
V številnih primerih se škoda ne konča z enim samim incidentom.
Izgubljeni podatki, prekinjeno poslovanje, stroški sanacije in okrnjen ugled lahko podjetje bremenijo še dolgo po tem, ko je napad že zaustavljen.
Prepoznavanje prevar se začne pri uporabnikih
Informacijska varnost ni le vprašanje tehnologije, temveč tudi ravnanja in ukrepanja uporabnikov. Ne glede na to, kako napredni so varnostni sistemi, lahko nepremišljena odločitev posameznika napadalcu odpre pot do poslovnih podatkov ali informacijskega sistema podjetja.
Zato je ozaveščanje uporabnikov eden najučinkovitejših ukrepov za zmanjšanje tveganja napadov z lažnim predstavljanjem.
Podjetja lahko ozaveščanje uporabnikov izvajajo z naslednjimi ukrepi:
- rednimi usposabljanji, na katerih uporabniki spoznajo najpogostejše oblike lažnega predstavljanja in se naučijo prepoznati sumljive taktike in sporočila,
- simuliranimi napadi z lažnim predstavljanjem, ki uporabnikom omogočajo varno preverjanje odzivov v resničnih situacijah,
- analizo resničnih primerov, saj se uporabniki najlažje učijo na konkretnih dogodkih,
- jasnimi postopki in ravnanji za prijavo sumljivih sporočil, da lahko podjetje hitro ukrepa in omeji morebitno škodo,
- spodbujanjem varnostne kulture, v kateri uporabniki razumejo, da je informacijska varnost skupna odgovornost vseh.
Napadalci svoje metode nenehno prilagajajo, zato naj tudi ozaveščanje uporabnikov poteka kontinuirano. Redna posodabljanja pomagajo, da uporabniki hitreje prepoznajo nove oblike prevar in se nanje ustrezno odzovejo.
Kateri ukrepi zmanjšujejo tveganje
Izobraževanje uporabnikov je pomemben del obrambe, vendar samo po sebi ne zadostuje. Podjetja morajo zaščito graditi na kombinaciji organizacijskih pravil, varnostnih postopkov in sodobnih tehnoloških rešitev, ki zmanjšujejo možnost zlorab ter omejijo posledice morebitnega napada.
Med najpomembnejše ukrepe sodijo:
- večfaktorska avtentikacija (MFA), ki dodatno zaščiti uporabniške račune,
- napredno filtriranje elektronske pošte, ki prestreže velik del zlonamernih sporočil še pred dostavo uporabnikom,
- redno posodabljanje programske opreme in informacijskih sistemov,
- segmentacija omrežja, ki omejuje širjenje napada med sistemi,
- politika najmanjših pravic dostopa, s katero imajo uporabniki dostop le do podatkov in funkcij, ki jih pri delu dejansko potrebujejo,
- stalno spremljanje informacijskih sistemov ter zaznavanje neobičajnih dejavnosti,
- redno izdelovanje varnostnih kopij, ki omogočajo hitrejše okrevanje po varnostnem incidentu.
Noben ukrep sam po sebi ne zagotavlja popolne zaščite. Šele kombinacija ustreznih varnostnih rešitev, jasno določenih postopkov in ozaveščenih uporabnikov pomembno zmanjša tveganje napadov.
Pripravil: Ivan Vidas, mag. oec.
Vsebina je izključno informativne narave. Seyfor ne nudi pravnih, davčnih ali računovodskih nasvetov. Za dodatne informacije se obrnite na pristojne institucije ali pooblaščene strokovnjake.
