Conștientizarea phishingului: cum se întâmplă și cum să îl preveniți
De ce infractorii folosesc un atac de tip phishing?
Care este cea mai mare vulnerabilitate de securitate dintr-o organizație?
Oamenii!
Ori de câte ori doresc să infecteze un computer sau să obțină acces la importante informații precum numerele de cont, parolele sau numerele PIN, tot ce trebuie să facă este să ceară.
Phishing atacurile sunt obișnuite deoarece sunt:
- Usor de facut – Un copil de 6 ani ar putea efectua un atac de tip phishing.
- Scalable – Acestea variază de la atacuri spear-phishing care lovesc o persoană până la atacuri asupra unei întregi organizații.
- Foarte eficace - 74% din organizații au suferit un atac de phishing cu succes.
- Acreditările contului Gmail - $80
- PIN card de credit - $20
- Acreditările bancare online pentru conturile cu cel puțin 100 USD în ele - $40
- Conturi bancare cu cel puțin 2,000 USD - $120
Probabil că vă gândiți: „Uau, conturile mele merg la cel mai mic dolar!”
Și acest lucru este adevărat.
Există și alte tipuri de conturi care au un preț mult mai mare, deoarece sunt mai ușor de păstrat anonimitatea transferurilor de bani.
Conturile care dețin cripto sunt jackpot-ul pentru escrocii de tip phishing.
Tarifele curente pentru conturile cripto sunt:
- Coinbase- $610
- Blockchain.com – $310
- Binance - $410
Există și alte motive non-financiare pentru atacurile de tip phishing.
Atacurile de tip phishing pot fi folosite de statele naționale pentru a sparge alte țări și a le extrage datele.
Atacurile pot fi pentru vendete personale sau chiar pentru a distruge reputația corporațiilor sau a dușmanilor politici.
Motivele atacurilor de tip phishing sunt nesfârșite...
Cum începe un atac de phishing?
Un atac de tip phishing începe de obicei cu criminalul care iese imediat și vă trimite mesaje.
Ei vă pot da un apel telefonic, un e-mail, un mesaj instantaneu sau un SMS.
Ei ar putea pretinde că sunt cineva care lucrează pentru o bancă, o altă companie cu care faceți afaceri, o agenție guvernamentală sau chiar pretinde a fi cineva din propria organizație.
Un e-mail de phishing vă poate solicita să faceți clic pe un link sau să descărcați și să executați un fișier.
Poate credeți că este un mesaj legitim, faceți clic pe linkul din interiorul mesajului lor și conectați-vă la ceea ce pare a fi site-ul web al organizației în care aveți încredere.
În acest moment, înșelătoria de phishing este completă.
I-ați predat informațiile personale atacatorului.
Cum să preveniți un atac de phishing
Strategia principală pentru a evita atacurile de tip phishing este formarea angajaților și creșterea gradului de conștientizare organizațională.
Multe atacuri de tip phishing arată ca e-mailuri legitime și pot trece printr-un filtru de spam sau filtre de securitate similare.
La prima vedere, mesajul sau site-ul web ar putea părea real folosind un aspect de logo cunoscut etc.
Din fericire, detectarea atacurilor de phishing nu este atât de dificilă.
Primul lucru la care trebuie să vă uitați este adresa expeditorului.
Dacă adresa expeditorului este o variație a domeniului unui site web cu care ați fi obișnuit, vă recomandăm să continuați cu prudență și să nu faceți clic pe nimic din corpul e-mailului.
De asemenea, puteți să vă uitați la adresa site-ului web la care sunteți redirecționat dacă există linkuri.
Pentru a fi în siguranță, ar trebui să introduceți adresa organizației pe care doriți să o vizitați în browser sau să utilizați favoritele din browser.
Atenție la linkurile care, atunci când treceți cu mouse-ul peste, arată un domeniu care nu este același cu compania care trimite e-mailul.
Citiți cu atenție conținutul mesajului și fiți sceptici față de toate mesajele care vă solicită să trimiteți datele personale sau să verificați informațiile, să completați formulare sau să descărcați și să rulați fișiere.
De asemenea, nu lăsați conținutul mesajului să vă păcălească.
Atacatorii încearcă adesea să te sperie pentru a te face să dai clic pe un link sau să te recompenseze pentru a-ți obține datele personale.
În timpul unei pandemii sau a unei urgențe naționale, escrocii de tip phishing vor profita de temerile oamenilor și vor folosi conținutul subiectului sau al mesajului pentru a vă speria să luați măsuri și să dați clic pe un link.
De asemenea, verificați dacă există greșeli de ortografie sau gramaticale în mesajul de e-mail sau site-ul web.
Un alt lucru de reținut este că majoritatea companiilor de încredere nu vă vor cere de obicei să trimiteți date sensibile prin web sau prin poștă.
De aceea, nu trebuie să faceți niciodată clic pe linkuri suspecte sau să furnizați niciun fel de date sensibile.
Ce fac dacă primesc un e-mail de phishing?
Dacă primiți un mesaj care apare ca un atac de tip phishing, aveți trei opțiuni.
- Sterge-l.
- Verificați conținutul mesajului contactând organizația prin canalul tradițional de comunicare.
- Puteți redirecționa mesajul către departamentul dumneavoastră de securitate IT pentru analize suplimentare.
Compania dvs. ar trebui să verifice și să filtreze deja majoritatea e-mailurilor suspecte, dar oricine poate deveni o victimă.
Din păcate, înșelătoriile de tip phishing reprezintă o amenințare tot mai mare pe internet, iar băieții răi dezvoltă mereu noi tactici pentru a ajunge în căsuța dvs. de e-mail.
Rețineți că, în cele din urmă, sunteți ultimul și cel mai important strat de apărare împotriva tentativelor de phishing.
Cum să opriți un atac de phishing înainte ca acesta să se întâmple
Deoarece atacurile de phishing se bazează pe eroarea umană pentru a fi eficiente, cea mai bună opțiune este să instruiți oamenii din afacerea dvs. despre cum să evitați momeala.
Acest lucru nu înseamnă că trebuie să aveți o întâlnire sau un seminar mare despre cum să evitați un atac de tip phishing.
Există modalități mai bune de a găsi lacune în securitatea dvs. și de a vă îmbunătăți răspunsul uman la phishing.
2 pași pe care îi puteți lua pentru a preveni o înșelătorie de tip phishing
A simulator de phishing este un software care vă permite să simulați un atac de phishing asupra tuturor membrilor organizației dvs.
Simulatoarele de phishing vin de obicei cu șabloane pentru a ajuta la deghizarea e-mailului ca furnizor de încredere sau pentru a imita formatele interne de e-mail.
Simulatoarele de phishing nu creează doar e-mailul, ci ajută la configurarea site-ului web fals pe care destinatarii vor ajunge să-și introducă acreditările dacă nu trec testul.
În loc să-i certați pentru că au căzut într-o capcană, cel mai bun mod de a gestiona situația este să oferiți informații despre cum să evaluați e-mailurile de phishing în viitor.
Dacă cineva eșuează la un test de phishing, cel mai bine este să îi trimiteți doar o listă de sfaturi despre identificarea e-mailurilor de phishing.
Puteți chiar să folosiți acest articol ca referință pentru angajații dvs.
Un alt beneficiu major al utilizării unui simulator bun de phishing este că puteți măsura amenințarea umană din organizația dvs., care este adesea greu de prezis.
Poate dura până la un an și jumătate pentru a pregăti angajații la un nivel sigur de atenuare.
Este important să alegeți infrastructura potrivită de simulare a phishing-ului pentru nevoile dvs.
Dacă faceți simulări de phishing într-o singură afacere, atunci sarcina dvs. va fi mai ușoară
Dacă sunteți MSP sau MSSP, poate fi necesar să efectuați teste de phishing în mai multe companii și locații.
Optarea pentru o soluție bazată pe cloud ar fi cea mai bună opțiune pentru utilizatorii care desfășoară mai multe campanii.
La Hailbytes, am configurat GoPhish, unul dintre cele mai populare framework-uri de phishing open-source ca un instanță ușor de utilizat pe AWS.
Multe simulatoare de phishing vin în modelul tradițional Saas și au contracte stricte asociate cu acestea, dar GoPhish pe AWS este un serviciu bazat pe cloud în care plătiți la o rată măsurată, mai degrabă decât un contract pe 1 sau 2 ani.
Pasul 2. Instruire de conștientizare a securității
Un beneficiu cheie de a oferi angajaților conștientizarea securității instruirea îi protejează de furtul de identitate, furtul băncilor și acreditările de afaceri furate.
Instruirea de conștientizare a securității este esențială pentru a îmbunătăți capacitatea angajaților de a identifica încercările de phishing.
Cursurile pot ajuta la instruirea personalului pentru a detecta tentativele de phishing, dar doar câteva se concentrează pe întreprinderile mici.
Poate fi tentant pentru tine, ca proprietar de afaceri mici, să reducă costurile unui curs trimițând niște videoclipuri YouTube despre conștientizarea securității...
dar personalul își amintește rar acest tip de antrenament pentru mai mult de câteva zile.
Hailbytes are un curs care include o combinație de videoclipuri și chestionare rapide, astfel încât să puteți urmări progresul angajaților dvs., să demonstrați că măsurile de securitate sunt în vigoare și să vă reduceți masiv șansele de a suferi o escrocherie de tip phishing.
Puteți consulta cursul nostru pe Udemy aici sau faceți clic pe cursul de mai jos:
Dacă sunteți interesat să rulați o simulare gratuită de phishing pentru a vă instrui angajații, mergeți la AWS și verificați GoPhish!
Este ușor să începeți și puteți oricând să ne contactați dacă aveți nevoie de ajutor pentru a vă configura.
