Sisältö
- Tietokalastelu, keihäs Phishing ja kelaaminen valassa
- Esimerkkejä valaanpyynnistä
- Ei vikoja, ei stressiä - vaiheittaiset ohjeet elämää muuttavien ohjelmistojen luomiseen tuhoamatta elämääsi
- Kuinka Dodge Harpoon
- Seuraava iso saalis
- Ole viisas
Ottaa mukaan:
Valaanpyynti voi upottaa yrityksen, joten sen johtohenkilöt voivat kouluttaa itsensä vaaroista ja siitä, kuinka estää yrityksiä tulemasta uhreiksi.
Keihäskalastajat ovat syöttiä koukkujaan "isoon kalastukseen" pääsynä erittäin arvokkaaseen yritystietoon, joka on valaanpyyntiä koskeva strategia. Se toimii näin: Hakkerit trollivat Internetiä, sosiaalista mediaa tai jopa yrityssivustoja kerätäkseen tietoja korkean profiilin kohteista ja sitten houkutella houkuttelevia huijaamaan vastaanottajaa uskomaan, että se tulee luotetusta lähteestä. Kun kohde napsauttaa, haittaohjelma asennetaan usein, mikä antaa hakkereille pääsyn yrityksen sisäiseen toimintaan tai kerätä kohteelta tietoja uudestaan hyökkäykselle entistä suuremmalle phishille.
Valaanpyynti ja tietojenkalastelu eivät ole uusia, mutta uhka ei ole menossa. Tästä syystä yritysten vastuulla on ottaa johtoasema oman riskin vähentämisessä.
Tietokalastelu, keihäs Phishing ja kelaaminen valassa
Tietokalasteluhyökkäykset menevät taaksepäin, ja jos käytät, olet todennäköisesti altistunut muutamalle itsellesi. Tietokalasteluhyökkäyksissä hakkerit käyttävät tai haitallisia verkkosivustoja pyytääkseen henkilökohtaisia tietoja lähettämällä luotettaviksi organisaatioiksi, kuten hallituksen järjestöiksi tai rahoituslaitoksiksi. Tämän avulla hyökkääjät voivat pyytää arkaluontoisia tietoja. Kun käyttäjä vastaa pyydetyillä tiedoilla, hyökkääjät voivat käyttää niitä päästäkseen käyttäjän pankkitilille tai varastaakseen henkilöllisyytensä muun rikoksen joukossa.
Tietojenkalasteluyritykset, toisin kuin keihäshuijaukset ja valaanpyynnit, lähetetään irtotavarana, usein tuhansia kerrallaan. Siksi ne on suunnattu yleisölle. Tietoverkkorikolliset käyttävät tätä suuren määrän lähestymistapaa siinä toivossa, että muutamat epäonniset ihmiset käyttävät syöttiä.
Keihäs phishing on kohdennetumpi phishing hyökkäys. Sitä voidaan käyttää yksinään tai osana edistyneen jatkuvan uhan (APT) kampanjaa. Sen sijaan, että heittäisivät tuhansia ihmisiä toivojen löytämiseksi muutamia uhreja, keihäskalastajat kohdentavat tiettyjä ihmisryhmiä, joilla on jotain yhteistä - he työskentelevät samassa yrityksessä, pankissa samassa finanssilaitoksessa, osallistuvat samaan korkeakouluun tai tilaavat tavaroita samasta verkkosivustosta. Näitä ovat lähettäneet organisaatiot tai yksityishenkilöt, joilta potentiaaliset uhrit yleensä vastaanottaisivat, mikä tekee niistä vieläkin harhaanjohtavampia. Tämä kohdennettu lähestymistapa voi tehdä keihäskalastelusta tehokkaampaa ja siten vahingollisempaa uhreilleen. (Lue lisää APT: stä ja sen aiheuttamista riskeistä pitkälle kehitettyjen uhkien yhteydessä: Ensimmäinen Salvo tulossa olevaan kybersotaan?)
Valaanpyynti vie askeleen askeleen pidemmälle. Valaanpyynti on keihäänkyselyhyökkäys, joka on suunnattu yritysjohtajille ja yritysomistajille. Hyökkääjä voi viedä kuukausia tutkimaan yritystä ja selvittämään mahdollisimman paljon mahdollisista uhreista saadakseen aluksen varusteeksi tavalla, joka vaikuttaa vastaanottajalta lailliselta. Ylin johto ja yritysomistajat ovat kohdennettuja, koska heillä on yleensä pääsy arkaluonteisiin tietoihin yrityksen sisällä. Kun heidän tietokoneensa on vaarannettu, hyökkääjät saavat virtuaalisen kärrytiedon. Ja yritykselle se on erittäin huono uutinen.
Esimerkkejä valaanpyynnistä
Yksi esimerkki erityisen onnistuneesta valaanpyyntikampanjasta tapahtui vuonna 2008, ja siihen osallistui virallisen näköisiä haasteita 20 000 vanhemmalle yritysjohtajalle. Ilmoitti, että vastaanottajan oli pakko esiintyä liittovaltion suurimman tuomariston edessä ja että se sisälsi koko nimen, yrityksen nimen, puhelinnumeron ja muut asiaankuuluvat tiedot huijatakseen vastaanottajan uskomaan sen olevan laillinen.
Se toimi; Noin kymmenesosa vastaanottajista napsautti linkkiä nähdäksesi koko asiakirjan. Linkki vie vastaanottajan verkkosivustoon, joka ilmoitti uhrille, että hänen oli asennettava selaimen lisäosa, jotta haaste voidaan nähdä. Sen sijaan verkkosivusto latasi keylogger-ohjelmiston, joka pystyi salaa tallentamaan avainhenkilöiden kirjautumistiedot ja salasanat. Seurauksena yrityksille tapahtui hakkerointi, joista osa aiheutti huomattavaa vahinkoa. (Lisätietoja Keyloggereistä, katso Onko FBIs Magic Lantern lopullinen Keylogger?)
Ei vikoja, ei stressiä - vaiheittaiset ohjeet elämää muuttavien ohjelmistojen luomiseen tuhoamatta elämääsi
Et voi parantaa ohjelmointitaitojasi, kun kukaan ei välitä ohjelmiston laadusta.
Toinen yleinen valaanpyyntihyökkäysstrategia on Better Business Bureau (BBB) -nimisen nimen hyödyntäminen. Tässä huijauksessa hyökkääjät kohdistuvat pienten ja keskisuurten yritysten omistajiin, jotka väittävät olevan BBB: n virkamieheltä valituksesta, joka tehtiin yritystä vastaan. Yksi versio kutsuista kutsuu vastaanottajan napsauttamaan linkkiä nähdäksesi valituksen, mutta linkki lataa jälleen Keylogger-ohjelmiston tai muun haittaohjelman, joka on suunniteltu varastamaan luottamuksellisia tietoja. BBB antaa säännöllisesti varoituksia yrityksille näistä huijauksista. Ongelmana on, että uhreilla on usein vaikea kertoa, että heitä huijataan ollenkaan, kunnes se on liian myöhäistä.
Kuinka Dodge Harpoon
Joten mitä yritykset voivat tehdä suojellakseen itseään? Valaanpyynti on merkittävä riski yrityksille, mutta toimenpiteet sen estämiseksi ovat melko yksinkertaisia. Tärkeintä on, että yritysten on oltava ennakoivia ja varmistettava, että työntekijät noudattavat muutamaa terveen järjen sääntöjä. Tässä on muutama noudatettava ohjeisto työntekijöille ja avainhenkilöille.
- Ole epäilyttävä ei-toivotuista
Henkilöiden tulee olla epäilyttäviä pyytämättä puhelimista tai puhelimista, jotka koskevat työntekijöitä tai muita sisäisiä tietoja. Jos tuntematon henkilö väittää olevansa laillisesta organisaatiosta, hänen henkilöllisyytensä olisi varmistettava. - Älä anna henkilökohtaisia tai yritystietoja
Henkilöiden ei tulisi antaa henkilökohtaisia tai yritystietoja, myös yrityksen rakenteesta tai verkostoista, paitsi jos he ovat varmoja siitä, että henkilöillä on valtuudet saada nämä tiedot.
Lisäksi henkilöiden ei tule paljastaa henkilökohtaisia tai taloudellisia tietoja julkaisussa ja heidän ei pitäisi vastata näiden tietojen pyytämiseen. Tämä sisältää seuraavat linkit lähetetään s. - Vältä arkaluonteisten tietojen levittämistä Internetissä
Yleensä erityisen arkaluontoisia tietoja ei tule lähettää Internetin kautta tai Internetin välityksellä. - Kiinnitä huomiota URL-osoitteisiin
Haitalliset verkkosivustot saattavat näyttää samoilta kuin lailliset sivustot, mutta URL saattaa käyttää oikeinkirjoituksen tai muun verkkotunnuksen variaatiota, joka voi merkitä tietojenkalasteluyrityksen. - Vahvista pyynnöt
Jos työntekijä saa epäilyttävän, hänen tulisi yrittää tarkistaa se ottamalla suoraan yhteyttä yritykseen, josta väitetysti lähetettiin. - Tiedotettu
Tietoja tietojenkalastelu- ja valaanpyyntörikoksista on saatavana verkossa myös sellaisilta ryhmiltä, kuten Anti-Phishing Working Group, voittoa tavoittelematon teollisuus- ja lainvalvontajärjestö, joka on keskittynyt kaikenlaisten tietojenkalastelusta, valaanpyynnistä ja väärentämisestä johtuvien petosten, rikosten ja henkilöllisyysvarkauksien poistamiseen.
Seuraava iso saalis
Järjestäytynyt rikollisuus osoittaa edelleen kiinnostusta keihäkalasteluun ja valaanpyyntiin. Niin kauan kuin rikolliset voivat ansaita rahaa näiden hyökkäysten toteuttamiseen, he jatkavat. Esimerkiksi, vaikka BBB-huijaukset ovat olleet käynnissä jo pitkään, niitä esiintyy edelleen säännöllisesti arvioitaessa aiheeseen liittyvien BBB-varoitusten tiheyttä.
Lisäksi keihäkalastelusta ja valaanpyynnistä on tullut suosittu menetelmä jatkuvaan uhkakampanjaan, jonka ryhmät käynnistävät usein ulkomaisiin hallituksiin. Niiden tarkoituksena on tunkeutua yritykseen tai toimistoon arkaluontoisen tiedon tai arvokkaan immateriaalioikeuden varastamiseksi. Nämä toimijat viettävät kauan päättääkseen tehokkaimman tavan tunkeutua organisaatioon. Kohdentaminen yritysjohtajille ja yritysomistajille on usein lippu.
Ole viisas
Niin kauan kuin yksilöitä voidaan huijata haittaohjelmien avaamiseen, valaanpyynti harjoitetaan. Ylimmän johdon tehtävänä on kouluttaa itseään valaanpyynnin vaaroista ja siitä, kuinka estää yrityksiä tulemasta uhreiksi.