Napad na podjetje se ne začne nujno z vdorom v strežnik.
Včasih se začne precej bolj preprosto: z obiskom spletne strani podjetja, pregledom LinkedIna, javnih objav in podatkov o zaposlenih.
Iz teh informacij lahko napadalec ugotovi, kdo vodi podjetje, kdo dela v računovodstvu, s kom podjetje posluje in komu bi zaposleni najverjetneje verjeli pri zahtevi za plačilo.
Kaj lahko o podjetju izve brez enega samega vdora?
Spletna stran lahko razkrije vodstvo in kontaktne podatke. LinkedIn pokaže, kdo dela v financah, prodaji ali računovodstvu. Objave na družbenih omrežjih lahko razkrijejo nove projekte, poslovne partnerje, službene poti ali pomembne dogodke.
Napadalec lahko na podlagi tega pripravi sporočilo, ki ne deluje kot generična prevara.
Namesto:
»Nujno nakažite denar.«
lahko zaposleni prejme sporočilo, ki vsebuje ime dejanskega poslovnega partnerja, projekt, ki res obstaja, in podpis osebe, ki jo pozna.
Takšno sporočilo je bistveno težje prepoznati kot prevaro.
Najbolj zanimiva tarča pogosto ni direktor
Ime direktorja napadalcu lahko zagotovi avtoriteto.
Toda prava tarča je pogosto oseba, ki lahko premakne denar.
To pomeni računovodstvo, finance ali zaposlenega, ki potrjuje oziroma izvaja plačila.
Eden od tipičnih scenarijev je zelo preprost:
poslovni partner po elektronski pošti sporoči, da je zamenjal banko in želi, da prihodnja plačila nakažete na nov račun.
Ime podjetja je pravilno. Podpis izgleda znano. Sporočilo je napisano profesionalno.
Spremenjen je samo en podatek.
IBAN.
Če spremembe nihče ne preveri po drugem komunikacijskem kanalu, lahko povsem legitimno plačilo konča pri napadalcu.
Včasih je dovolj ena črka
Napadalcu niti ni treba prevzeti pravega elektronskega predala.
Registrira lahko domeno, ki je skoraj identična pravi domeni poslovnega partnerja.
Na hitro lahko razlika med dvema naslovoma ostane skoraj neopažena.
Če sporočilo vsebuje še pravi logotip, podpis zaposlenega in informacije o dejanskem projektu, se možnost, da mu nekdo verjame, še poveča.
Umetna inteligenca takšne prevare dodatno spreminja
Generativna umetna inteligenca omogoča pripravo bolj naravno napisanih sporočil, prevajanje v različne jezike ter prilagajanje komunikacije določeni osebi ali podjetju.
Še bolj problematičen je razvoj sintetičnega glasu in videa.
Pri občutljivih zahtevah zato tudi:
»Slišal sem njegov glas.«
ali
»Videti je bil kot direktor.«
ne bosta vedno dovolj zanesljiv dokaz identitete.
Pomembnejši postajajo jasni notranji postopki.
Naredite preprost test svojega podjetja
Odprite Google, LinkedIn in svojo spletno stran ter poskusite na podjetje pogledati kot popoln neznanec.
Ali lahko v desetih minutah ugotovite:
kdo je direktor, kdo dela v financah, kdo so pomembni poslovni partnerji, kakšen vzorec imajo službeni e-naslovi in kateri projekti trenutno potekajo?
Če lahko to ugotovite vi, lahko verjetno tudi nekdo drug.
To ne pomeni, da bi podjetja morala odstraniti zaposlene s spletnih strani ali prenehati komunicirati na družbenih omrežjih.
Pomeni pa, da morajo razumeti, katere informacije dajejo javnosti in kako bi jih lahko nekdo uporabil izven njihovega prvotnega namena.
En telefonski klic lahko prepreči veliko težavo
Najpomembnejši ukrep pri takšnih prevarah je presenetljivo preprost.
Če poslovni partner zahteva spremembo bančnega računa, če direktor zahteva nenavadno nakazilo ali če nekdo nenadoma želi obiti običajen postopek, zahtevo preverite po drugem komunikacijskem kanalu.
Ne odgovarjajte samo na isti e-mail.
Pokličite osebo na številko, ki jo že poznate.
Za pomembna plačila pa je smiselno uporabljati tudi večstopenjsko potrjevanje.
Kibernetska varnost se zato ne začne šele, ko nekdo poskuša vdreti v informacijski sistem.
Včasih se začne z vprašanjem:
Če bi nekdo želel napasti vaše podjetje jutri, koliko bi lahko o njem izvedel že danes?