Od slike sa mora do prevare – kako hakeri koriste vaše objave na internetu

Objavili ste fotografiju sa plaže uz opis da ste na godišnjem odmoru. Nekoliko sati kasnije stiže vam poruka. „Zdravo, izvini što te uznemiravam dok si na odmoru. Direktor je zamolio da hitno pregledaš jedan dokument prije sastanka u ponedeljak. Možeš li da otvoriš ovaj link?“ Na prvi pogled, nema razloga za sumnju. Poruka djeluje kao da ju je poslao kolega.

Spominje direktora, zna da ste na odmoru i stiže baš u trenutku kada niste u kancelariji. Jedini problem je što kolega tu poruku nikada nije poslao.

Za razliku od hakera iz filmova koji probijaju sisteme, današnji napadači često uopšte ne napadaju tehnologiju. Oni napadaju ljude.

Kada javni podaci postanu oružje

Većina informacija koje napadač koristi dostupna je svima. Dovoljno je nekoliko minuta pretrage društvenih mreža. Na LinkedIn-u može da vidi gdje radite, koju poziciju imate i ko vam je direktor.

Na Instagramu može da sazna da ste trenutno na ljetovanju. Na Fejsbuku može da pronađe informacije o porodici ili kolegama.

Kada se svi ti podaci spoje, nastaje veoma uvjerljiv profil žrtve. Napadač tada može da pošalje poruku koja izgleda potpuno legitimno: „Pošto ste van kancelarije, molimo Vas da potvrdite pristup svom nalogu kako bismo izbjegli blokadu.“

Što više tačnih detalja iz vašeg života poruka sadrži, veća je vjerovatnoća da ćete joj povjerovati.

Socijalni inženjering danas ne liči na spam

Uz pomoć javno dostupnih informacija i alata zasnovanih na vještačkoj inteligenciji, napadači mogu da napišu poruku koja zvuči kao da ju je poslao vaš kolega, direktor ili poslovni partner.

Ovakvi napadi poznati su kao „spear phishing” ili ciljani socijalni inženjering. Oni nisu namijenjeni hiljadama ljudi odjdnom, već jednoj konkretnoj osobi ili organizaciji.

Problem nije samo privatna bezbjednost. Zaposleni često nesvjesno objavljuju informacije koje mogu pomoći napadačima da razumiju unutrašnju strukturu kompanije, identifikuju odgovorne osobe ili odrede trenutak kada je organizacija najranjivija.

Objava o odlasku na službeni put, fotografija sa konferencije ili informacija da je direktor na godišnjem odmoru mogu postati dio mnogo šire prevare usmjerene ka kompaniji.

Poruka koja košta milione

Jedan od upečatljivijih primjera dogodio se prošle godine u kompaniji Marks i Spenser, jednom od najpoznatijih britanskih trgovinskih lanaca.

Napadači nisu prvo pokušali da probiju bezbjednosne sisteme, već su koristeći javno dostupne informacije i socijalni inženjering uspjeli da se predstave kao zaposleni i prevare IT podršku.

Napadač se predstavio kao jedan od oko 50.000 ljudi koji rade sa kompanijom i tako prevario treću stranu (IT servis) da resetuje lozinku zaposlenog.

Nakon što su dobili pristup internim sistemima, kompanija se suočila sa ozbiljnim poremećajima u poslovanju, uključujući prekid internet prodaje i finansijski udar procijenjen na više stotina miliona evra.

Ovaj slučaj pokazao je da ni velike kompanije sa naprednim bezbjednosnim sistemima nisu imune kada napadači uspiju da iskoriste ljudsko povjerenje i da najslabija karika često nije tehnologija, već ljudsko povjerenje.

Kako smanjiti rizik

Potpuno povlačenje sa društvenih mreža nije realno, ni potrebno. Ono što jeste važno jeste svijest o tome koje informacije objavljujemo i kako one mogu izgledati kada ih neko poveže.

Stručnjaci iz kompanije PULSEC, regionalnog lidera u oblasti sajber bezbjednosti, ističu da zaštita od socijalnog inženjeringa počinje edukacijom zaposlenih i razvojem bezbjednosne kulture.

Tehnološke mjere jesu važne, ali nijedan sistem ne može spriječiti korisnika da dobrovoljno otkrije podatke ili povjeruje u pažljivo osmišljenu prevaru.

Zato je, prije nego što objavimo fotografiju sa putovanja, označimo lokaciju ili podijelimo poslovne informacije, korisno zapitati se da li ova informacija, u kombinaciji sa svim ostalim koje ste već javno objavili, nekome može pomoći da vas ubjedljivije prevari.

U vremenu kada se sajber napadi sve češće oslanjaju na psihologiju umjesto na tehniku, upravo ta svijest postaje jedna od najvažnijih linija odbrane.

Izvor: Portal RTS