Од слике са мора до преваре – како хакери користе ваше објаве на интернету

На први поглед, нема разлога за сумњу. Порука делује као да ју је послао колега.

Спомиње директора, зна да сте на одмору и стиже баш у тренутку када нисте у канцеларији. Једини проблем је што колега ту поруку никада није послао.

За разлику од хакера из филмова који  пробијају системе, данашњи нападачи често уопште не нападају технологију. Они нападају људе.

Kада јавни подаци постану оружје

Већина информација које нападач користи доступна је свима. Довољно је неколико минута претраге друштвених мрежа. На ЛинкедИн-у може да види где радите, коју позицију имате и ко вам је директор.

На Инстаграму може да сазна да сте тренутно на летовању. На Фејсбуку може да пронађе информације о породици или колегама.

Kада се сви ти подаци споје, настаје веома уверљив профил жртве. Нападач тада може да пошаље поруку која изгледа потпуно легитимно: „Пошто сте ван канцеларије, молимо Вас да потврдите приступ свом налогу како бисмо избегли блокаду."

Што више тачних детаља из вашег живота порука садржи, већа је вероватноћа да ћете јој поверовати.

Социјални инжењеринг данас не личи на спам

Уз помоћ јавно доступних информација и алата заснованих на вештачкој интелигенцији, нападачи могу да напишу поруку која звучи као да ју је послао ваш колега, директор или пословни партнер.

Овакви напади познати су као „spear phishing” или циљани социјални инжењеринг. Они нису намењени хиљадама људи ођедном, већ једној конкретној особи или организацији.

Проблем није само приватна безбедност. Запослени често несвесно објављују информације које могу помоћи нападачима да разумеју унутрашњу структуру компаније, идентификују одговорне особе или одреде тренутак када је организација најрањивија.

Објава о одласку на службени пут, фотографија са конференције или информација да је директор на годишњем одмору могу постати део много шире преваре усмерене ка компанији.

Порука која кошта милионе

Један од упечатљивијих примера догодио се прошле године у компанији Маркс и Спенсер, једном од најпознатијих британских трговинских ланаца.

Нападачи нису прво покушали да пробију безбедносне системе, већ су користећи јавно доступне информације и социјални инжењеринг успели да се представе као запослени и преваре ИТ подршку.

Нападач се представио као један од око 50.000 људи који раде са компанијом и тако преварио трећу страну (ИТ сервис) да ресетује лозинку запосленог. 

Након што су добили приступ интерним системима, компанија се суочила са озбиљним поремећајима у пословању, укључујући прекид интернет продаје и финансијски удар процењен на више стотина милиона евра.

Овај случај показао је да ни велике компаније са напредним безбедносним системима нису имуне када нападачи успеју да искористе људско поверење и да најслабија карика често није технологија, већ људско поверење.

Kако смањити ризик

Потпуно повлачење са друштвених мрежа није реално, ни потребно. Оно што јесте важно јесте свест о томе које информације објављујемо и како оне могу изгледати када их неко повеже.

Стручњаци из компаније PULSEC, регионалног лидера у области сајбер безбедности,  истичу да заштита од социјалног инжењеринга почиње едукацијом запослених и развојем безбедносне културе.

Технолошке мере јесу важне, али ниједан систем не може спречити корисника да добровољно открије податке или поверује у пажљиво осмишљену превару.

Зато је, пре него што објавимо фотографију са путовања, означимо локацију или поделимо пословне информације, корисно запитати се да ли ова информација, у комбинацији са свим осталим које сте већ јавно објавили, некоме може помоћи да вас убедљивије превари.

У времену када се сајбер напади све чешће ослањају на психологију уместо на технику, управо та свест постаје једна од најважнијих линија одбране.