ГК Softline: как работает социальная инженерия и что входит в базовый минимум защиты
Бизнес выстраивает периметр безопасности вокруг технических активов, но этот подход перестает работать, когда атакующие обходят технологии через человека. Злоумышленники используют социальную инженерию, чтобы заставить сотрудника самостоятельно выдать данные и совершить незаконные действия.
Мошенники используют три фактора – срочность, авторитет и неожиданность. Срочность отключает критическое мышление. Например, сотрудника предупреждают о скорой блокировке аккаунта в банке или каком-то сервисе. По тому же принципу работают «эксклюзивные предложения», в которых большая скидка действует несколько часов и доступна якобы только избранным – важно срочно перейти по ссылке и получить что-то ценное.
Давление авторитетом реализуется через поддельные аккаунты руководителей компании. Сюда же относятся звонки и сообщения в почте и мессенджерах от имени банков и госорганов. В таких условиях сотрудник переходит по фишинговой ссылке или передает конфиденциальные данные злоумышленникам до того, как сработают технические средства мониторинга трафика.
Еще один метод – сыграть на неожиданности и страхе за свою репутацию или близких. Например, человеку присылают сообщение о якобы компрометирующей новости, связанной с ним, родственником или знакомым, и предлагают срочно посмотреть фото или видео по ссылке.
Последствия для бизнеса выражаются в утечках данных, остановке бизнес-процессов и ущербе для репутации. Одной технологии для предотвращения таких сценариев недостаточно, поскольку точка отказа находится вне периметра сетевого контроля.
Мы в Softline считаем, что к эффективным мерам защиты в этой ситуации можно отнести многофакторную аутентификацию, защитное ПО и цифровую грамотность самого пользователя. Многофакторная аутентификация требует два или более независимых фактора для подтверждения личности. В таком случае, даже если произойдет утечка данных и злоумышленник узнает пароль, он не сможет войти в аккаунт. На уровне устройств и браузеров помогают защитные решения, которые распознают известные фишинговые сайты и блокируют переход сотрудников по ссылкам. Но технологии не заменяют обучение и грамотное поведение сотрудников.
Мы в Softline убеждены, что сегодня цифровая грамотность работников должна включать не только генерацию сложных паролей. Сотрудники должны владеть навыками распознавания манипуляций, уметь отличать достоверную информацию от подозрительных сообщений и анализировать ситуацию.
Руководителям в сфере информационной безопасности следует помнить, что устойчивость компаний зависит не только от количества технических инструментов защиты. Огромный вклад в безопасность организации вносят психологическая устойчивость коллектива в условиях давления извне и знание правил кибергигиены. Управленческое решение заключается в том, чтобы сделать многофакторную аутентификацию и непрерывное обучение сотрудников обязательными элементами в организации.
