Miten estää Valaanpyyntihyökkäykset: kattava opas
korkea – arvoiset työntekijänne ovat portinvartijoita yrityksenne arkaluonteisten tietojen aarreaitalle. Piilotettu syvälle figuratiivisia tietoja linna ovat asioita, kuten työntekijän sosiaaliturvatunnukset, yritysten pankkitilin tiedot, ja asiakkaan luottokortin numerot. Asioita, jotka, väärissä käsissä, voi vaarantaa eheyden tuotemerkin ja / tai maksaa yrityksesi miljoonia dollareita. Tarvitaan vain yksi ihminen, joka jää kiinni päiväunista.
kuten minkä tahansa muun alan asiantuntijat, kyberrikolliset oppivat ja kehittyvät jatkuvasti. Yksi heidän monimutkaisimmista suunnitelmistaan tähän mennessä on valaanpyyntihyökkäys, jossa he yrittävät esiintyä sinä tai joku johtohenkilöistäsi ja huijata työntekijöitäsi.
jo tätä lukiessa tuleva kapteeni Ahab suunnittelee seuraavaa äärimmäisen hienostunutta valaanpyyntihyökkäystään-ja sinä olet yhtä hyvä kohde kuin kuka tahansa. Tässä FAQ-tyylinen opas, jossa kaikki mitä tarvitset auttaa sinua paikalla, että hyökkäys etukäteen, ja pysäyttää harppuuna kuollut sen kappaleita.
mikä on valaanpyyntihyökkäys?
valaanpyyntihyökkäys (tunnetaan myös nimellä valaanpyyntifishing) on huolellisesti suunniteltu tietojenkalasteluhuijaus, jossa huijari naamioituu yrityksenne korkea-arvoiseksi johtajaksi tarkoituksenaan huijata työntekijöitänne johdattamaan heille suuria rahasummia tai paljastamaan luottamuksellisia tietoja.
miten valaanpyyntihyökkäys eroaa tietojenkalasteluhyökkäyksestä?
kaikki valaanpyyntihyökkäykset ovat tietojenkalasteluhyökkäyksiä, mutta kaikki tietojenkalasteluhyökkäykset eivät ole valaanpyyntihyökkäyksiä.
tietojenkalasteluhyökkäyksiä on tehty jo neljännesvuosisadan ajan. 1990-luvun puolivälissä termiä käytettiin yksinomaan kuvaamaan hakkereita, jotka lähettivät sähköpostiräjäytyksiä ”houkutuksina”, jotta AOL: n käyttäjien salasanoja ja luottokorttinumeroita voitaisiin ”phishata”.
nykyään se määritellään laajemmin kuin mikä tahansa internethuijaus, jossa joku yrittää kelata arkaluontoista tietoa petollisin keinoin. Huomaa: Jos voit langeta setäsi kepponen, voit langeta phishing huijaus.
vaikka nämä huijaukset yleensä heittävät laajan verkon (ja niillä on suhteellisen alhaiset onnistumisprosentit), spear phishing-hyökkäyksinä tunnettu muunnelma sisältää yksilöllisen lähestymistavan yksittäisen käyttäjän kohdentamiseen. Suurin osa heistä käyttää sosiaalista manipulointia herättääkseen uhrin tunteita.
Valaanpyyntihyökkäykset kuuluvat tähän kategoriaan, mutta näissä tapauksissa ”keihäs” on harkitusti suunniteltu siten, että siinä on ajatuksena raahata paljon suurempi palkinto.
miten valaanpyyntihyökkäykset toimivat?
Whaling social engineering is incredibly intricate; rikollinen näkee yleensä paljon vaivaa saadakseen C-Suiten johtajan tekeytymisen näyttämään hyperrealistiselta.
yleisimmin he tekevät perusteellista tutkimusta a) kohteestaan organisaatiossasi ja B) esimiehestään, jota he esittävät.
jälkimmäinen on hankala, mutta käyttämällä samanlaista sähköpostikoodia ja sisällyttämällä siihen yritysten logoja ja sähköpostien allekirjoituksia, he voivat luoda Halloweenin arvoisen digitaalisen valeasun. Muina aikoina he saattavat käyttää tavallista Gmail-osoitetta ja väittävät lähettävänsä viestin ”henkilökohtaiselta tililtään”.
kohteen kohdalla ei yleensä ole vaikeaa katsoa työntekijän Facebookia läpi, löytää kuva työn jälkeisestä happy hourista ja sisällyttää siihen yksityiskohtia, jotka ”vain se johtaja voisi tietää”.
vaikka muutama punainen lippu saa työntekijän laittamaan suojansa pystyyn, Huijari voi usein kompensoida sitä saalistamalla esimerkiksi luottamusta, kiireellisyyttä tai pelkoa työpaikkansa menettämisestä, jos he eivät noudata sääntöjä.
mikä on pahinta, mitä voisi tapahtua?
Kysy Snapchatilta, joka joutui valaanpyyntihyökkäyksen uhriksi vuonna 2016. Sosiaalisen median jättiläisen organisaation HR-edustaja haarukoi palkkatietoja, jotka paljastivat useiden työntekijöiden henkilökohtaiset tiedot, mukaan lukien optiotiedot ja kaiken heidän W-2-listoillaan listatun.
tuskin kuukautta myöhemmin Mattelin rahoitusjohtaja siirsi 3 miljoonaa dollaria Kiinalaispankille saatuaan sähköpostiohjeet ”uudelta toimitusjohtajalta”.
näitä huijauksia saatetaan pitää jopa pieninä perunoina verrattuna joihinkin isompiin hyökkäyksiin, jotka ovat maksaneet yrityksille kymmeniä miljoonia dollareita. Mikä vielä pahempaa, he menettivät paljon kuluttajien luottamusta, koska he joutuivat niin helposti vaaraan.
Okei, joten miten voin estää tämän?
kuin lapsi, joka lähtee leikkimään tammikuun puolivälin lumilla, tarvitsee useita suojakerroksia. Noudata näitä vinkkejä, ja teet itsestäsi vähemmän haavoittuvainen tuulenpuuska valaanpyyntihyökkäyksiä tapahtuu päivittäin.
kouluttaa johtajia ja työntekijöitä
useimmat ihmiset pitävät tietojenkalasteluhuijauksia erittäin virheellisinä ja helposti havaittavina, joten he saattavat olla täysin tietämättömiä huolellisesta valaanpyynnin sosiaalisesta suunnittelusta. Aloita kertomalla tiimillesi, että nämä huijaukset ovat olemassa!
sitten, kouluttaa niitä
auttaa tiimisi oppia havaitsemaan varoitusmerkit valaanpyyntihyökkäyksen voi päätyä säästää miljoonia. Marcon kaltaiset tietotekniikkayritykset voivat jopa simuloida yllätyshyökkäyksen, joka auttaa määrittämään, kuinka alttiita työntekijäsi ovat.
Lippusähköpostit verkon ulkopuolella
tämä on uskomattoman yksinkertainen ja tehokas tapa paljastaa väärennetyt sähköpostiosoitteet. Ero ”@smithlenses.com ” ja ” @smith1enses.com ” saattaa olla vaikea havaita tietyn fontin, mutta osoittaa, että sähköposti on out-of-network herättää hälytyksen.
perustettu valaanpyynnin estämisprotokollia
joitakin hyviä esimerkkejä tästä ovat arkaluonteisia tietoja koskevien pyyntöjen tarkistaminen muita kanavia pitkin, kuten puhelinsoitto. Toisen henkilön pakottaminen allekirjoittamaan nämä pyynnöt on myös loistava idea-on vaikeampi huijata kahta ihmistä kuin yhtä.
Invest in DLP software
Data Loss Prevention (DLP) – ohjelmisto voi estää käyttöön ottamiesi protokollien rikkomukset. Se voi myös merkitä sähköposteja verkkotunnuksen nimen ja iän perusteella (uudet verkkotunnukset ovat epäilyttävämpiä), näyttönimen samankaltaisuuden tunnettujen yhteystietojen kanssa ja epäilyttävät avainsanat, kuten ”pankkisiirto”.
pyydä työntekijöitä tekemään sosiaalisen median profiileista yksityisiä
työntekijän LinkedIn-ja Facebook-profiilien asettaminen näkyviksi vain ystäville vaikeuttaa satunnaisten huijareiden pääsyä heidän henkilötietoihinsa ja käyttämään niitä osana valaanpyyntihyökkäystä.
pidä varasi
ainoa keino estää valaanpyyntihyökkäykset on varautua niihin mahdollisimman ahkerasti. Jos saisit apua Marcon kaltaiselta yhtiöltä, säästäisit miljoonia dollareita ja valaan kokoisen päänsäryn.
