Jak chronić zespół przed phishingiem i oszustwami?

Czym naprawdę jest phishing

Phishing to fałszywa wiadomość zaprojektowana tak, żeby skłonić kogoś do ujawnienia loginu albo innych wrażliwych informacji, albo do kliknięcia czegoś, co daje atakującemu sposób na wejście. Wiadomość zwykle wygląda, jakby pochodziła z usługi, z której twój zespół już korzysta: systemu poczty, dostawcy payrollu, banku, firmy kurierskiej albo wewnętrznego narzędzia.

Typowy przykład: pracownik dostaje maila, który wygląda, jakby pochodził od Microsoftu, mówiącego, że jego hasło zaraz wygaśnie, z linkiem, żeby je „potwierdzić". Link prowadzi do strony, która wygląda identycznie jak prawdziwy ekran logowania. Kiedy pracownik wpisuje swoją nazwę użytkownika i hasło, atakujący je przechwytuje. Pracownik widzi niegroźny błąd albo przekierowanie na prawdziwą stronę i idzie dalej, nieświadomy, że cokolwiek się wydarzyło.

Powód, dla którego phishing wciąż jest punktem startowym tak wielu incydentów, jest prosty. Skradzione hasła to klucz uniwersalny do większości systemów firmowych. Gdy atakujący ma już działający login, może czytać pocztę, znaleźć relacje finansowe, zbadać, jak twoja firma komunikuje się na co dzień, i przygotować kolejny, bardziej celowany ruch.

Phishing przychodzi też SMS-em, telefonem i czatem, nie tylko mailem. Zasada jest w każdym przypadku taka sama: wiadomość zaprojektowana tak, żeby czuć się legalnie i wywołać szybką reakcję.

Business email compromise: droższy kuzyn

Business email compromise, często skracane do BEC, to sytuacja, w której atakujący podszywa się pod kogoś zaufanego, żeby przekierować płatność albo wrażliwe dane. Często nie ma żadnego malware ani widocznego włamania. Atakujący albo przejmuje prawdziwą skrzynkę pocztową, używając skradzionego hasła, albo wysyła wiadomości z podobnie wyglądającego adresu, którego odbiorca nie sprawdza dokładnie.

Dwa najczęstsze wzorce:

• Prośba od kierownictwa. Wiadomość, która wygląda, jakby pochodziła od dyrektora generalnego albo dyrektora finansowego, prosi młodszego pracownika o pilną płatność, zakup kart podarunkowych albo udostępnienie poufnych informacji. Wykorzystuje jednocześnie autorytet i presję czasu, więc odbiorca czuje się niegrzecznie albo ryzykownie, jeśli zwolni, żeby sprawdzić.
• Zmiana dostawcy. Atakujący, który po cichu czytał pocztę, dowiaduje się, że zbliża się termin płatności faktury. Wysyła wiadomość, często z przekonującego, podobnego adresu dostawcy, mówiącą, że dane bankowe dostawcy się zmieniły. Kolejna prawdziwa płatność trafia na konto atakującego.

BEC jest niebezpieczny właśnie dlatego, że celuje w normalną działalność biznesową. Płacenie faktur i odpowiadanie szefowi to rzeczy, które twój zespół ma robić szybko. Atakujący nie łamie twojego procesu. Pożycza go.

Deepfake'i głosowe i wideo AI: nowa warstwa

Do niedawna rozmowa wideo albo głosowa była mocnym dowodem na to, że rozmawiasz z prawdziwą osobą. To założenie już się nie broni. Atakujący mogą teraz użyć sztucznej inteligencji, żeby wygenerować przekonującą podróbkę czyjejś twarzy i głosu, zbudowaną z nagrań, które często są publicznie dostępne, na przykład wystąpień konferencyjnych, webinarów i nagranych spotkań. „Deepfake" to syntetyczny klip wideo albo audio zrobiony tak, żeby wyglądać i brzmieć jak konkretna prawdziwa osoba.

Najbardziej klarownym udokumentowanym przykładem jest firma inżynieryjno-projektowa Arup. W sprawie zgłoszonej hongkońskiej policji w styczniu 2024 roku i publicznie ujawnionej w maju 2024 roku, pracownik finansowy w biurze firmy w Hongkongu dostał wiadomość, która wyglądała, jakby pochodziła od brytyjskiego dyrektora finansowego firmy, w sprawie poufnej transakcji. Pracownik był początkowo podejrzliwy. Atakujący zaprosili go wtedy na rozmowę wideo z kimś, kto wyglądał i brzmiał jak dyrektor finansowy i kilku współpracowników. Uspokojony rozmową, pracownik dokonał płatności na około 25 milionów USD (około 200 milionów HKD) w 15 transakcjach. Osoby na rozmowie były deepfake'ami wygenerowanymi przez AI. Oszustwo wyszło na jaw dopiero, gdy pracownik później skontaktował się z brytyjską centralą.

Wyróżniają się dwie lekcje. Po pierwsze, instynkt pracownika był trafny: pierwsza wiadomość wydawała się nie w porządku. To rozmowa deepfake przeważyła nad tym instynktem. Po drugie, żaden system w Arup nie został zhakowany. Firma potwierdziła, że jej wewnętrzne systemy nie zostały naruszone. To było oszustwo wymierzone w osobę i proces, nie naruszenie techniczne. Dlatego naprawa to naprawa procesu, nie tylko techniczna.

Dlaczego samo szkolenie z awareness nie wystarcza

Szkolenie zespołu w wykrywaniu podejrzanych wiadomości warto robić i powinieneś to robić. Ale traktowanie go jako głównej linii obrony skazuje twoich ludzi na porażkę, z powodów, które nie mają nic wspólnego z tym, jak są ostrożni albo inteligentni.

• Ataki są przekonujące celowo. Dobra strona phishingowa jest nieodróżnialna od prawdziwego ekranu logowania. Rozmowa deepfake może uchodzić za prawdziwą osobę. Proszenie zespołu o wykrycie tego, co niewykrywalne, to nie strategia.
• Presja pokonuje pamięć. Ludzie radzą sobie najgorzej dokładnie wtedy, gdy atakujący chce, żeby zadziałali: zapracowane popołudnie, pilna prośba od kogoś z góry, deadline. Szkolenie było miesiące temu. Presja jest teraz.
• Wystarczy jedna osoba. Jeśli sto osób dostanie maila phishingowego i dziewięćdziesiąt dziewięć go rozpozna, ta jedna, która nie, wystarczy. Obrona zależna od tego, że wszyscy zawsze zrobią to dobrze, prędzej czy później zawiedzie.
• Zagrożenie wciąż się zmienia. Zeszłoroczne rady („szukaj błędów ortograficznych", „sprawdź nazwę nadawcy") są słabe wobec wiadomości pisanych przez AI i rozmów deepfake, które nie mają oczywistych sygnałów ostrzegawczych.

Właściwym wnioskiem nie jest rezygnacja ze szkoleń. Jest nim przestanie polegać na czujności ludzi jako ostatniej linii obrony i postawienie za nią kontroli, które działają nawet wtedy, gdy dana osoba się nabierze.

Kontrole, które faktycznie pomagają

Trzy kontrole wykonują większość pracy. Żadna nie wymaga dużego zespołu. Wszystkie są w zasięgu firmy z segmentu mid-market.

1. MFA odporne na phishing

Uwierzytelnianie wieloskładnikowe, czyli MFA, oznacza, że logowanie wymaga więcej niż samego hasła: zwykle czegoś, co dana osoba posiada, na przykład telefonu albo małego klucza bezpieczeństwa. Ważny szczegół jest taki, że nie każde MFA jest tak samo dobre. Popularny typ, gdzie kod przychodzi SMS-em albo pokazuje się w aplikacji do wpisania, wciąż może zostać skradziony przez przekonującą fałszywą stronę logowania, bo pracownik wpisuje ten kod wprost w ręce atakującego.

MFA odporne na phishing usuwa tę słabość. Używa metody, na przykład sprzętowego klucza bezpieczeństwa albo passkey wbudowanego w urządzenie, która jest powiązana z prawdziwą stroną internetową i nie zadziała na fałszywej. Nawet jeśli pracownik zostanie oszukany i odwiedzi fałszywą stronę logowania, nie ma tam żadnego kodu do przekazania i niczego, co atakujący mógłby przechwycić. To najbliższa rzecz do pojedynczej, wysoce skutecznej poprawki, jaka jest dostępna, bo neutralizuje najczęstszy cel phishingu: kradzież działającego loginu.

Szczegóły dotyczące tego, które metody się kwalifikują i jak je wdrożyć, znajdziesz w przewodniku „MFA odporne na phishing".

2. Proces weryfikacji płatności, który nie polega na jednym kanale

Największe straty pochodzą z płatności, więc najcenniejsza kontrola siedzi w twoim procesie finansowym. Zasada jest prosta: każda nowa płatność, każda zmiana danych bankowych dostawcy i każda nietypowa albo pilna prośba o płatność musi zostać zweryfikowana przez drugi, niezależny kanał, zanim pieniądze zostaną przelane.

Niezależny to kluczowe słowo. Jeśli prośba przyszła mailem, nie potwierdzasz jej, odpowiadając na tego maila ani dzwoniąc pod numer w nim podany. Potwierdzasz ją, oddzwaniając do tej osoby pod numer, który już masz, albo rozmawiając z nią osobiście. W przypadku Arup jeden telefon zwrotny do brytyjskiej centrali pod znanym numerem ujawniłby oszustwo, zanim pieniądze opuściłyby firmę. Deepfake zadziałał, bo weryfikacja odbyła się w tym samym kanale, który kontrolował atakujący.

Zapisz to jako stałą zasadę, nie decyzję podejmowaną na bieżąco:

• Nowe dane bankowe dostawcy są weryfikowane telefonicznie u znanego kontaktu przed pierwszą płatnością.
• Zmiany istniejących danych bankowych są traktowane jako wysokie ryzyko i weryfikowane w ten sam sposób, za każdym razem, bez wyjątków na pilność.
• Płatności powyżej ustalonego progu wymagają drugiej osoby autoryzującej.
• Pilność i wysokie stanowisko nigdy nie są powodem, żeby pominąć sprawdzenie. Są powodem, żeby je zastosować.

Powtarzaj wyraźnie, że żaden prawdziwy członek kierownictwa nigdy nie będzie zirytowany tym, że ktoś go zweryfikował. Usunięcie społecznego kosztu zwolnienia tempa to część kontroli. Pracownik, który zatrzymuje się, żeby sprawdzić, robi dokładnie to, czego chcesz.

3. Proste nawyki, które obniżają poziom bazowy ryzyka

Garść tanich nawyków obniża, jak często ataki się udają i jak daleko się rozprzestrzeniają:

• Ścieżka zgłaszania bez obwiniania. Daj zespołowi jeden oczywisty sposób na zgłoszenie podejrzanej wiadomości albo pomyłki i jasno zaznacz, że szybkie zgłoszenie to zawsze właściwy ruch. Wiele strat rośnie, bo ktoś wstydzi się podnieść alarm wcześnie.
• Menedżery haseł i brak powtarzania haseł. Menedżer haseł pozwala, żeby każdy system miał unikalne, silne hasło, więc jedno skradzione hasło nie odblokowuje innych. Po cichu pomaga też wykrywać fałszywe strony, bo nie wypełni automatycznie loginu na domenie, której nie rozpoznaje.
• Zwalniaj przy pilności i pieniądzach. Wytrenuj jeden odruch ponad wszystkie inne: kiedy wiadomość łączy pieniądze, pilność i zmianę zwykłego procesu, to jest moment, żeby zweryfikować, nie żeby się podporządkować.
• Ogranicz, co może zrobić każde konto. Gdy konto zostanie przejęte, szkoda jest ograniczona przez to, do czego to konto miało dostęp. Utrzymywanie dostępu wąsko dopasowanego do potrzeb każdej roli zmniejsza blast radius.

Jak prowadzić szkolenia i zgłaszanie, żeby wzmacniały te kontrole, a nie je zastępowały, sprawdź przewodnik „Świadomość security i phishing".

Jak wygląda dobrze zrobiona ochrona

Nie potrzebujesz perfekcji. Potrzebujesz stanu, w którym dać się nabrać w danej chwili nie zamienia się w stratę. W praktyce firma z segmentu mid-market w dobrej kondycji może odpowiedzieć tak na każde z poniższych:

• Loginy do poczty i kluczowych systemów są chronione przez MFA odporne na phishing, więc samo skradzione hasło nie wystarczy, żeby się dostać.
• Istnieje pisemna zasada weryfikacji płatności i jest przestrzegana, a każda zmiana danych bankowych dostawcy jest potwierdzana na znanym, niezależnym kanale.
• Zespół zna jeden prosty sposób na zgłaszanie podejrzanych wiadomości i korzysta z niego bez strachu przed obwinieniem.
• Pracownicy finansów i recepcji, osoby najczęściej atakowane, przećwiczyli, co robić, gdy prośba wydaje się pilna i pochodzi z góry, w tym prawo do zatrzymania się i weryfikacji.
• Kierownictwo sprawiło, że kulturowo bezpiecznie, a wręcz oczekiwanie jest zweryfikowanie prośby, nawet gdy wygląda, że pochodzi z samej góry.

Jeśli na wszystkie z nich odpowiesz tak, zamknąłeś większość realnego ryzyka. Pozostała praca to utrzymywanie tych nawyków przy życiu i przeglądanie ich w miarę ewolucji metod ataku.

Źródła

• Arup revealed as victim of $25 million deepfake scam involving Hong Kong employee · https://www.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk (sprawa deepfake Arup: kwota, rozmowa wideo, pracownik finansowy w Hongkongu)
• A deepfake 'CFO' tricked British design firm Arup in $25 million fraud · https://fortune.com/europe/2024/05/17/arup-deepfake-fraud-scam-victim-hong-kong-25-million-cfo/ (deepfake CFO i współpracownicy, 15 transakcji, systemy nienaruszone, zgłoszone w styczniu 2024)