Töötajate propageerimine on kontseptsioonina olnud kasutusel juba üle kümne aasta. Kuid see, mis algas heatahtliku viisina ettevõtte maine, mõttejuhtimise ja turunduse parandamiseks, on toonud kaasa ka mõningaid ootamatuid tagajärgi. Kui professionaalid postitavad oma tööst, ettevõttest ja rollist, loodavad nad jõuda sarnaste mõttekaaslasteni, samuti potentsiaalsete klientide ja partneriteni. Kuid ka õelutsejad pööravad tähelepanu.
Kui see teave on avalikustatud, kasutatakse seda sageli veenvate spearphishing- või business email compromise (BEC) stiilis rünnakute loomiseks. Mida rohkem teavet, seda rohkem võimalusi kurjadeks tegevusteks, mis võivad su organisatsiooni kõvasti tabada.
Kus su töötajad jagavad?
Peamised platvormid sellise teabe jagamiseks on tavalised kahtlusalused. LinkedIn on võib-olla kõige ilmselgem. Seda võib tegelikult kirjeldada kui suurimat avatud ettevõtteandmete andmebaasi maailmas: tõeline varaaait tööpealkirjade, rollide, vastutusalade ja sisemiste suhete osas. See on ka koht, kus värbajad postitavad töökuulutusi, mis võivad sisaldada liiga palju tehnilisi üksikasju, mida saab hiljem spearphishing-rünnakutes ära kasutada.
GitHub on võib-olla küberturvalisuse kontekstis paremini tuntud kui koht, kus unustlikud arendajad postitavad sisse kodeeritud saladusi, IP-d ja kliendiandmeid. Kuid nad võivad jagada ka vähem ohtlikku teavet projektide nimede, CI/CD torujuhtmete nimede ja kasutatavate tehnoloogiate ning avatud lähtekoodiga teekide kohta. Nad võivad ka Git commit-konfiguratsioonidesse jagada ettevõtte e-posti aadresseid.
Siis on olemas klassikalised tarbijatele suunatud sotsiaalplatvormid nagu Instagram ja X. Siin jagavad töötajad tõenäoliselt detaile oma reisikavadest konverentsidele ja muudele üritustele, mida saab nende ja nende organisatsiooni vastu kasutada. Isegi su ettevõtte veebisaidil olev teave võib olla kasulik potentsiaalsele petturile või häkkerile. Mõtle: tehnoloogiliste platvormide, tarnijate ja partnerite üksikasjad või suured ettevõtte teadaanded, nagu ühinemised ja omandamised. Kõik see võib anda ettekäände keerukatele phishing-rünnakutele.
SEOTUD LUGEMINE: Kas su LinkedIni profiil paljastab liiga palju?
Teabe relvastamine
Tüüpilise sotsiaalse insenerirünnaku esimene etapp on luurekogumine. Järgmine samm on selle luure relvastamine spearphishing-rünnakuks, mille eesmärk on meelitada saajat tahtmatult installima oma seadmesse malware’i. Või potentsiaalselt jagama oma ettevõtte mandaate esmaseks juurdepääsuks. Seda võib saavutada e-posti, teksti või isegi telefonikõne kaudu. Alternatiivina võivad nad kasutada teavet, et jäljendada tippjuhti või tarnijat e-posti, telefoni või videokõnes, paludes kiiret rahaülekannet.
Need jõupingutused nõuavad tavaliselt jäljendamise, kiireloomulisuse ja asjakohasuse segu. Siin on mõned hüpoteetilised näited:
- Vastane leiab LinkedInist teavet ettevõtte A IT-rolliga uue töötaja kohta, sealhulgas tema peamise rolli ja vastutusalad. Nad jäljendavad peamist tehnoloogiatarnijat, väites, et vajalik on kiire turvavärskendus, viidates sihtmärgi nimele, kontaktandmetele ja rollile. Värskenduslink on pahatahtlik.
- Ründeohver leiab GitHubist teavet kahe kolleegi kohta, sealhulgas projekti kohta, mille kallal nad töötavad. Nad jäljendavad ühte neist e-kirjas, paludes teisel üle vaadata lisatud dokument, mis on täis malware’i.
- Pettur leiab LinkedInist või ettevõtte veebisaidilt video ühest juhist. Nad näevad sihtmärgi Instagrami/X voost, et ta esineb konverentsil ja on kontorist eemal. Teades, et juhi võib olla raske kätte saada, käivitavad nad deepfake BEC-ründe, kasutades videot või heli, et meelitada finatiimi liiget saatma raha uuele tarnijale.
Hoiatavad lood
Ülaltoodud on vaid hüpoteetilised. Kuid on palju reaalseid näiteid ründeohvritest, kes kasutavad rünnakute algfaasis „avatud lähtekoodiga luure“ (OSINT) tehnikaid. Need hõlmavad järgmist:
- BEC-rünnak, mis maksis Children’s Healthcare of Atlanta (CHOA) 3,6 miljonit dollarit: Ründeohvrid ilmselt skaneerisid pressiteateid vastloodud ülikooli kohta, et saada rohkem üksikasju, sealhulgas haigla ehituspartneri kohta. Seejärel oleksid nad kasutanud LinkedIni ja/või ettevõtte veebisaiti, et tuvastada asjaomase ehitusfirma (JE Dunn) peamised juhid ja finantsmeeskonna liikmed. Lõpuks, jäljendasid nad juhatuse esimeest e-kirjas CHOA finantsmeeskonnale, paludes neil uuendada oma makseandmed JE Dunni jaoks.
- Venemaa-põhised SEABORGIUM ja Iraaniga seotud TA453 grupid kasutavad OSINT-i luuretegevuseks enne sihipäraseid spearphishing-rünnakuid. Ühendkuningriigi NCSC kohaselt kasutavad nad sotsiaalmeediat ja professionaalseid võrgustikuplatvorme, et „uurida oma [sihtmärkide] huvisid ja tuvastada nende reaalseid sotsiaalseid või professionaalseid kontakte.“ Kui usaldus ja hea läbisaamine on e-posti teel loodud, saadavad nad lingi ohvrite mandaatide kogumiseks.
Peata jagamine? Kuidas vähendada spearphishing-riski
Liigse jagamise riskid on reaalsed, kuid õnneks on lahendused lihtsad. Sinu arsenali võimsaim relv on haridus. Värskenda turvateadlikkuse programme, et kõik töötajad, alates juhtidest allapoole, mõistaksid, kui tähtis on sotsiaalmeedias mitte liiga palju jagada. Mõnel juhul nõuab see prioriteetide hoolikat ümberhindamist, eemale töötajate propageerimisest iga hinna eest. Hoiata personali, et nad väldiksid jagamist ebakollegiaalsete DM-ide kaudu, isegi kui nad tunnevad kasutajat (kuna nende konto võib olla kaaperdatud). Ja veendu, et nad oskavad märgata phishing-, BEC- ja deepfake-katseid.
Toeta seda range sotsiaalmeediakasutuse poliitikaga, määratledes punased jooned selle kohta, mida võib ja mida ei saa jagada, ning rakendades selgeid piire isiklike ja tööalaste/ametlike kontode vahel. Ettevõtte veebisaite ja kontosid võib samuti vaja olla üle vaadata ja uuendada, et eemaldada igasugune teave, mida võiks kasutada rünnakuks.
Mitmeteguriline autentimine (MFA) ja tugevad paroolid (paroolihalduris salvestatud) peaksid olema samuti standard kõikide sotsiaalmeediakontode puhul, juhuks kui tööalased kontod kaaperdatakse kolleegide sihtimiseks.
Lõpetuseks, jälgige avalikult kättesaadavaid kontosid, kus see on võimalik, et tuvastada igasugune teave, mida võiks spearphishing- ja BEC-rünnakuteks ära kasutada. Ja korraldage töötajate vastu red team-harjutusi, et testida nende teadlikkust.
Kahjuks muudab tehisintellekt ründeohvrite profiilide loomise, OSINT-i kogumise ja seejärel veenvaid e-kirju/sõnumeid täiuslikus looduslikus keeles koostamise kiiremaks ja lihtsamaks kui kunagi varem. Tehisintellektiga juhitavad deepfakes suurendavad nende valikuid veelgi. Põhisõnum peaks olema: kui see on avalikult kättesaadav, siis arvesta, et küberturvalisuse kurjategija teab sellest ka… ja koputab peagi uksele.
