Co gorsze, dają się w ten sposób oszukać nawet pracownicy działów IT. Hakerzy zdają sobie z tego sprawę i coraz śmielej wplatają w ataki metody socjotechniczne, by bezkarnie wykradać firmowe dane.

Firma Positive Technologies przeprowadziła badania na grupie prawie 3,5 tys. pracowników z dziesięciu dużych zachodnich firm. W ramach tzw. pentestów, czyli testów penetracyjnych, pracownicy otrzymali zainfekowane załączniki i maile z linkami do fałszywych stron logowania. Przy tym nie zdawali sobie sprawy, że to część kontrolowanego włamania.

Zobacz również:

• Dzięki tej umowie polska policja zyska wiedzę i narzędzia zapobiegające cyfrowym zagrożeniom
• FBI ostrzega - masowy atak phishingowy w USA
• Google zmienia algorytmy - więcej reklam w Gmailu

Raport pokazał dobitnie, że gdyby te maile wysłali prawdziwi przestępcy, a nie pentesterzy, 17 proc. otwartych wiadomości doprowadziłaby do naruszenia bezpieczeństwa firmy.

Raport Positive Technologies wykazał, że socjotechniczne metody wykorzystywane przez hakerów potrafią nie tylko uśpić czujność pracowników, ale i stworzyć iluzję interakcji. Wiele z przebadanych osób nie tylko otworzyło załącznik czy kliknęło w linki, ale także wdało się w korespondencję z atakującymi.

Niektórzy pracownicy, nie mogąc otworzyć linków lub przesłanych plików, potrafili na fałszywej stronie logowania wprowadzić swoje hasło nawet 40 razy. Co ciekawe, atakom ulegli nie tylko pracownicy spoza działów IT, ale także 3 proc. specjalistów ds. bezpieczeństwa IT, którzy teoretycznie powinni umieć rozpoznać tego typu ataki.

Aby zmniejszyć ryzyko udanych ataków opartych na metodach socjotechnicznych, ważne jest regularne przeprowadzanie szkoleń i testowanie, na ile skutecznie każdy pracownik przestrzega zasad bezpieczeństwa w praktyce. Dobrym sposobem, by przekonać się, na ile pracownicy są świadomi internetowych zagrożeń, jest m.in. realizacja włamania na zamówienie, czyli pentestów służących do identyfikacji słabych punktów i wskazania adekwatnych środków naprawczych. Trzeba mieć jednak świadomość, że przeprowadzony test nie jest remedium na problem i nie podniesie automatycznie poziomu bezpieczeństwa – zrobi to dopiero wdrożenie zaleconych zmian.

"Skrzynki mailowe pracowników to nadal najsłabsze ogniwo w bezpieczeństwie firm. O ile jednak firma może się zabezpieczyć przed zawirusowanymi załącznikami dzięki odpowiednim programom, to jeszcze nie mamy jednego skutecznego sposobu na powstrzymanie nieświadomego podstępu pracownika przed podaniem swojego hasła na udającej właściwą stronie autoryzującej dostęp. Tu mogą pomóc wyłącznie szkolenia i edukacja", komentuje wyniki Adam Dzielnicki z Atmana, firmy oferującej chmurowe usługi i przeprowadzającej pentesty w polskich firmach.

Źródło: inPlus Media