Tegevjuhi pettus: see kelmus aitab teid vallandada ja maksab teie ülemusele raha

Reklaam

E-post on tavaline rünnakvektor, mida kasutavad petturid ja arvutikurjategijad. Kuid kui arvate, et seda kasutatakse ainult pahavara, andmepüügi ja Nigeeria ettemakse pettused Kas Nigeeria kelmuste kirjad peidavad kohutavat saladust? [Arvamus]Ühel päeval langeb minu postkasti veel üks rämpspost, mis töötab kuidagi ümber Windows Live'i rämpsposti filtri, mis teeb nii head tööd, et kaitsta minu silmi kõigi muude soovimatute eest ... Loe rohkem , mõtle uuesti. Seal on uus e-posti teel juhitud pettus, kus ründaja teeskleb teie ülemust ja laseb teil kanda tuhandeid dollareid ettevõtte raha nende kontrollitavale pangakontole.

Seda nimetatakse tegevjuhi pettuseks või „Insider Spoofing“.

Rünnaku mõistmine

Niisiis, kuidas rünnak töötab? Noh, selleks, et ründaja selle edukalt ära tõmbaks, peavad nad teadma palju teavet ettevõtte kohta, mida nad sihivad.

Suur osa sellest teabest on seotud ettevõtte või asutuse hierarhilise struktuuriga, kellele nad on suunatud. Nad peavad teadma kes nad hakkavad kehastama. Ehkki seda tüüpi pettust tuntakse kui tegevjuhi pettust, on see tegelikult suunatud

kedagi vanema rolliga - igaüks, kes suudaks makseid algatada. Nad peavad teadma oma nime ja e-posti aadressi. See aitaks ka teada nende ajakava ning seda, millal nad reisivad või puhkusel on.

Lõpuks peavad nad teadma, kes organisatsioonis on võimeline väljastama rahaülekandeid, näiteks raamatupidaja või keegi finantsosakonna töötajatest.

Suure osa sellest teabest võib vabalt leida kõnealuse ettevõtte veebisaitidelt. Paljudel keskmise suurusega ja väikestel ettevõtetel on lehed „Meist”, kus nad loetlevad oma töötajad, rollid ja vastutuse ning kontaktteabe.

Kellegi sõiduplaanide leidmine võib olla natuke raskem. Enamik inimesi ei avalda oma kalendrit veebis. Paljud inimesed reklaamivad aga oma liikumist sotsiaalmeedia saitidel, nagu Twitter, Facebook ja Sülem (endine Foursquare) Foursquare käivitub teie maitsele põhineva avastusvahendinaFoursquare oli mobiilse registreerimise teerajaja; asukohapõhine olekuvärskendus, mis ütles maailmale täpselt, kus sa olid ja miks - miks on puhtale avastusriistale üleminek samm edasi? Loe rohkem . Ründajal oleks vaja vaid oodata, kuni nad on kontorist lahkunud, ja nad võivad streikida.

Ma olen St George'i turul - @ stgeorgesbt1 Belfastis, Co Antrim https://t.co/JehKXuBJsc

- Andrew Bolster (@Bolster) 17. jaanuar 2016

Kui ründajal on iga pusletükk, mida ta rünnakuks vajab, saadavad nad rahastuse e-kirjaga töötaja, kes väidetakse olevat tegevjuht ja palub neil algatada rahaülekanne tema pangakontole kontroll.

Et see toimiks, peab e-post välja nägema ehtne. Nad kas kasutavad e-posti kontot, mis tundub olevat seaduslik või usutav (näiteks [email protected]) või tegevjuhi e-posti aadressi võltsimise teel. Siin saadetakse muudetud päistega meilisõnumid, nii et väli „Alates:” sisaldab tegevjuhi ehtsat e-posti aadressi. Mõned motiveeritud ründajad proovivad saada tegevjuhi neile e-kirja, et nad saaksid oma e-kirja stiilide ja esteetikaga kopeerida.

Ründaja loodab, et rahandustöötajale avaldatakse survet algatada ülekanne, kontrollimata esmalt selle juhtivtöötajaga. See panus tasub end sageli ära, kuna mõned ettevõtted on tahtmatult välja maksnud sadu tuhandeid dollareid. Üks ettevõte Prantsusmaal, mis oli profileeritud BBC poolt kaotas 100 000 eurot. Ründajad üritasid saada 500 000, kuid pank blokeeris kõik maksed peale ühe, kes kahtlustas pettust.

Kuidas sotsiaalsed insenerirünnakud toimivad

Traditsioonilised arvutiturbeohud on tavaliselt oma olemuselt tehnoloogilised. Selle tulemusel saate nende rünnakute vastu võidelda tehnoloogiliste meetmete abil. Kui nakatute pahavaraga, saate installida viirusetõrjeprogrammi. Kui keegi on üritanud teie veebiserverit häkkida, võite palgata kellegi läbitungimistesti tegema ja andma teile nõu, kuidas masinat teiste rünnakute vastu "kõvaks teha".

Sotsiaalainete rünnakud Mis on sotsiaalne insener? [MakeUseOf selgitab]Saate installida valdkonna tugevaima ja kalleima tulemüüri. Saate töötajaid koolitada põhiliste turvaprotseduuride ja tugevate paroolide valimise olulisuse kohta. Võite isegi serveriruumi lukustada - aga kuidas ... Loe rohkem - mille näide on tegevjuhi pettus - mida on palju raskem leevendada, kuna nad ei ründa süsteeme ega riistvara. Nad ründavad inimesi. Selle asemel, et kasutada ära haavatavusi koodis, kasutavad nad ära inimloomuse ja meie instinktiivse bioloogilise hädavajalikkuse usaldada teisi inimesi. Selle rünnaku üks huvitavamaid selgitusi tehti DEFCONi konverentsil 2013. aastal.

Mõned kõige lõualuud kõige hirmutavamaid häkke oli sotsiaaltehnoloogia toode.

2012. aastal sattus endine Wiredi ajakirjanik Mat Honan rünnakule kindla küberkurjategijate kaadri poolt, kes otsustasid tema veebielu lammutada. Sotsiaaltehnoloogia taktikat kasutades suutsid nad veenda Amazoni ja Apple'i andma neile teavet, mida nad eemalt pühkimiseks vajavad tema MacBook Air ja iPhone, kustutada tema e-posti konto ja arestida tema mõjukas Twitteri konto, et postitada rassilist ja homofoobset epiteedid. Sina saab jahutusjuttu lugeda siit.

Sotsiaalainete rünnakud pole vaevalt uus uuendus. Häkkerid on neid aastakümnete jooksul süsteemidele, hoonetele ja teabele juurdepääsu saamiseks kasutanud. Üks kurikuulsamaid ühiskonnainsenerid on Kevin Mitnick, kes 90-ndate aastate keskel veetis aastaid politsei eest peidus, pärast seda, kui oli toime pannud mitu arvutikuritegu. Ta vangistati viieks aastaks ja talle keelati arvuti kasutamine kuni 2003. aastani. Häkkerite lähenedes oli Mitnick nii lähedal kui pääsesite millel on rockstari staatus 10 maailma kuulsaimat ja parimat häkkerit (ja nende põnevad lood)Valge mütsiga häkkerid versus musta mütsiga häkkerid. Siin on ajaloo parimad ja kuulsamad häkkerid ning see, mida nad täna teevad. Loe rohkem . Kui tal lõpuks lubati Internetti kasutada, televisioonis seda Leo Laporte's Ekraanisäästjad.

Lõpuks läks ta legitiimseks. Nüüd juhib ta oma arvutiturbe nõustamisettevõtet ja on kirjutanud hulga raamatuid sotsiaaltehnikast ja häkkimisest. Võib-olla on kõige paremini läbi vaadatud “petmise kunst”. See on sisuliselt novellide antoloogia, mis vaatleb, kuidas ja kuidas sotsiaalseid insenerirünnakuid maha tõmmata kaitsta end nende eest Kuidas kaitsta ennast sotsiaalse inseneri rünnakute eestEelmisel nädalal vaatasime peamisi sotsiaalse inseneriga seotud ohte, millele teie, teie ettevõte või töötajad peaksid tähelepanu pöörama. Lühidalt, sotsiaalne insener on sarnane ... Loe rohkem , ja seda saab osta Amazonist.

Mida saab teha tegevjuhi pettuste osas?

Vaatame siis uuesti. Me teame, et tegevjuhi pettus on kohutav. Me teame, et see maksab paljudele ettevõtetele palju raha. Me teame, et seda on uskumatult raske leevendada, kuna see on rünnak inimeste, mitte arvutite vastu. Viimane asi, mida peame käsitlema, on see, kuidas me selle vastu võitleme.

Seda on lihtsam öelda kui teha. Kui olete töötaja ja olete saanud tööandjalt või ülemuselt kahtlase maksetaotluse, võiksite proovida nendega ühendust võtta (kasutades muud meetodit kui e-post), et näha, kas see on ehtne. Nad võivad teid natuke häirida, et neid häirite, kuid tõenäoliselt nad seda teevad rohkem pahane, kui sa saatsid 100 000 dollarit ettevõtte vahendeid välismaa pangakontole.

On ka tehnoloogilisi lahendusi, mida saab ka kasutada. Microsofti oma peatselt värskendatav Office 365 sisaldab teatud tüüpi kaitset seda tüüpi rünnakute eest, kontrollides iga e-posti allikat, et näha, kas see pärineb usaldusväärse kontaktilt. Microsoft arvab, et Office 365 tuvastab võltsitud või võltsitud meilide tuvastamise 500% -liselt.

Ära ole jamatud

Kõige usaldusväärsem viis nende rünnakute eest kaitsmiseks on skeptiline. Kui saate e-kirja, kus palutakse teil teha suur rahaülekanne, helistage oma ülemusele ja kontrollige, kas see on õigustatud. Kui teil on IT-osakonnaga mingit mõju, kaaluge seda küsida kolige Office 365-sse Sissejuhatus Office 365: kas peaksite ostma uue Office'i ärimudeli?Office 365 on tellimisel põhinev pakett, mis pakub juurdepääsu uusimale lauaarvuti Office'i komplektile, Office Online'ile, pilvesalvestusruumidele ja esmaklassilistele mobiilirakendustele. Kas Office 365 pakub piisavalt väärtust, et see oleks raha väärt? Loe rohkem , mis juhib paketti tegevjuhi pettuste vastu võitlemisel.

Kindlasti loodan, et pole, kuid kas olete kunagi olnud rahast motiveeritud e-posti kelmuse ohver? Kui jah, siis tahan sellest kuulda. Lisage kommentaar allpool ja öelge mulle, mis alla läks.

Foto autorid: AnonDollar (teie anon), Miguel The Entertainment tegevjuht (Jorge)