Innhold
- 01. Sosialteknikk
- 02. Den lavteknologiske interne trusselen
- 03. Agn
- 04. Avmeld knappene
- Få din billett til Generate New York nå
Selv om det er sant at angripere utvikler mer komplekse virus og skadelig programvare hele tiden, stadig oftere glemt, kommer ikke den største sikkerhetstrusselen mot bedrifter faktisk fra programvare, men fra menneskene selv.
Bedrifter kan bygge den sikreste infrastrukturen i verden for å beskytte dataene sine mot eksterne trusler, med løsninger som brannmurer, VPN-er og sikre gateways, men det reduserer ikke risikoen for trusler, ondsinnede eller på annen måte, fra selve organisasjonen. Denne lavteknologiske måten å hacking har blitt stadig mer populær de siste årene, med kjente merkevarer som er blitt offer for svindlere som kontakter junior finansadministratorer som ber om midler etter å ha gjort en liten LinkedIn-undersøkelse.
- De beste VPN-ene i 2019
I tillegg til at internett utgjør så mye av de fleste menneskers daglige rutine, og mange ansatte logger inn på personlige kontoer på arbeidsplassen, er det viktig å huske at det også er en krysning mellom personlige opplysninger og forretningsinformasjonen din når det gjelder sikkerhet på nettet. Hvis en hacker innhenter dine personlige opplysninger, kan de også få tilgang til dine profesjonelle.
Her er altså fire måter hackere kan omgå sikkerheten din og stjele dataene dine.
01. Sosialteknikk
Opprinnelsen til enhver menneskelig cybersikkerhetstrussel er sosial engineering; handlingen med å manipulere konfidensielle data fra et individ. Visst, hackere kan infisere et nettverk med skadelig programvare og gå inn gjennom bakdøren, eller enda bedre, de kan bare lure en ansatt til å gi ut et passord og spasere rett inn gjennom fronten uten å heve noen alarmklokker. Når en hacker har passord til en person, er det lite du kan gjøre for å stoppe dem, siden aktiviteten deres ser ut til å være autorisert.
Sosialtekniske teknikker har måttet bli mer sofistikerte gjennom årene ettersom den gjennomsnittlige brukeren har blitt bedre enn de tradisjonelle metodene hackere bruker. Så hackere må nå være smartere på måtene de får data på. I forretningsmessig forstand kan noe så enkelt som å lure en bruker til å klikke en ondsinnet lenke gi angriperen tilgang til hele nettverket. Folk vet å ignorere e-post fra bedende fremmede som har et desperat behov for bankdetaljer, men når den e-posten kommer fra noen du kjenner, er det mye mindre sannsynlig at du klikker på 'Merk som spam'.
Hackere kan enkelt bla gjennom et potensielt måls Facebook-konto for å finne navnet på en venn til offeret. Deretter kan de sende offeret en e-post som later til å være den vennen, og offeret vil mer sannsynlig falle for det hvis de tror det kommer fra noen de kjenner.
TIPS: På temaet sosiale medier, vær forsiktig med de personlige detaljene du gir ut. Det som kan virke som et ufarlig spill der 'Ditt rapnavn er navnet på ditt første kjæledyr pluss mors mors pikenavn', kan faktisk være en phishing-svindel som brukes til å finne ut svarene på vanlige spørsmål om kontogjenoppretting.
02. Den lavteknologiske interne trusselen
I stedet for en ansiktsløs fiende kommer de fleste interne cybersikkerhetstruslene faktisk fra nåværende eller tidligere ansatte. Disse ansatte kan få uautorisert tilgang til konfidensielle data, eller infisere nettverket med noe ondsinnet. Disse interne truslene kan ha mange former:
- Skulder surfing
'Shoulder surfing' er den enkle handlingen til en person som observerer noen som skriver passordet sitt. Det er presedens for at dette skjer. En misfornøyd eller snart forlatt ansatt kan tilfeldigvis stå bak et skrivebord og observere andre ansatte som skriver inn passordene sine. Denne enkle handlingen kan føre til uautorisert tilgang, noe som kan være katastrofalt for en bedrift. - Passord på Post-it-lapper
Enda enklere enn å huske et passord som er observert over en skulder, kan interne trusler komme fra ansatte som skriver ned passord og stikker dem til dataskjermene sine - ja, det skjer faktisk. Dette gjør det åpenbart utrolig enkelt for noen å få innloggingsdetaljer som kan brukes til å svindle eller infisere et selskap. Den gode nyheten er at denne uforsiktigheten er lett å rette opp. - Tommelfinger stasjoner satt inn i datamaskiner
Ansattes maskiner kan smittes med nøkkelloggprogramvare lastet på en enkel USB-stasjon. En angriper måtte bare snike USB-stasjonen inn på baksiden av en datamaskin, og de ville ha tilgang til brukerens personlige opplysninger og passord.
TIPS: For å unngå disse interne truslene, bør bedrifter utdanne sine ansatte med sikkerhetskurs og kommunikasjon om viktigheten av å være årvåken med passordene sine. Passordadministrasjonsprogramvare som KeePass eller Dashlane kan lagre passord på en sikker måte, slik at du ikke trenger å huske dem alle. Alternativt kan du også låse ned USB-porter på arbeidsstasjonene dine for å forhindre at uautoriserte enheter blir tilgjengelig via USB helt. Denne tilnærmingen må imidlertid vurderes nøye, fordi den gjør hver arbeidsstasjon mye mindre fleksibel og øker arbeidsmengden for IT-avdelingen, siden hver nye USB-enhet vil kreve godkjenning før den kan brukes.
03. Agn
I likhet med sosialteknikk lurer agnmetoder brukere ved å bruke informasjon innhentet om personen. For eksempel kan en hacker sjekke sosiale medier og lære at målet har interesse for Game of Thrones. Den kunnskapen gir angriperen noe åte. I stedet for en generell e-post, kan angriperen sende målet en e-post som sier 'Klikk her for å se den siste Game of Thrones-episoden'. Brukeren er mer sannsynlig å klikke på knappen, som selvfølgelig er en malware-lenke, og ikke den siste episoden av Game of Thrones.
På samme måte, med så mye informasjon som er oppført offentlig på LinkedIn, kan det også være enkelt for angripere å undersøke en rapporteringsstruktur, målrette en junior som utgir seg for å være administrerende direktør og be om overføring av midler til en bestemt konto. Så langt hentet som det kan virke, er det velkjente hendelser av at dette finner sted. Avlytting er en lignende metode, med angripere som lytter til forretningssamtaler i kaffebarer, på offentlig transport og til og med som leverandør i et kontormiljø.
04. Avmeld knappene
En annen måte angripere lurer brukere til å laste ned skadelig programvare fra e-post, er ved å avslutte abonnementsknapper. I følge loven må hver markedsførings-e-post inneholde en lenke for avmelding slik at forbrukerne kan velge bort mottak av kommunikasjon. En angriper kan sende gjentatte e-poster til en bruker som ser ut som spesielle markedsføringstilbud fra et klesfirma (eller lignende). E-postene ser harmløse ut nok, men hvis brukeren ikke er interessert i selskapet, eller synes e-postene er for hyppige, kan de trykke på avmeldingsknappen for å slutte å motta e-post. Bortsett fra i denne hackers phishing-e-post, laster du faktisk ned skadelig programvare ved å klikke på avmeldingsknappen.
TIPS: Et riktig konfigurert anti-spam-filter skal stoppe disse e-postmeldingene, men igjen er det best å være våken.
Den viktigste take-away er å være årvåken og oppdatert på en rekke metoder som hackere kan bruke for å stjele dataene dine. Utdann dine ansatte slik at de er klar over teknikkene som er oppført i denne artikkelen som kan brukes til å skaffe innhold, for eksempel påloggingsinformasjonen eller personlige data. Oppfordre ansatte til å stille spørsmål ved alle de ikke kjenner igjen, og å være klar over at alle lytter til samtaler eller surfer på skulderen.
Når vi tar alt dette til side, er det imidlertid verdt å huske at internett fortsatt er et overveldende positivt og kreativt sted å være, og verden er betydelig rikere for det. Forutsatt at du er årvåken, kan vi alle fortsette å dra nytte av fordelene.
Denne artikkelen ble opprinnelig publisert i utgave 303 av nett, verdens mest solgte magasin for webdesignere og utviklere. Kjøp utgave 303 eller abonner her.
Få din billett til Generate New York nå
Bransjens beste webdesignarrangementGenerer New Yorker tilbake. Pågår mellom 25. og 27. april 2018, inkluderer overordnede høyttalere SuperFriendly's Dan Mall, webanimasjonskonsulent Val Head, JavaScript-utvikler Wes Bos med full stack og mer.
Det er også en hel dag med workshops og verdifulle nettverksmuligheter - ikke gå glipp av det.Få din Generate-billett nå.
