W tym artykule omówimy, co możesz zrobić, aby zapobiec atakom typu phishing 2024
Dowiedz się, jak wykryć phishing i co Twoja firma musi zrobić, aby go powstrzymać. Przeczytaj o tym, jak uniknąć phishingu i jak przestać otrzymywać wiadomości phishingowe.
Ataki phishingowe, a nie wirusy czy hakerzy, są obecnie największym zagrożeniem dla firm. Z tego artykułu dowiesz się, jak wykrywać i powstrzymywać wiadomości phishingowe, aby nie szkodziły one Twojej firmie i nie dopuszczały do tego złych ludzi.
Pozwól, że zadam Ci pytanie: na ile jesteś świadomy i proaktywny, jeśli chodzi o wykrywanie i powstrzymywanie phishingu? Jak myślisz, jak bezpieczna jest Twoja firma przed cyberatakami?
Ataki phishingowe w liczbach
- W tym roku 65% firm w Stanach Zjednoczonych mogło zostać wyłudzonych.
- W tym roku ataki phishingowe były wymierzone w 84% wszystkich małych i średnich firm (SMB).
- 65 procent małych i średnich firm nigdy nawet nie przeprowadziło testu na e-maile phishingowe.
- Sześć miesięcy po cyberataku lub naruszeniu danych 60% małych firm nie może stanąć na nogi i kończy działalność.
- Złośliwe oprogramowanie nie jest nawet używane w 86% ataków e-mailowych.
- Phishing jest przyczyną 32% wszystkich wycieków danych.
- Oczekuje się, że w przypadku średniej wielkości firmy atak phishingowy spowoduje szkody w wysokości 1.6 miliona dolarów.
Zdaniem ekspertów sytuacja jeszcze się pogorszy, zanim się poprawi. Pokazuje to niedawny wzrost ataków phishingowych podczas pandemii COVID-19.
W dzisiejszych czasach łatwo jest rozpocząć nowy biznes, ale większość przedsiębiorców nie ma wiedzy na temat przepływów pieniężnych ani bezpieczeństwa, aby chronić swoje startupy przed atakującymi.
Ataki phishingowe są najczęściej wymierzone w kogo?
Kredyty Image: pexels
Następujące kategorie biznesowe należą do tych, które oszuści uważają za „apetyczne”. Priorytetem musi być wdrożenie środków bezpieczeństwa.
- Firmy korzystające z SaaS (33,5%)
- Firmy finansowe (19.4%)
- Sieci społecznościowe (8.3%)
- Użytkownicy usług płatniczych (13.3%)
- Handel elektroniczny (6,2%)
Większość ataków jest wymierzona w małe firmy
Ludzie myślą, że hakerzy nie ścigają małych firm tak bardzo, jak dużych firm, ponieważ duże firmy mają więcej pieniędzy i lepsze produkty.
W rzeczywistości jest na odwrót. Małe firmy są bardziej narażone na ataki, ponieważ mają mniej pieniędzy i mniej pracowników, którzy wiedzą, jak poradzić sobie z atakiem. To sprawia, że stają się łatwym celem. Hakerzy często wykorzystują ataki typu phishing, aby wykorzystać słabości w mniejszych firmach, które nie mają zbyt wiele pieniędzy do wydania na bezpieczeństwo.
Szkody spowodowane przez phishing mają wpływ na wyniki finansowe Twojej firmy
Nie ma wątpliwości, że phishing szkodzi wynikom finansowym. Pytanie brzmi: jak myślisz, ile obrażeń otrzymasz? Musisz odpowiedzieć na to pytanie, aby dowiedzieć się, jakie kroki należy podjąć, aby uchronić się przed tą paskudną cyberprzestępczością.
Jeśli Twoje rozwiązanie zabezpieczające nie jest zbyt dobre lub w ogóle nie istnieje, z pewnością staniesz się ofiarą cyberprzestępczości i oszustw, które mogą Cię kosztować dużo pieniędzy. Cyberprzestępczość jest zwykle kojarzona z wirusami i końmi trojańskimi, ale prawdziwym zagrożeniem są oszustwa typu phishing.
Ponieważ każdy może to zrobić, phishing jest o wiele bardziej przerażający niż inne rodzaje złośliwego oprogramowania. Cyberprzestępcy mogą rozpocząć kampanie phishingowe bez pisania skomplikowanego kodu lub używania specjalnych narzędzi. Są również łatwe w prowadzeniu i prawie niemożliwe do wyśledzenia.
Większość firm korzysta z komputerów z systemem Windows. To sprawiło, że Windows stał się łatwiejszym celem niż inne systemy operacyjne, takie jak Linux czy macOS w przeszłości. Ludzie myślą, że z tego powodu system Windows jest szczególnie podatny na złośliwe oprogramowanie.
Zalecamy, aby nie polegać na tym, jak bezpieczny jest system operacyjny. Bez względu na to, jakiego systemu operacyjnego używasz, upewnij się, że masz wystarczającą ochronę i nie zostałeś już zainfekowany.
Jak działa phishing?
Phishing to rodzaj cyberprzestępstwa, w którym cel jest podstępem w celu podania poufnych informacji, takich jak informacje bankowe, numery kart kredytowych, hasła i informacje o tym, kim jest.
Przestępcy udają prawdziwe firmy i kontaktują się ze swoimi ofiarami przez telefon, SMS-y, e-mail lub wszystkie trzy sposoby, jeśli mają wystarczająco dużo informacji o swoich ofiarach. Ofiary zostaną następnie nakłonione do kliknięcia złego łącza, które instaluje oprogramowanie szpiegujące, ransomware lub złośliwe oprogramowanie na ich komputerach.
Inne rodzaje phishingu wykorzystują fałszywe strony internetowe lub dokumenty, które wyglądają, jakby pochodziły z wiarygodnego źródła. Może to być na przykład strona taka jak bankowość internetowa, na której wprowadzasz informacje o swoim profilu, informacje o płatnościach lub dane osobowe.
Wykorzystywanie skradzionych danych może prowadzić do kradzieży tożsamości, przejęcia konta i strat finansowych lub może zostać wykorzystane do sprzedaży informacji stronom trzecim.
Szybkie wyszukiwanie adresu e-mail może stwierdzić, czy nadawca jest prawdziwy, ale niewiele osób wie o tym środku bezpieczeństwa, a każdy pracownik musi o nim wiedzieć, aby zatrzymać wiadomości phishingowe.
Jak zazwyczaj wygląda wiadomość phishingowa?
Doskonałym przykładem ataku phishingowego jest otrzymanie pilnej wiadomości e-mail od dużego banku lub firmy obsługującej karty kredytowe z informacją, że doszło do naruszenia ochrony danych i że należy natychmiast naprawić konto, w przeciwnym razie zostanie ono zamrożone.
Atakujący obstawiają, że masz konto bankowe lub kartę kredytową w tym banku lub firmie.
Większość ludzi boi się, gdy otrzyma pilną wiadomość e-mail, więc robi to, co jest w niej napisane, i klika łącze lub pobiera załącznik. To jest początek końca.
Ofiary nie wiedzą, że umieszczają swoje dane logowania na fałszywej stronie internetowej kontrolowanej przez atakującego lub że pobierają złośliwe oprogramowanie na swój komputer.
Zasadniczo istnieją cztery rodzaje prób phishingu:
- Zmodyfikowane adresy URL: te adresy URL wyglądają tak samo jak rzeczywiste adresy URL firm, ale może brakować jednej litery. Dlatego powinieneś być ostrożny i upewnić się, że jest prawdziwy, zanim klikniesz na link.
- Fałszywy telefon lub e-mail: Oszuści mogą żądać danych osobowych, podszywając się pod firmę. Nie podawaj nikomu tych informacji, dopóki nie będziesz pewien, że nie masz do czynienia z oszustami;
- Złośliwe oprogramowanie osadzone w wiadomości e-mail lub łączu: To częsty sposób na oszukiwanie. Aby uniknąć sztuczek intruzów, nie klikaj pobieżnych linków i korzystaj wyłącznie z certyfikowanych programów;
- Fałszywe strony zamówień. Możesz zostać oszukany w celu ujawnienia swoich danych osobowych poprzez sfałszowanie strony zamówienia w sklepie;
- Zawieszenie kont PayPal Wynik kradzieży pieniędzy przez złodziei za pośrednictwem kont PayPal. Czasami wysyłają ci listy przy użyciu fałszywych adresów e-mail. Chcą wiedzieć, ile masz pieniędzy na kontach bankowych i inne informacje. Jeśli uważasz, że list był dziwny, nie odpowiadaj na niego. Zamiast tego zadzwoń do prawdziwych przedstawicieli firmy.
Środki zapobiegania phishingowi dla firm
Jak najszybciej podejmij niezbędne kroki, aby chronić swoją firmę przed atakami typu phishing. Jeśli Twoja firma nie podjęła jeszcze poniższych kroków, prawdopodobnie jesteś narażona na ataki.
Mimo to ataki phishingowe zawsze starają się ominąć najlepsze sposoby ochrony, więc Twoi specjaliści IT lub dostawca IT muszą być na bieżąco i cały czas zaostrzać i ulepszać zabezpieczenia.
Przyjrzyjmy się, co możesz i powinieneś zrobić, aby powstrzymać phishing w swojej firmie.
1. Wykrywanie wiadomości e-mail typu phishing
Wszystkie osoby pracujące w Twojej firmie muszą wiedzieć, jak rozpoznać wiadomość phishingową. Prawdziwą osobę można zidentyfikować na podstawie wiadomości e-mail, patrząc na nią.
Na przykład za pomocą wyszukiwania adresu e-mail możesz dowiedzieć się, skąd pochodzi wiadomość e-mail. Jeśli domena różni się od nazwy podanej w wiadomości, możesz być pewien, że jest to próba wyłudzenia informacji.
E-maile phishingowe nie zawierają imienia i nazwiska celu i mogą zaczynać się od ogólnego powitania, takiego jak „Szanowny Kliencie”. To znak, że wiadomość e-mail pochodzi od oszusta.
E-maile phishingowe wykorzystują również fałszywe lub fałszywe domeny, które albo ukrywają prawdziwą domenę, albo używają takiej, która wygląda jak oryginalna (Google, Microsoft), aby cel myślał, że jest prawdziwa.
2. Regularne szkolenia pracowników z zakresu cyberbezpieczeństwa
Nawet jeśli wiesz o tych zagrożeniach internetowych i wiesz, co zrobić, gdy dochodzi do phishingu, Twoi pracownicy mogą tego nie wiedzieć.
Upewnij się, że wszyscy Twoi pracownicy przeszli podstawowe szkolenie w zakresie bezpieczeństwa i higieny online, aby nauczyć ich, jak obsługiwać WSZYSTKIE e-maile (nie klikaj linków ani nie pobieraj załączników), bez względu na to, skąd pochodzą.
Musisz być bardzo ostrożny, aby przestrzegać zasad bezpieczeństwa co do joty, ponieważ nawet mały błąd może cię kosztować dużo pieniędzy. Pomocne byłoby również przeprowadzanie regularnych ćwiczeń z zakresu cyberbezpieczeństwa skoncentrowanych na atakach phishingowych, aby Twoi pracownicy wiedzieli, co robić w każdej sytuacji.
Stale wzmacniaj świadomość ludzi w zakresie cyberbezpieczeństwa:
Jedną z popularnych taktyk jest sekstorcja. Jest inaczej, ponieważ ludzie wykorzystują uczucia, aby skłonić ich do wysłania okupu. Strach lub panika to dwa przykłady. Cofense wykrył botnet w sektorze. W czerwcu tego roku miał 200 milionów adresów e-mail. Wkrótce było ich o 330 milionów więcej. Dlatego tak ważne jest uświadamianie ludzi. Jeśli chcesz, aby Twoja firma była bezpieczna, musisz upewnić się, że Twoi pracownicy są poinformowani i przeszkoleni.
Żadna technologia nie zastąpi doświadczonych pracowników:
Atak phishingowy był wymierzony w dużą firmę z branży medycznej. Ale kiedy ludzie powiedzieli, że otrzymali podejrzane listy, centrum bezpieczeństwa było w stanie działać szybko. W 19 minut atak został zatrzymany.
3. Aktualizuj swój system operacyjny i oprogramowanie
W przypadku niektórych ataków typu phishing, przestarzałe oprogramowanie lub system operacyjny są wykorzystywane do dostarczania złośliwego oprogramowania.
Upewnij się, że na wszystkich urządzeniach firmowych działają najnowsze wersje systemów operacyjnych oraz że WSZYSTKIE oprogramowanie jest zaktualizowane i zaktualizowane. Hakerzy często używają odtwarzaczy multimedialnych, przeglądarek plików PDF i programów do wideokonferencji, dlatego należy je aktualizować.
4. Przeprowadź audyt hasła
Przeprowadź audyt haseł dla całego biura, aby sprawdzić i pozbyć się słabych lub zduplikowanych haseł.
Używaj silnego hasła do każdego konta i nie używaj tego samego hasła nigdzie indziej. Jest to część właściwej polityki haseł. Osoba atakująca może wejść i wyrządzić szkody za pomocą tylko jednego hasła.
Zainwestuj w menedżera haseł i upewnij się, że wszyscy używają silnego hasła utworzonego przez program lub ciągu trzech do czterech losowych słów.
5. Wymuś uwierzytelnianie wieloskładnikowe na wszystkich kontach
Upewnij się, że uwierzytelnianie wieloskładnikowe jest domyślnie włączone dla każdego konta online. Spowoduje to dodanie dodatkowej warstwy bezpieczeństwa, której atakujący nie mogą obejść bez urządzenia z uwierzytelnionym kodem. Możesz użyć fizycznego urządzenia uwierzytelniającego lub aplikacji działającej na smartfonie.
Nie polegaj na HTTPS:
SSL nie jest już znakiem bezpieczeństwa. Jest to zbiór zasad nawiązywania bezpiecznego połączenia. Z biegiem czasu ludzie nauczyli się odróżniać HTTP od HTTPS i odwiedzać tylko witryny z odpowiednim certyfikatem. Ale dzisiaj oszuści również używają protokołu szyfrowania. Do końca roku 74% stron phishingowych używało TLS lub SSL.
6. Wyizoluj i wykonaj kopię zapasową krytycznych komponentów
Infrastruktura Twojej firmy zawiera ważne elementy, do których nie każdy musi mieć dostęp.
Niektóre części nie muszą nawet znajdować się w Internecie. Pomogłoby to w możliwie jak największym oddzieleniu ważnych części infrastruktury. Możesz na przykład ograniczyć dostęp do niektórych serwerów i pozostawić całe systemy w trybie offline.
W przypadku ataku oprogramowania ransomware posiadanie wielu kopii zapasowych również pomoże w odzyskaniu systemów.
7. Spraw, aby zasób był zgodny z PCI
Absolutna pewność co do tego jest niezbędna. Pomimo swoich ograniczeń, środek ten może zapobiec wielu oszustwom.
8. Utwórz bezpieczne połączenie
Korzystaj z VPN do pracy w domu lub w miejscach publicznych. Pomoże to zapobiec wydostaniu się informacji i ochroni Cię przed osobami, które chcą wyrządzić Ci krzywdę. VPN to oprogramowanie, które umożliwia zmianę adresu IP. Tak więc korzystanie z Internetu jest teraz bezpieczne.
9. Zainstaluj zaporę sieciową aplikacji
Między połączeniem danych a serwerem lokacji jest to usługa w chmurze. Cały ruch wchodzący przechodzi przez ten punkt. Dzięki temu WAF może śledzić niechciany ruch i powstrzymywać próby włamań.
Inne zagrożenia, na które należy zwrócić uwagę
Oprócz bardziej powszechnych ataków typu phishing, witryny firmowe muszą chronić się przed innymi zagrożeniami, których przybywa. W świecie złośliwego oprogramowania istnieje wiele zagrożeń, ale szczególnie ważne są dwa następne. Ponieważ zagrożenia te są wciąż dość nowe i większość firm o nich nie wie, nie są one dobrze chronione.
1. Złośliwe boty
Wykorzystywanie złośliwych botów to dość nowy sposób atakowania. Te boty rozprzestrzeniają się i są zmuszane do wykonywania określonych działań lub zadań. Najpierw przeszukują witrynę. W trakcie tego procesu znajdują się luki w zabezpieczeniach. Informacje są następnie wysyłane do mistrza bota lub wykorzystywane do zrobienia czegoś konkretnego.
Dlatego bezpieczeństwo Twojej witryny może być zagrożone. W większości przypadków cyberprzestępcy wykorzystują tego rodzaju ataki do zarabiania pieniędzy. Mogą ukraść twoich klientów i sprzedać ich konkurencji lub szantażować cię, abyś nikomu nie powiedział w zamian za ryczałt.
Istnieje wiele tego rodzaju ataków i nie ma jednego sposobu, aby je powstrzymać. Dlatego najlepiej jest mieć osobnego eksperta technicznego wśród personelu, którego zadaniem jest zapewnienie bezpieczeństwa witryny. W przypadku ataku będzie w stanie szybko zareagować na złe zachowanie i ograniczyć szkody.
2. Ataki na strony internetowe i programy poprzez wstrzyknięcie MySQL
Głównym celem tego ataku jest dostanie się do bazy danych. Oszuści szukają dziur w zapleczu strony internetowej lub aplikacji internetowej i uruchamiają przez nie złośliwy kod. Druga część jest częścią żądania. Po wykonaniu tej czynności oszust nie tylko dostaje się do bazy danych celu, ale także ma nad nią pełną kontrolę.
W większości przypadków istnieją trzy sposoby penetracji:
- Błędy na stronie internetowej dla e-commerce;
- Luki bezpieczeństwa w kodzie użytkownika;
- Błędy w modułach innych firm.
Aby niezawodnie chronić się przed tego rodzaju atakami, należy uważnie obserwować serwer SQL. Pomoże Ci to wychwycić błędy tak szybko, jak to możliwe.
Szybkie linki:
- Nie daj się złapać na phishing
- Najczęstsze zagrożenia bezpieczeństwa pracy zdalnej: zagrożenia bezpieczeństwa pracy zdalnej i wskazówki
- Recenzja LastPass: funkcje i ceny (Czy LastPass jest godny zaufania?)
- Prywatność w Internecie: 5 sposobów ochrony tożsamości cyfrowej
Wniosek: co możesz zrobić, aby zapobiec atakom typu phishing 2024
Jeśli uruchomisz small business, nie oznacza to, że Twoja powierzchnia ataku jest mniejsza lub mniej interesująca niż w przypadku dużego biznesu. Pamiętaj, że ataki typu phishing mogą przydarzyć się każdemu i nigdy nie zakładaj, że nie spotka to Ciebie ani nikogo innego w Twojej organizacji.
Wielu oszustów wykorzystuje obecną pandemię, która ogarnia świat. Liczba prób phishingu wzrosła aż o 350% i uderzają zarówno w firmy, jak i w ludzi z taką samą siłą.
Pomogłoby ustanowienie proaktywnego planu ochrony, który obejmuje inwestowanie w narzędzia cyberbezpieczeństwa i ochrony przed kradzieżą oraz szkolenie pracowników w zakresie radzenia sobie z phishingiem i innymi rodzajami cyberataków.
Wdrożenie aktywnych środków bezpieczeństwa może pomóc powstrzymać ataki i zmniejszyć ryzyko naruszenia. Zainwestowanie teraz trochę więcej pieniędzy w zabezpieczenia może zaoszczędzić pieniądze i reputację na dłuższą metę.
