Przegląd mediów

20
sierpień
luty 2017

Przezorny ubezpieczony

2017-02-16  |  12:04
Przegląd mediów

Bezpieczeństwo informacji jest kwestią zasadniczą dla każdej firmy. Dotyczy to nie tylko z firm sektora IT, ale dla każdej organizacji, która ma do czynienia choćby z gromadzeniem danych osobowych. A takie dane zgodnie z ustawą nałożoną przez prawo, muszą być odpowiednio przechowywane i chronione (Dz. U. nr 133 poz. 883). Poza tym firmy mają swoje tajemnice, takie jak dane statystyczne, patenty, informacje na temat nowych technologii.

 

 

Aby dane te były bezpieczne, często stosuje się najlepsze, najdroższe i najbardziej zaawansowane technologicznie rozwiązania informatyczne mające na celu zapewnienie odpowiedniego poziomu bezpieczeństwa. Wynajmowane są najlepsze firmy ochroniarskie, do kontroli osobowej i fizycznego zabezpieczenia obiektów. Ostatnie lata przyniosły znaczną poprawę poziomu zabezpieczeń firm i organizacji gospodarczych. Bardzo trudno jest dokonać włamania do zabezpieczonego obiektu lub systemu komputerowego. Aby taki atak mógł się odbyć, trzeba mieć dostęp do odpowiedniego sprzętu, dysponować zdeterminowanymi ludźmi zdecydowanymi na ewidentne łamanie prawa. W związku z powyższym potencjalni „złodzieje tajemnic gospodarczych” wykorzystują znacznie łatwiejszy w dostępie, nieuważny i podatny na odpowiednie manipulacje, czynnik ludzki.

 

Zmanipulowany i osaczony

 

Czynnik ludzki jest piętą achillesową wielu systemów bezpieczeństwa. W związku z niedoskonałym działaniem człowieka, bezpieczeństwo często staje się iluzją. Jeżeli uwzględnimy takie cechy ludzkie jak, łatwowierność, naiwność i ignorancję, sytuacja dodatkowo się pogarsza. Najbardziej poważany naukowiec XX wieku, Albert Einstein, podobno powiedział, że: „Tylko dwie rzeczy są nieskończone: wszechświat i ludzka głupota, chociaż co do pierwszego nie mam pewności”. Człowiek staje się jeszcze łatwiejszym celem ataku, kiedy zostaje zmanipulowany przez odpowiednio do tego przygotowanego człowieka – specjalistę z zakresu tzw. socjotechniki.

 

Socjotechnika lub inżynieria społeczna, lub inżynieria socjalna (ang. social engineering) jest to ogół metod, środków i działań praktycznych zmierzających do wywołania pożądanych przemian w postawach lub zachowaniach społecznych. Socjotechnika może być rozumiana, jako autonomiczna dziedzina kultury lub socjologii, kształtująca tę kulturę lub/i społeczeństwo, jako formę inwencji i aktywności cywilizacyjnej. Występuje we wszystkich typach cywilizacji w roli czynnika stymulującego i organizującego układy i procesy kulturowe. Jednak, jako umiejętność skutecznego oddziaływania na innych, współcześnie socjotechnika wykorzystywana jest do skutecznego uzyskiwania informacji, szczególnie informacji wrażliwych dla państw, ale również różnego rodzaju organizacji gospodarczych. W jej skład wchodzą m.in. popularne ostatnio NLP czyli programowanie neurolingwistyczne, sprytne odwracanie uwagi ofiary, rozpraszanie jej uwagi przez nadmierną gadatliwość, czy też po prostu kłamstwo. Socjotechnik swoimi działaniami potrafi manipulować zachowaniami i decyzjami człowieka, a nawet i jego uczuciami.

 

Sztuczki wykfalifikowanego socjotechnika

 

Ataki socjotechników niekiedy bardzo proste, często bywają bardzo skomplikowane. Składają się wówczas z wielu kroków poprzedzonych gruntownym planowaniem, łączącym elementy manipulacji z wiedzą technologiczną. Wiele nieszkodliwie wyglądających informacji będących w posiadaniu firmy jest niezwykle cennych dla socjotechnika, ponieważ mogą one odegrać podstawową rolę podczas wcielania się w kogoś innego. Ludzie z natury ufają innym, szczególnie, kiedy prośba jest zasadna. Socjotechnicy używają tej wiedzy, by wykorzystać ofiary i osiągnąć swoje cele. Na przykład z pozoru nic nieznacząca informacja, że pani Ania Kowalska jest szefową działu kadr w pewnej firmie, nabiera swojej wagi, kiedy socjotechnik powołując się na panią Anię prosi inną osobę z tej firmy o wypełnienie i przesłanie na konkretny adres mailowy, szczegółowe ankiety z danymi pracowników. Ludzie, posiadający dar manipulowania innymi, zwykle cechują się bardzo „magnetycznym typem osobowości”. Przeważnie są to osoby rzutkie i elokwentne. Socjotechników wyróżnia też umiejętność rozpraszania procesów myślowych swoich rozmówców, co w efekcie prowadzi do szybkiego nawiązania współpracy z ofiarą ataku. Wcielenie się w rozmowie telefonicznej w “zamotanego” kuriera zawsze skutkuje zdobyciem prywatnego adresu ofiary (na który ma zostać dostarczona nieistniejąca przesyłka). Podszycie się pod pracownika GUS-u świetnie (bo na mocy ustawy) pozwala wyciągać dane dot. konfiguracji sieci komputerowej od niczego nieświadomych kadrowych i księgowych. Za pomocą odpowiednio zmodyfikowanego pliku PDF o nazwie “raport płacowy” można przejąć kontrolę nad komputerem pracownika. Ofiary często da się zmanipulować do tego stopnia, że same z siebie, niepytane podają hasła dostępowe do “chronionych zasobów” w firmie. Przykładowo, nieporadny monter zazwyczaj wzbudza litość, a ludzie z natury lubią przychodzić z pomocą, zwłaszcza, jeśli ma to przyśpieszyć pozbycie się kogoś, ktoś będzie im wiercić nad głową przez cały dzień.

 

Wg Kevina Mytnika, znanego amerykańskiego hakera i socjotechnika, który po odsiedzeniu wyroku, stał się popularyzatorem idei ochrony firm przed atakami socjotechnicznymi: „Człowiek wymyślił wiele wspaniałych rzeczy, które zmieniły świat i nasze życie. Jednak wraz z pojawieniem się kolejnej nowej technologii, czy to telefonów, czy komputerów, czy Internetu, pojawiają się nowe sposoby jej wykorzystania w nieuczciwych zamiarach. Nie myśl, że zabezpieczenia sieci i firewalle ochronią twoje informacje. Szukaj najsłabszego ogniwa. Zwykle okazuje się nim być człowiek.”

 

Typowymi celami ataku socjotechnicznego w firmie są:

  • osoby nieświadome wartości informacji, takie jak recepcjonistka, telefonistka, pracownicy administracji, pracownicy ochrony.
  • osoby posiadające specjalne przywileje, takie jak pomoc techniczna, administratorzy systemów komputerowych, operatorzy komputerów, administratorzy systemów telefonicznych, pracownicy działów księgowości i kadr,

a także

  • producenci sprzętu, oprogramowania, systemów poczty głosowej.

 

Socjotechnik zawsze działa według planu!

 

Początkowo prowadzone jest rozpoznanie, które może zacząć się od ogólnej analizy powszechnie dostępnych informacji, jak wyniki finansowe, katalogi, zgłoszenia do urzędu patentowego, wzmianki prasowe, artykuły w prasie fachowej, zawartość strony internetowej, a także zawartości śmietników.

 

Następnie socjotechnik nawiązuje kontakt z wybranymi pracownikami firmy. Następuje wówczas budowanie więzi i zaufania poprzez użycie wewnętrznych informacji, podawanie się za kogoś innego, wspominanie nazwisk osób znanych ofierze, zgłoszenie potrzeby pomocy lub zasugerowanie posiadania władzy.

 

Dalej należy wykorzystać zdobyte zaufanie. Najczęściej odbywa się to poprzez prośbę o informację lub działanie, skierowane bezpośrednio do ofiary, lub przez zmanipulowanie ofiary tak, aby sama poprosiła o pomoc.

Jeżeli uzyskana informacja jest tylko kolejnym krokiem zbliżającym napastnika do celu, wraca on do poprzednich kroków cyklu, aż do osiągnięcia sukcesu, czyli do uzyskania informacji docelowej.

 

Aby uchronić firmę i jej pracowników przed manipulacjami socjotechników, a w konsekwencji przed utratą cennych informacji, Mytnik zaleca prowadzenie treningów bezpieczeństwa, które powinny dotyczyć wszystkich jej pracowników, a w szczególności tych, którzy mają elektroniczny lub fizyczny dostęp do zasobów informacyjnych firmy.

 

Podczas treningów i szkoleń warto zwrócić uwagę pracowników firmy na to, że socjotechnicy w swoich działaniach często wykorzystują typowe metody, do których należą m.in.: udawanie pracownika tej samej firmy; udawanie przedstawiciela dostawcy, firmy partnerskiej lub agencji rządowej; udawanie kogoś, kto ma władzę, udawanie nowego pracownika proszącego o pomoc; udawanie przedstawiciela producenta systemu operacyjnego zalecającego pilną aktualizację; oferowanie pomocy w razie wystąpienia jakiegoś problemu; wysłanie darmowego programu do aktualizacji lub zainstalowania na komputerze; wysłanie wirusa lub konia trojańskiego w załączniku do poczty; przechwytywanie naciśniętych klawiszy za pomocą specjalnego programu.

 

Warto wiedzieć…

 

Podczas wspomnianych wyżej szkoleń pracownicy powinni być uświadamiani również, w jaki sposób rozpoznawać ewentualne ataki socjotechniczne. Do znaków ostrzegawczych, które powinny obudzić czujność pracownika firmy należą m.in.:

- odmowa podania numeru zwrotnego;

- nietypowa prośba;

- okazywanie posiadania władzy;

- podkreślanie pilności sprawy;

- grożenie konsekwencjami niepodporządkowania się prośbie;

- okazywanie niechęci w przypadku zadawania pytań;

- komplementy lub pochlebstwa;

- flirtowanie;

- używanie wewnętrznej terminologii i żargonu w celu zbudowania zaufania;        

- prośba do recepcjonistki o odebranie i przesłanie faksu dalej;

- prośba o transfer pliku do lokalizacji, która wydaje się wewnętrzna.

 

Wyszkolony pracownik to dobry pracownik

 

Aby ustrzec siebie i firmę przed atakami socjotechników, pracownikom zaleca się przede wszystkim weryfikację tożsamości osoby, która o coś prosi (czy jest tą, za którą się podaje?) oraz weryfikację, czy ma do czynienia z osobą uprawnioną (czy rzeczywiście jest uprawniona do otrzymania tej informacji?). Należy pamiętać, że przeszkolony personel lepiej poradzi sobie z wykryciem ataku socjotechnicznego, dlatego należy inwestować w szkolenia dla pracowników. Materiały szkoleniowe powinny być dostosowane do poszczególnych grup pracowników, ze względu na zajmowane stanowisko w organizacji.

 

Nie bez znaczenia jest również wprowadzenie w firmie lub innej organizacji gospodarczej klasyfikacji informacji ze względu na ich dostępność. Przeszkoleni pracownicy, mający świadomość wagi informacji chronionej w firmie i są uświadomieni, co do tego, komu i na jakich warunkach, mogą przekazać określony rodzaj informacji, są trudnym celem nawet dla profesjonalnych socjotechników.

Informacje dotyczące firmy lub przechowywane w firmie zwykle dzieli się na:

 

Publiczne – ogólnie dostępne. Przy ich przekazywaniu nie ma potrzeby weryfikacji osoby pytającej.

 

Wewnętrzne – dane do użytku wewnętrznego firmy. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej, jako zatrudnionej w firmie;

  • a w przypadku osoby z zewnątrz sprawdź istnienie zobowiązania do nie ujawniania tajemnic i zgodę kierownictwa.

    Prywatne – informacje natury osobistej, przeznaczone do użytku tylko w ramach organizacji. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej, jako zatrudnionej lub uprawnionej osoby z zewnątrz;

  • Zanim udzielisz informacji prywatnej, skonsultuj się z działem kadr.

    Tajne – udzielane tylko osobom z bezwzględną potrzebą wiedzy, w ramach organizacji. Przed ich przekazaniem:

  • zweryfikuj tożsamość osoby pytającej i potrzebę wiedzy (u właściciela danej informacji);

  • udzielaj informacji tylko wtedy, gdy posiadasz pisemną zgodę szefa, właściciela informacji lub jego przedstawiciela;

  • sprawdź istnienie pisemnego zobowiązania do zachowania tajemnicy;

  • tylko kadra kierownicza może udzielać takich informacje osobom niebędącym pracownikami firmy.

     

    Firma, której zależy na bezpieczeństwie informacyjnym oprócz regularnych szkoleń pracowników z zakresu przeciwdziałania atakom socjotechnicznym powinna wprowadzić bardzo rygorystyczne procedury dotyczące m.in. wspomnianej wyżej klasyfikacji informacji, a także procedury weryfikacji tożsamości osób kontaktujących się z firmą, procedury weryfikacji statusu osoby podającej się za pracownika firmy oraz procedury weryfikacji potrzeby wiedzy. W sprawdzeniach bezpieczeństwa systemów informatycznych firmy warto również wykorzystać tzw. testy penetracyjne lub kontrolowane włamania hakerskie, w których celowo wykorzystuje się elementy socjotechniki.

     

    Autor:

    Profesjonalny Wywiad Gospodarczy „Skarbiec” Sp. z o.o.

     

Newseria nie ponosi odpowiedzialności za treści oraz inne materiały (np. infografiki, zdjęcia) przekazywane w „Biurze Prasowym”, których autorami są zarejestrowani użytkownicy tacy jak agencje PR, firmy czy instytucje państwowe.

Informacje z dnia: 16 lutego

Medium

Kalendarium

Patronaty Newserii

MSPO - Targi Obronne Zbrojeniowe 2019 - Kielce
XXIX Forum Ekonomiczne - Krynica

Polityka

Baltic Pipe zgodnie z planem w 2022 roku. Pierwsza umowa z amerykańską firmą już podpisana

Projekt Baltic Pipe jest realizowany zgodnie z harmonogramem, a termin 2022 roku zostanie dotrzymany – poinformował pełnomocnik rządu ds. strategicznej infrastruktury energetycznej Piotr Naimski. Gaz-System zawarł już pierwszy, wart ponad 0,5 mld zł kontrakt inwestorki w ramach tego projektu. Umowa z amerykańską firmą Solar Turbines jest jednocześnie jednym z największych w Polsce kontraktów w sektorze gazu. Jak podkreśla Naimski, współpraca polsko-amerykańska w sektorze energetycznym się zacieśnia, a stanowiska USA, m.in. w sprawie gazociągu North Stream 2, są zbieżne z polskimi.

Prawo

Nowa matryca VAT ułatwi życie przedsiębiorcom, ale ceny niektórych towarów mogą wzrosnąć

W kwietniu 2020 roku ma wejść w życie nowa matryca stawek VAT. Celem zmian jest uporządkowanie obecnej sytuacji, która powoduje wśród przedsiębiorców kłopoty interpretacyjne. Nowym i korzystnym dla nich rozwiązaniem ma być tzw. wiążąca informacja stawkowa, która ma zapewnić podatnikom większą ochronę na wypadek kontroli organów podatkowych. Będzie można się ubiegać o nią wcześniej, już w listopadzie br. Jednocześnie konsumenci muszą być przygotowani na to, że w przypadku niektórych towarów i usług stawki VAT zostaną podwyższone, co może się wiązać ze wzrostem cen.

IFA 2019 Berlin

Przemysł

Katowice z roku na rok tracą mieszkańców. Miasto chce zahamować ten trend poprzez ulgi i zniżki dla zameldowanych

Tylko w ubiegłym roku stolica aglomeracji śląskiej skurczyła się o 3,2 tys. mieszkańców. Ich liczba ostatni raz przekroczyła 300 tys. ponad siedem lat temu, od tego czasu katowiczan systematycznie ubywa. Przyczyną nie jest już emigracja zarobkowa, lecz rosnące ceny nieruchomości i powroty emerytów w rodzinne strony. Odwrócenie tego trendu to jeden z priorytetów władz miasta, które chcą to robić poprzez inwestycje w infrastrukturę kulturalno-sportową, bazę dydaktyczną i przyciąganie inwestorów. 

Złote Spinacze 2019

Handel

Osoby kupujące w sieci to przeważnie zadowoleni klienci. Doceniają głównie szeroki wybór produktów i szybkie płatności

W skali od 0 do 10 średni poziom satysfakcji klienta kupującego w internecie wynosi 7,8 – wynika z raportu Mobile Institute „Customer Happiness Index”. Kluczowym elementem, który buduje to zadowolenie, a często też warunkuje zakup, jest system płatności. Brak odpowiedniej dla klienta formy płatności może zdecydować o porzuceniu koszyka. Kupujący coraz chętniej dzielą się z innymi swoimi doświadczeniami z zakupów, a opinie innych internautów są często przy wyborze produktu ważniejsze niż samodzielnie wyszukane informacje.