Meniu
Galutinis vadovas, kaip suprasti sukčiavimą 2023 m
Taigi, kas yra phishing?
Sukčiavimas yra socialinės inžinerijos forma, kuri verčia žmones atskleisti savo slaptažodžius ar vertingus daiktus informacija. Sukčiavimo atakos gali būti el. laiškų, tekstinių pranešimų ir telefono skambučių forma.
Paprastai šios atakos yra populiarios paslaugos ir įmonės, kurias žmonės lengvai atpažįsta.
Kai naudotojai el. laiško tekste spusteli sukčiavimo nuorodą, jie siunčiami į panašią svetainės, kuria jie pasitiki, versiją. Šiuo metu sukčiavimo sukčiavimo metu jų prašoma pateikti prisijungimo duomenis. Įvedęs savo informaciją netikroje svetainėje, užpuolikas turi tai, ko reikia norint pasiekti tikrąją paskyrą.
Dėl sukčiavimo atakų gali būti pavogta asmeninė informacija, finansinė informacija arba informacija apie sveikatą. Kai užpuolikas gauna prieigą prie vienos paskyros, jis arba parduoda prieigą prie paskyros, arba naudoja tą informaciją, kad įsilaužtų į kitas aukos paskyras.
Kai paskyra bus parduota, kažkas, kas žino, kaip iš jos pasipelnyti, nusipirks paskyros kredencialus iš tamsiojo žiniatinklio ir pasinaudos pavogtais duomenimis.
Pateikiame vizualizaciją, kuri padės suprasti sukčiavimo atakos veiksmus:
Sukčiavimo atakos būna įvairių formų. Sukčiavimas gali vykti iš telefono skambučio, teksto pranešimo, el. pašto ar socialinės žiniasklaidos pranešimo.
Bendrieji sukčiavimo el. laiškai yra labiausiai paplitęs sukčiavimo atakų tipas. Tokie išpuoliai yra dažni, nes jiems reikia mažiausiai pastangų.
Piratai paima el. pašto adresų, susietų su „Paypal“ ar socialinės žiniasklaidos paskyromis, sąrašą ir išsiunčia a masinis el. laiškas, skirtas potencialioms aukoms.
Kai auka spusteli nuorodą el. laiške, ji dažnai nukreipia ją į netikrą populiarios svetainės versiją ir prašo prisijungti naudojant savo paskyros informaciją. Kai tik jie pateikia savo paskyros informaciją, įsilaužėlis turi tai, ko reikia, kad galėtų pasiekti savo paskyrą.
Tam tikra prasme šis sukčiavimo būdas yra tarsi tinklo išmetimas į žuvų būrį; kadangi kitos sukčiavimo formos yra labiau tikslingos pastangos.
Spear phishing yra tada, kai užpuolikas nusitaiko į konkretų asmenį o ne siųsti bendrąjį el. laišką grupei žmonių.
Sukčiavimo su ietis atakomis bandoma konkrečiai nukreipti tikslą ir prisidengti asmeniu, kurį auka gali pažinti.
Šios atakos yra lengvesnės sukčiams, jei internete turite asmenį identifikuojančios informacijos. Užpuolikas gali ištirti jus ir jūsų tinklą, kad sukurtų aktualų ir įtikinamą pranešimą.
Dėl didelio personalizavimo apimties sukčiavimo išpuolius yra daug sunkiau atpažinti, palyginti su įprastomis sukčiavimo atakomis.
Jie taip pat yra retesni, nes nusikaltėliams reikia daugiau laiko juos sėkmingai ištraukti.
Klausimas: koks yra slapto sukčiavimo el. pašto sėkmės rodiklis?
Atsakymas: sukčiavimo el. laiškų vidutinis el. laiškų atidarymo rodiklis yra 70% ir 50% gavėjų spustelėja el. laiške esančią nuorodą.
Palyginti su sukčiavimo išpuoliais, banginių medžioklės atakos yra daug tikslesnės.
Banginių medžioklės išpuoliai įvyksta po asmenis organizacijose, pavyzdžiui, įmonės vadovo ar vyriausiojo finansų pareigūno.
Vienas iš labiausiai paplitusių banginių medžioklės išpuolių tikslų yra manipuliuoti auka, kad užpuolikui būtų sumokėtos didelės pinigų sumos.
Panašiai kaip įprastas sukčiavimas, nes ataka vyksta el. laišku, banginių medžioklė gali naudoti įmonės logotipus ir panašius adresus, kad galėtų užsimaskuoti.
Kai kuriais atvejais užpuolikas apsimeta generaliniu direktoriumi ir panaudoti tą asmenį, kad įtikintų kitą darbuotoją atskleisti finansinius duomenis arba pervesti pinigus į užpuoliko sąskaitą.
Kadangi darbuotojai mažiau linkę atmesti aukštesnių asmenų užklausą, šios atakos yra daug klastingesnės.
Užpuolikai dažnai praleidžia daugiau laiko rengdami banginių medžioklės ataką, nes jie dažniausiai atsiperka.
Pavadinimas „banginių medžioklė“ reiškia faktą, kad taikiniai turi didesnę finansinę galią (generaliniai direktoriai).
Meškeriotojų sukčiavimas yra santykinai naujo tipo sukčiavimo ataka ir egzistuoja socialinėje žiniasklaidoje.
Jie nesilaiko tradicinio sukčiavimo atakų el. pašto formato.
Vietoj to, jie prisidengia įmonių klientų aptarnavimo atstovais ir apgaudinėja žmones, kad jie siųstų jiems informaciją tiesioginėmis žinutėmis.
Įprasta afera yra nukreipti žmones į netikrą klientų aptarnavimo svetainę, kurioje atsisiunčiama kenkėjiška programa arba, kitaip tariant Ransomware į nukentėjusiojo prietaisą.
Ataka yra tada, kai jums paskambina sukčius bandyti surinkti iš jūsų asmeninę informaciją.
Sukčiai dažniausiai apsimeta esantys geros reputacijos įmone ar organizacija, tokia kaip „Microsoft“, IRS ar net jūsų bankas.
Jie naudoja baimės taktiką, kad atskleistų svarbius paskyros duomenis.
Tai leidžia jiems tiesiogiai arba netiesiogiai pasiekti jūsų svarbias paskyras.
Vishing atakos yra sudėtingos.
Užpuolikai gali lengvai apsimesti žmonėmis, kuriais pasitikite.
Stebėkite, kaip Hailbytes įkūrėjas Davidas McHale'as kalba apie tai, kaip robotiniai skambučiai išnyks naudojant ateities technologijas.
Dauguma sukčiavimo atakų įvyksta per el. laiškus, tačiau yra būdų, kaip nustatyti jų teisėtumą.
Kai atidarote el patikrinkite, ar jis yra viešajame el. pašto domene (ty @gmail.com).
Jei jis yra iš viešojo el. pašto domeno, greičiausiai tai yra sukčiavimo ataka, nes organizacijos nenaudoja viešųjų domenų.
Atvirkščiai, jų domenai būtų unikalūs jų verslui (ty „Google“ el. pašto domenas yra @google.com).
Tačiau yra sudėtingesnių sukčiavimo atakų, kurios naudoja unikalų domeną.
Naudinga greitai atlikti įmonės paiešką ir patikrinti jos teisėtumą.
Sukčiavimo išpuoliais visada bandoma su jumis susidraugauti gražiu pasisveikinimu ar empatija.
Pavyzdžiui, ne per seniausiai savo šlamšto aplanke radau sukčiavimo el. laišką su sveikinimu „Mielas drauge“.
Jau žinojau, kad tai sukčiavimo el. laiškas, nes temos eilutėje buvo parašyta „GEROS NAUJIENOS APIE JŪSŲ LĖŠAS 21-06-2020“.
Jei niekada nebendravote su tuo kontaktu, tokio tipo sveikinimai turėtų būti iškart rodomi raudonai.
Sukčiavimo el. laiško turinys yra labai svarbus, todėl pamatysite kai kurias išskirtines savybes, kurios sudaro daugiausiai.
Jei turinys skamba absurdiškai, greičiausiai tai yra sukčiavimas.
Pavyzdžiui, jei temos eilutėje parašyta: „Jūs laimėjote loterijoje 1000000 XNUMX XNUMX USD“ ir neprisimenate, kad dalyvavote, tai yra raudona vėliavėlė.
Kai turinys sukuria skubos jausmą, pvz., „tai priklauso nuo jūsų“, ir dėl to spustelėjama įtartina nuoroda, greičiausiai tai yra apgaulė.
Sukčiavimo el. laiškai visada turi įtartiną nuorodą arba failą.
Geras būdas patikrinti, ar nuorodoje nėra viruso, yra naudoti „VirusTotal“ – svetainę, kuri tikrina, ar failuose arba nuorodose nėra kenkėjiškų programų.
Sukčiavimo el. pašto pavyzdys:
Pavyzdyje „Google“ nurodo, kad el. laiškas gali būti potencialiai pavojingas.
Ji pripažįsta, kad jos turinys atitinka kitus panašius sukčiavimo el. laiškus.
Jei el. laiškas atitinka daugumą anksčiau nurodytų kriterijų, rekomenduojama apie jį pranešti adresu reportphishing@apwg.org arba phishing-report@us-cert.gov, kad jis būtų užblokuotas.
Jei naudojate „Gmail“, yra galimybė pranešti apie el. laišką dėl sukčiavimo.
Nors sukčiavimo atakos yra skirtos atsitiktiniams naudotojams, jos dažnai nukreiptos į įmonės darbuotojus.
Tačiau užpuolikai visada ieško įmonės pinigų, o jos duomenų.
Verslo požiūriu duomenys yra daug vertingesni už pinigus ir gali smarkiai paveikti įmonę.
Užpuolikai gali naudoti nutekintus duomenis, kad paveiktų visuomenę, paveikdami vartotojų pasitikėjimą ir suteršdami įmonės pavadinimą.
Tačiau tai nėra vienintelės pasekmės, kurios gali atsirasti dėl to.
Kitos pasekmės apima neigiamą poveikį investuotojų pasitikėjimui, verslo sutrikdymą ir kurstymą skirti baudas pagal Bendrąjį duomenų apsaugos reglamentą (BDAR).
Norint sumažinti sėkmingų sukčiavimo atakų skaičių, rekomenduojama apmokyti savo darbuotojus spręsti šią problemą.
Darbuotojų apmokymo būdai paprastai yra parodyti jiems sukčiavimo el. laiškų pavyzdžius ir būdus, kaip juos pastebėti.
Kitas geras būdas parodyti darbuotojams sukčiavimą yra modeliavimas.
Sukčiavimo modeliavimas iš esmės yra netikros atakos, skirtos padėti darbuotojams iš pat pradžių atpažinti sukčiavimą be jokio neigiamo poveikio.
Dabar papasakosime apie veiksmus, kurių reikia imtis norint sėkmingai vykdyti sukčiavimo kampaniją.
Remiantis WIPRO 2020 m. kibernetinio saugumo būklės ataskaita, sukčiavimas ir toliau yra didžiausia grėsmė saugumui.
Vienas geriausių būdų rinkti duomenis ir šviesti darbuotojus – vykdyti vidinę sukčiavimo kampaniją.
Sukurti sukčiavimo el. laišką naudojant sukčiavimo platformą gali būti pakankamai paprasta, tačiau tai yra daug daugiau nei paspaudus siųsti.
Aptarsime, kaip atlikti sukčiavimo bandymus naudojant vidinius ryšius.
Tada apžvelgsime, kaip analizuojate ir naudojate surinktus duomenis.
Sukčiavimo kampanija nėra skirta nubausti žmones, jei jie papuola į sukčiavimą. Sukčiavimo simuliacija yra skirta išmokyti darbuotojus atsakyti į sukčiavimo el. laiškus. Norite būti tikri, kad mokydami sukčiavimo sukčiavimo įmonėje esate skaidriai. Pirmenybę teikite įmonės vadovų informavimui apie savo sukčiavimo kampaniją ir apibūdinkite kampanijos tikslus.
Išsiuntę pirmąjį pradinį sukčiavimo el. pašto testą, galite paskelbti visos įmonės pranešimą visiems darbuotojams.
Svarbus vidinės komunikacijos aspektas yra žinutės nuoseklumas. Jei patys atliekate sukčiavimo sukčiavimo testus, verta sugalvoti mokymo medžiagos prekės ženklą.
Sugalvoję savo programos pavadinimą, darbuotojai atpažins jūsų mokomąjį turinį gautuosiuose.
Jei naudojate valdomą sukčiavimo sukčiavimo bandymo paslaugą, greičiausiai tai bus taikoma. Mokomasis turinys turėtų būti sukurtas iš anksto, kad galėtumėte nedelsiant imtis tolesnių veiksmų po kampanijos.
Atlikę pradinį testą, pateikite darbuotojams instrukcijas ir informaciją apie vidinį sukčiavimo el. pašto protokolą.
Norite suteikti savo bendradarbiams galimybę teisingai reaguoti į mokymus.
Matyti, kiek žmonių teisingai pastebėjo el. laišką ir apie tai praneša, yra svarbi informacija, kurią reikia gauti atlikus sukčiavimo testą.
Koks turėtų būti pagrindinis kampanijos prioritetas?
Dalyvavimas
Galite pabandyti pagrįsti savo rezultatus sėkmių ir nesėkmių skaičiumi, tačiau tie skaičiai nebūtinai padeda pasiekti tikslą.
Jei vykdote sukčiavimo bandymo modeliavimą ir niekas nepaspaudžia nuorodos, ar tai reiškia, kad jūsų testas buvo sėkmingas?
Trumpas atsakymas yra „ne“.
100% sėkmės rodiklis nereiškia sėkmės.
Tai gali reikšti, kad jūsų sukčiavimo testą buvo per lengva pastebėti.
Kita vertus, jei sukčiavimo bandymo metu gausite didžiulį nesėkmių procentą, tai gali reikšti visai ką kita.
Tai gali reikšti, kad jūsų darbuotojai dar negali pastebėti sukčiavimo atakų.
Kai jūsų kampanija sulaukia daug paspaudimų, yra didelė tikimybė, kad jums reikės sumažinti sukčiavimo el. laiškų sunkumą.
Skirkite daugiau laiko mokyti žmones dabartiniu lygiu.
Galiausiai norite sumažinti sukčiavimo nuorodų paspaudimų skaičių.
Jums gali kilti klausimas, koks yra geras ar blogas paspaudimų rodiklis naudojant sukčiavimo modeliavimą.
Pasak sans.org, jūsų pirmasis sukčiavimo modeliavimas gali duoti 25–30 % vidutinį paspaudimų rodiklį.
Tai atrodo tikrai didelis skaičius.
Laimei, jie apie tai pranešė po 9–18 mėnesių sukčiavimo mokymų sukčiavimo testo paspaudimų rodiklis buvo mažiau nei 5 proc.
Šie skaičiai gali padėti apytiksliai įvertinti norimus sukčiavimo mokymų rezultatus.
Norėdami pradėti pirmąjį sukčiavimo el. pašto modeliavimą, būtinai įtraukite testavimo įrankio IP adresą į baltąjį sąrašą.
Taip užtikrinama, kad darbuotojai gaus el.
Kurdami pirmąjį imituojamą sukčiavimo el. laišką, nepadarykite jo per lengvo ar per sudėtingo.
Taip pat turėtumėte prisiminti savo auditoriją.
Jei jūsų bendradarbiai nėra intensyvūs socialinės žiniasklaidos vartotojai, tikriausiai nebūtų gera idėja naudoti netikrą „LinkedIn“ slaptažodžio nustatymo iš naujo sukčiavimo el. laišką. Bandytojo el. pašto adresas turi būti pakankamai patrauklus, kad visi jūsų įmonės darbuotojai turėtų priežastį spustelėti.
Kai kurie plataus patrauklumo sukčiavimo el. laiškų pavyzdžiai gali būti:
Tiesiog prisiminkite psichologiją, kaip jūsų auditorija priims pranešimą, prieš paspausdami „Siųsti“.
Ir toliau savo darbuotojams siųskite el. laiškus apie sukčiavimą. Įsitikinkite, kad palaipsniui didinate sunkumus, kad padidintumėte žmonių įgūdžių lygį.
Rekomenduojama siųsti el. laiškus kas mėnesį. Jei per dažnai „apsimetate“ savo organizacijomis, tikėtina, kad ji per greitai susigaus.
Sugauti savo darbuotojus, šiek tiek neatsargus, yra geriausias būdas pasiekti realesnių rezultatų.
Jei kiekvieną kartą siunčiate to paties tipo sukčiavimo el. laiškus, nemokysite savo darbuotojų, kaip reaguoti į skirtingus sukčiavimus.
Galite išbandyti kelis skirtingus kampus, įskaitant:
Siųsdami naujas kampanijas visada įsitikinkite, kad tiksliai nustatote pranešimo aktualumą auditorijai.
Jei siunčiate sukčiavimo el. laišką, nesusijusį su kažkuo dominančiu, galite nesulaukti didelio atsakymo iš savo kampanijos.
Išsiuntę įvairias kampanijas savo darbuotojams, atnaujinkite kai kurias senas kampanijas, kurios pirmą kartą apgavo žmones, ir pakeiskite tą kampaniją iš naujo.
Galėsite pasakyti apie savo mokymo efektyvumą, jei pamatysite, kad žmonės mokosi ir tobulėja.
Iš ten galėsite sužinoti, ar jiems reikia daugiau išsilavinimo, kaip atpažinti tam tikro tipo sukčiavimo el.
Yra 3 veiksniai, lemiantys, ar ketinate kurti savo sukčiavimo sukčiavimo mokymo programą, ar ją perduoti iš išorės.
Jei esate saugos inžinierius arba turite tokį savo įmonėje, galite lengvai sukurti sukčiavimo serverį naudodami jau esamą sukčiavimo platformą, kad sukurtumėte kampanijas.
Jei neturite jokių saugos inžinierių, sukurti savo sukčiavimo programą gali būti neaišku.
Jūsų organizacijoje gali būti saugos inžinierius, bet jis gali nebūti patyręs atliekant socialinės inžinerijos ar sukčiavimo testus.
Jei turite ką nors patyrusio, jis būtų pakankamai patikimas, kad sukurtų savo sukčiavimo programą.
Tai yra tikrai didelis veiksnys mažoms ir vidutinėms įmonėms.
Jei jūsų komanda yra maža, gali būti, kad nėra patogu prie saugos komandos pridėti kitą užduotį.
Daug patogiau, jei už jus darbą atliktų kita patyrusi komanda.
Peržiūrėjote visą šį vadovą, kad išsiaiškintumėte, kaip mokyti savo darbuotojus, ir esate pasirengę pradėti apsaugoti savo organizaciją per sukčiavimo mokymus.
Kas dabar?
Jei esate saugos inžinierius ir norite pradėti vykdyti pirmąsias sukčiavimo kampanijas dabar, eikite čia ir sužinokite daugiau apie sukčiavimo imitavimo įrankį, kurį galite naudoti norėdami pradėti jau šiandien.
Arba…
Jei norite sužinoti apie valdomas paslaugas, kad galėtumėte vykdyti sukčiavimo kampanijas, čia sužinokite daugiau apie tai, kaip pradėti nemokamą sukčiavimo mokymo bandomąją versiją.
Naudokite kontrolinį sąrašą, kad nustatytumėte neįprastus el. laiškus ir, jei jie sukčiauja, praneškite apie juos.
Nors yra sukčiavimo filtrų, kurie gali jus apsaugoti, tai nėra 100%.
Sukčiavimo el. laiškai nuolat tobulinami ir niekada nėra tokie patys.
Iki apsaugoti savo įmonę nuo sukčiavimo atakų, kuriose galite dalyvauti sukčiavimo simuliacijos sumažinti sėkmingų sukčiavimo atakų tikimybę.
Tikimės, kad iš šio vadovo sužinojote pakankamai, kad išsiaiškintumėte, ką toliau daryti, kad sumažintumėte sukčiavimo atakos prieš jūsų verslą tikimybę.
Palikite komentarą, jei turite mums klausimų arba norite pasidalinti savo žiniomis ar patirtimi apie sukčiavimo kampanijas.
Nepamirškite pasidalinti šiuo vadovu ir skleisti žinią!
Hailbaitai
9511 Queens Guard Ct.
Laurel, MD 20723
Telefonas: (732) 771-9995
paštas: info@hailbytes.com
