Minden korábbinál kifinomultabb, a biztonsági programokat kijátszó, évekig észrevétlenül tevékenykedő programkártevőkkel támadják a vállalati rendszereket a kiberbűnözők és az állam által szponzorált hackerek, mégis alig érnének el komolyabb eredményeket, ha nem tudnák kihasználni az emberi hibákat. Egy Verizon-kutatás szerint a tartósan fennálló fejlett fenyegetés (APT) kampányok 95 százaléka egy email-alapú célzott adathalász-támadással indul. A vállalatok ellen irányuló, pszichológiai módszereket használó, e-mailek segítségével végrehajtott egyre kifinomultabb támadások manapság a rosszindulatú kiberműveletek domináns végrehajtási formái.
A legfejlettebb kampányok ugyanolyan mértékben használják ki az emberi gyengeségeket, mint a rendszerhibákat. A Proofpoint biztonsági cég The Human Factor című tanulmánya – amely a Proofpoint Targeted Attack Protection megoldás által szolgáltatott adatok alapján készült – átfogó képet fest arról, hogy az alkalmazottak gondatlansága következtében milyen komoly veszélyeknek vannak kitéve a szervezetek. Az alábbiakban áttekintjük a kutatás legfontosabb eredményeit.
A leggyengébb láncszem
Egy biztonsági rendszer hatékonyságát a leggyengébb eleme határozza meg, amely az informatikai biztonsági megoldások esetében nem más, mint a felelőtlenül viselkedő, kíváncsiságból kattintgató felhasználó. A tanulmány megállapítja, hogy a kattintgatás minden vállalatnál előfordul, és a gondatlan kattintások száz százalékáért a felhasználóknak átlagosan csupán a 10 százaléka tehető felelőssé a szervezetet érő rosszindulatú támadási kampányok esetében. Az átlagos kattintási arány 4,7 százalék, ugyanakkor nagyon magas azoknak a felhasználóknak a száma, akik a beérkező rosszindulatú üzenetek több mint 25 százalékára kattintanak. Sok helyen rendkívüli erőfeszítéseket tesznek az alkalmazottak biztonságtudatos szemléletének kialakítása érdekében, ami jelentősen javítja a fenyegetésekkel szembeni védekezés hatékonyságát, azonban az emberek kiszámíthatatlan természete és a folytonosan változó körülmények miatt egyes munkavállalók néhányszor biztosan kattintani fognak olyan hivatkozásokon, amelyeken nem kéne.
Bár a rosszindulatú hivatkozásokra való kattintások nagyobbik részét a notórius szabályszegők követik el, a kattintások nem kevesebb, mint 40 százaléka az egy alkalommal hibázók számlájára írható. Az előbbiek viselkedésén oktatással lehet sokat javítani, míg a vállalatra ugyancsak komoly veszélyt jelentő utóbbiak – akiknek a köre időről időre változik – elleni hatékony védelmet a fenyegetések minél korábbi észlelése és elhárítása jelenti.
Ami a támadások vállalatokon belüli célpontjait illeti, érdekes módon a beosztottak kétszer annyira érintettek, mint a középvezetők, és 1,3-szer próbálkoznak náluk többször a hackerek, mint a felsővezetők esetében. A hackerek tudhatnak valamit, mert a beosztottak kétszer annyian kattintanak a rosszindulatú hivatkozásokra, mint a vezetők. Azt hihetnénk, hogy a kiberbűnözők elsősorban a lényegesen több bizalmas információhoz hozzáférő és több jogosultsággal rendelkező menedzsmentet támadják, azonban mivel a vállalatok védelmi rendszerét bármely pontnál fel lehet törni, inkább a kattintgatásra jobban hajlamos beosztottakat választják. Egy másik általánosan elterjedt hiedelem, hogy a kiberbűnözők csak a magas jövedelemmel kecsegtető iparágakat – bank és biztosítási szektor, gyógyszeripar, egészségügy, vendéglátás – támadják, a valóság azonban az a Proofpoint statisztikája szerint, hogy a hackerek körében kevésbé népszerű szegmenseket is jelentős mennyiségű incidens éri.
Mire és mikor kattintanak?
Nem meglepő módon leginkább látszólag a népszerű közösségi hálózatokból származó üzenetekkel lehet lépre csalni a vállalati felhasználókat, ezeket követik a pénzügyekkel kapcsolatos figyelmeztetések és a megrendelések visszaigazolásai. Az emberek immár jó hatásfokkal tudják megkülönböztetni a bosszantó spamüzeneteket a hasznos e-mailektől, azonban az általuk használt közösségi hálózatok nevében érkező értesítéseket – amelyekből mind többet kapnak, főként, ha egy ideje már nem látogattak el a szolgáltatás oldalára – egyre nehezebb megkülönböztetni a rájuk kísértetiesen hasonlító adathalász levelektől.
Rendkívül veszélyesek lehetnek a LinkedIn-től jövő értesítések, a professzionális munkavállalók körében rendkívül népszerű közösségi szolgáltatást ugyanis sokan a vállalati postafiókjukkal használják, így a hackerek főként hamis LinkedIn-értesítésekben lévő rosszindulatú hivatkozások segítéségével igyekeznek utat találni a vállalati hálózatokba. A Proofpoint adatai szerint a vállalati felhasználók átlagosan kétszer annyian kattintanak a rosszindulatú kampányokhoz használt LinkedIn-értesítésekre, mint bármely más típusú adathalász-levélre, és négyszer annyian dőlnek be a LinkedIn-trükknek, mint a más közösségi weboldalak nevében küldött hamis értesítéseknek.
Különösen veszélyesek a rosszindulatú LinkedIn kapcsolati invitálások, amelyekre nyolcszor annyian kattintanak, mint a többi hamis LinkedIn-es e-mailre. A vállalatoknál tehát különös figyelmet kell fordítani a közösségi weboldalakról érkező értesítések kezelésére, a hamisításra utaló jelek hatékony felismerésére. A védekezésben segítenek az olyan biztonsági szoftverek, amelyek képesek azonosítani az e-mailekben fellelhető anomáliákat, és blokkolják az adathalászatra létrehozott weboldalakat.
Azt hihetnénk, hogy a hackerek speciális időpontokban – késő este, közvetlenül a hétvége előtt vagy hétvégén – küldik rosszindulatú e-mailjeiket, amikor a címzettek kevésbé éberek, vagy akkor ellenőrzik a leveleiket, amikor nem csatlakoznak a vállalati hálózathoz és nincsenek az irodai rendszer védőszárnyai alatt. A Proofpoint elemzése ugyanakkor ennek az ellenkezőjét állapította meg: a vállalati felhasználókat a munkaidejük bármely részében érheti támadás. Ráadásul a kockázat hosszú ideig fennáll, mivel az adatok szerint az alkalmazottak akár több mint egy hónappal a rosszindulatú e-mailek beérkezése után is áldozatául eshetnek a fenyegetéseknek.
Hol és miért klikkelnek „félre”?
A rosszindulatú hivatkozásokra való vállalati kattintások 90 százalékát számítógépen hajtják végre, és ezeknek a gondatlan klikkeléseknek a 20 százaléka akkor történik, amikor a gépet nem védi a céges tűzfal. A könnyelmű kattintások 80 százalékát a Windows valamelyik változatát futtató felhasználók követik el, 50 százalékát Internet Explorerből. Bár egyes becslések szerint az e-mailek 65 százalékát először valamilyen mobileszközön tekintik meg a címzettek, a vállalati felhasználók esetében a mobileszközök részesedése csupán 10 százalék a felelőtlen kattintgatás versenyszámában.
Jogosan merül fel a kérdés, hogy a biztonsági tréningek, a sajtóban megjelenő megannyi tájékoztató cikk és a józan eszük ellenére miért kattintanak mégis az emberek a gyanús hivatkozásokra. Egyszerűen nem tudnak ellenállni a kíváncsiságuknak, teljesen elfeledkeznek az óvatosságról, nem vesznek tudomást a gyanús jelekről, úgy érzik, az érdeklődésüket felkeltő hivatkozásokra mindenképpen klikkelniük kell. A Proofpoint kutatása megállapította, hogy mind a túl sok, mind a túl kevés fenyegetés – havi egynél kevesebb vagy havi egynél több – magasabb kattintási arányt eredményez. Ha pedig a vállalati felhasználók több mint 100 rosszindulatú levelet kapnak havonta, annak a valószínűsége, hogy ezek közül legalább egyre kattintanak, eléri a 60 százalékot.
