Mõni aasta tagasi õpetasime töötajaid õngitsuskirju ära tundma lihtsate tunnuste järgi: õigekirjavead, kohmakas keel, üldine tervitus nagu „Lugupeetud klient“, kahtlane saatja aadress. See töötas, sest enamik kirju oli masintõlgitud ja kirjutatud inimeste poolt, kes ei rääkinud adressaadi keelt.
- aastal see reegel enam ei tööta. AI keelemudelid kirjutavad teie keeles ladusalt, järgivad ettevõtte avalike tekstide tooni ning teavad, kuidas teie juhti kutsutakse ja millal toimub aastalõpu sulgemine. Kiri, mis oleks kunagi paistnud ilmse pettusena, näeb nüüd välja nagu tavaline kolleegi palve.
Selles artiklis kirjeldame, milline näeb välja tänapäevane õngitsuskiri, millised stsenaariumid on meie klientide juures kõige sagedasemad, millised tehnilised kontrollid peatavad enamiku neist enne töötajani jõudmist ja kuidas inimesi koolitada, et nad teataksid, mitte ei varjaks.
Miks vanad tunnused enam ei tööta
Muutunud on neli asja.
Keel. Mudel koostab veatu kirja, õige grammatika ja ettevõtte žargooniga. Kui avaldate uudiseid või tööpakkumisi, kopeerib see teie stiili.
Kontekst. Sotsiaalvõrgustikest, ettevõtte veebilehelt ja avalikest registritest saab ründaja mõne minutiga teada, kes on rahandusjuht, kes raamatupidaja ja kes on uus töötaja (ning seega ei tunne veel tavapäraseid protsesse). Kiri pöördub isiku poole nimepidi ja mainib päris projekti.
Mastaap. Varem nõudis personaliseeritud kiri inimese aega, seega jäi see suurte ettevõtete jaoks. Nüüd on personaliseerimine automaatne, nii et 15 töötajaga ettevõte saab sama kvaliteediga kirja nagu pank.
Kanalid. Kiri on üha sagedamini vaid algus: sellele järgneb Teamsi sõnum, telefonikõne või SMS, et palve paistaks kinnitatud mitmest küljest. Töötaja, kes on harjunud kontrollima ainult e-posti, teisi kanaleid ei kontrolli.
Järeldus koolituse jaoks: lõpetage inimeste õpetamine vigu otsima. Õpetage neid olukorda ära tundma: ebatavaline palve, kiirus ja kanali vahetus.
Kolm stsenaariumi, mida näeme kõige sagedamini
Juhi kehastamine
Raamatupidaja saab „direktorilt“ kirja: olen koosolekul ega saa rääkida, partneri arve tuleb kiiresti ära maksta, lisan selle, kinnita, kui tehtud. Saatja aadress on kas päris aadressiga väga sarnane (üks täht erineb) või ehtne, kuid muudetud vastusaadressiga (Reply-To). Üha sagedamini jätkub kiri SMS-i või isegi telefonikõnega, kus kasutatakse juhi sünteesitud häält. Tasub meelde jätta üks tunnus: päris juht, kellel on vaja kiiret makset, helistab isiklikult. Kiri, mis palub mitte helistada, on juba kahtlane.
Muudetud pangarekvisiidid
Tarnija, kellega olete aasta töötanud, saadab kirja: meie pangakonto on muutunud, saatke edaspidised maksed uuele. Sageli tuleb kiri tarnija päris postkastist, sest ründaja murdis kõigepealt sisse tarnija juurde ja luges kirjavahetust mitu nädalat. Ta teab, milliseid arveid oodatakse ja millal.
QR-koodid
Kiri QR-koodiga: teie Microsoft 365 parool aegub peagi, skannige kood ja uuendage seda. Postifiltrid kontrollivad linke, kuid QR-kood on pilt ja selle sees olevat linki filter ei näe. Töötaja skannib selle telefoniga, mis pole sageli ettevõtte hallatud ega kaitstud, ja jõuab võltsitud sisselogimislehele. Samamoodi töötavad HTML-manused ja lingid legitiimsetele failijagamisteenustele, mis majutavad võltsitud sisselogimisvormi: filter näeb tuntud domeeni ja laseb kirja läbi.
Mis neil kõigil ühist on: ükski stsenaarium ei vaja tehnilist haavatavust. Neile piisab ühest kiirustavast inimesest.
Tehnilised kontrollid, mis peatavad enamiku
Töötaja peaks olema viimane kaitseliin, mitte esimene. Klientidele juurutame standardina:
- E-posti autentimine: SPF, DKIM ja DMARC reject-poliitikaga teie domeenile. See takistab kirjade saatmist teie nimel võõrastelt serveritelt ja võimaldab vastupidi teie filtril tagasi lükata kirju, mis kehastavad tarnijaid, kes on oma domeeni kaitsnud.
- Microsoft 365 õngitsusvastane kaitse: linkide ümberkirjutamine ja kontroll klõpsamise hetkel, manuste avamine isoleeritud keskkonnas, juhtide kehastamise tuvastamine nime sarnasuse järgi ning hoiatusriba välistel kirjadel. Kirjeldame seda lehel Microsoft 365 turvalisus.
- Mitmefaktoriline autentimine õngitsuskindlate meetoditega ja tingimuslik juurdepääs teenuse Microsoft Entra ID kaudu. Isegi kui töötaja sisestab parooli võltslehele, ei saa ründaja ilma teise faktorita sisse logida.
- Teavitusnupp postiprogrammis. Üks klõps nupul „Teata õngitsusest“ saadab kirja meie meeskonnale, kes kontrollib seda ja vajaduse korral eemaldab selle kõigist postkastidest. See on kultuuri jaoks kõige olulisem kontroll: teatamine peab olema lihtsam kui eiramine.
- Maksete protsess väljaspool e-posti. Pangarekvisiitide muutmine kinnitatakse kõnega tuntud numbrile, mitte kirjale vastates. See on rahanduse reegel, mitte IT reegel, kuid see peatab suurima kahju.
Ükski neist kontrollidest ei tööta sada protsenti, kuid koos vähendavad need töötajani jõudvate kirjade arvu nii palju, et ülejäänut saab koolitusel arutada konkreetsete näidetena, mitte abstraktsete ohtudena. Mobiilseadmete puhul, millega QR-koode skannitakse, kehtib sama seadmehalduse ja telefoni brauserikaitse kaudu.
Simulatsioonid ja koolitus ilma häbistamiseta
Õngitsussimulatsioonid, kus ettevõte saadab töötajatele võltskirju ja mõõdab, kes klõpsas, on kasulikud, kuid tehakse sageli halvasti. Halvasti tähendab: etteteatamata simulatsioon väga veenva kirjaga, klõpsanute avalik nimekiri, kohustuslik koolitus karistusena. Tulemuseks on see, et töötajad kardavad IT-osakonda ja kui nad päriselt päris kirjale klõpsavad, vaikivad, mis on kõige halvem, mis juhtuda saab.
Meie kogemuse järgi toimib teistsugune lähenemine:
- Kuulutage kõigepealt ette, et simulatsioonid toimuvad, ja selgitage miks. Üllatus ei ole eesmärk.
- Mõõtke mitte klõpse, vaid teavituste osakaalu. Eesmärk on, et rohkem inimesi vajutaks „Teata“, mitte et vähem inimesi linki klõpsaks.
- Näidake klõpsanule kohe, kohapeal, lühikest selgitust: mis oli kirjas ebatavaline. Kaks minutit sel hetkel on väärt rohkem kui tunniajane koolitus kuu aja pärast.
- Avaldage tulemused ainult osakonna või ettevõtte tasemel, mitte kunagi nimeliselt.
- Hoidke koolitus lühike ja sagedane: 10 minutit kord kvartalis päris näidetega teie enda postist, mitte tunnine loeng kord aastas.
- Kui töötaja teatab päris kirjast, tänage teda avalikult. See on ainus viis saada rohkem teavitusi.
Päris intsidendi puhul on kõige olulisem esimene reaktsioon: töötaja, kes helistas 10 minuti jooksul ja ütles „mulle tundub, et sisestasin oma parooli“, annab aega parooli vahetamiseks ja sessioonide lõpetamiseks. Selline, kes vaikis kaks päeva, ei anna.
Seepärast on esimene reegel, mida igal koolitusel kordame: kedagi ei karistata oma vea teatamise eest. Kui töötajad seda usuvad, maksab intsident tunde, mitte nädalaid.
Kust alustada
- Kontrollige oma domeeni DMARC-poliitikat. Kui seda pole või see on seatud ainult jälgimisrežiimi, saab igaüks kirjutada teie nimel.
- Lülitage teavitusnupp kõigile sisse ja leppige kokku, kes vaatab teavitused samal päeval üle.
- Kinnitage rahandusosakonnaga kirjalik reegel: pangarekvisiite muudetakse ainult kõnega tuntud numbrile.
- Planeerige esimene simulatsioon eelneva teavitusega ja lühikese selgitusega klõpsanutele.
- Kui teil pole kedagi, kes sellega pidevalt tegeleks, kuuluvad e-posti kaitse seadistamine, teavituste läbivaatus ja kvartaalsed simulatsioonid meie IT-hoolduse hulka ning inimeste ja protsesside laiemat hindamist teeme IT-turvaauditina.
