Ова е гостинска текст на Марко Гулан, ветеран во областа на сајбер безбедност и управување со ризици, со повеќе од 15 години искуство во ИКТ консалтинг. Неговата експертиза опфаќа креирање и имплементација на цврсти рамки за сајбер безбедност, управување со ризиците на ниво на компанија и усогласување на технологијата со законските прописи заради постигнување на бизнис целите.
Во денешниот деловен свет, признавањето дека сте биле измамени не е само лична непријатност, туку и удар врз сопствената репутација. За оние кои водат тимови, донесуваат одлуки и носат одговорност, се очекува секогаш да имаат сè под контрола.
Но, што се случува кога сајбер-нападот воопшто не изгледа како напад? Кога тој не искористува технички пропуст, туку наместо тоа, ја напаѓа вашата емоционална доверба и вашата ментална расеаност? Што ако вашиот дигитален свет – вашиот бренд, вашите канали, вашите клиенти – стане оружје во рацете на некој што никогаш не сте го ни сретнале?
Ова е вистинска приказна за еден мој клиент кој претрпе реална штета и научи лекција што секој бизнис лидер треба да ја слушне.
Изгледаше како деловна можност што се случува еднаш во животот.
Мојот клиент го водеше својот бизнис со еден модерен дигитален пристап. Комуницираше со клиенти преку социјални медиуми, водеше кампањи, генерираше потенцијални клиенти. Една од тие кампањи го таргетираше луксузниот пазар – и тоа беше клучниот момент.
Американски луксузен бренд изрази интерес за проширување во Европа. Визуелно импресивно, професионално формулирано, љубезно, но авторитативно – делувајќи како партнер од соништата.
Следуваа месеци на видео повици и онлајн состаноци. Претставниците на брендот беа достапни, презентациите беа прецизни, тонот беше совршен. По четири месеци, партнерството беше договорено. Остануваше само уште документацијата.
Нападот се случи на Велики Петок. Но, мојот клиент стана жртва многу порано.
Во пресрет на Велигден, на Велики Петок, мојот клиент доби два документи – PDF договор и PPTX презентација на брендот. Ги испрати „брендот“, или барем така мислеше тој.
Беше крај на долг работен ден. Ги отвори фајловите, не забележа ништо сомнително и одлучи да ги разгледа детално по празниците.
Но, дотогаш – веќе беше предоцна.
Фајловите беа заразени, а малициозен софтвер се активираше веднаш по отворањето. Тивко собираше зачувани лозинки, ги презеде профилите на социјалните мрежи, пристапи до картички и го украде целиот дигитален идентитет на неговата компанија.
До вечерта, штетата беше направена, сите деловни профили на социјалните мрежи беа украдени, илјадници евра беа повлечени од картичките (до нивниот лимит), а напаѓачот ги искористи неговите комуникациски канали за да ги таргетира и измами неговите клиенти.
Предупредувачките знаци постоеја – но фокусот беше на друго место.
Со сегашен ум, сè станува јасно. Но, во моментот тоа беше само уште една е-пошта. Уште еден документ. Уште една задача која треба да се заврши до крајот од денот.
Денешните носители на одлуки не се неинформирани, но сепак се преоптоварени. Зависни од дигитални алатки, мултитаскинг, прегледување набрзина. Довербата ја градиме врз основа на визуелни елементи и тон, а не на верификација.
Подоцна, мојот клиент призна дека игнорирал неколку големи предупредувања: итноста за потпишување на документите, по месеци на опуштени преговори; целата комуникација се одвиваше преку деловни социјални медиуми, без традиционална корпоративна е-пошта; документите беа испратени од адреса што не е поврзана со брендот – новорегистриран домен на е-пошта; видео повиците секогаш прикажуваа заматени, пикселизирани лица – луѓето од другата страна никогаш не беа целосно видливи.
Овој напад не се случи поради техничка ранливост, туку се случи поради психолошки пропуст. Поради дигитална зависност, онаква што го замаглува нашето критичко размислување во свет на пет апликации, три состаноци и два рока истовремено.
Игнорирањето на советите за сајбер безбедност не е штедење пари, тоа е коцкање.
Со години го советував мојот клиент да имплементира основни практики за сајбер безбедност, но тој ги одложуваше. Еве што недостасуваше: двофакторната автентикација (2FA) никогаш не беше активирана; лозинките се чуваа во прелистувачот; ја користеше истата лозинка на повеќе сервиси; никогаш не проверуваше кога се регистрирани домените или кој е нивниот сопственик.
Доменот на е-пошта што се користеше за испраќање на малициозните документи беше регистриран само неколку дена претходно. Едноставна WHOIS проверка ќе го откриеше тоа. Но, кога сте постојано „онлајн“, постојано „на повик“, постојано „во тек“ – кој има време за тоа?
Темпото на дигиталното работење ни дава опасна илузија: ако сè функционира, тогаш сè мора да е безбедно.
Тоа е лага.
Ако не знаете како може да бидете нападнати нема ни да сфатите дека се случува.
Денешните напаѓачи не хакираат заштитни ѕидови, туку тие хакираат луѓе. Пристапуваат преку емоционална манипулација, преку илузија на можност, преку доверба изградена во пиксели и зборови.
Социјалниот инженеринг не ги таргетира наивните. Ги таргетира фокусираните, брзите, амбициозните. Оние кои секојдневно носат одлуки – и повремено ги прескокнуваат проверките.
Ако не знаете како изгледа модерен напад – можеби нема да сфатите дека се случува.
А до моментот кога ќе сфатите, тоа веќе е ваша одговорност.
Стани премиум член и доби пристап до сите содржини, специјален попуст на над 2.200 производи во ИТ маркет, верификуван профил и можност за огласување на ИТ Огласник. Плус ќе го поддржиш медиумот кој го градиме цели 16 години!
Доколку веќе имаш премиум членство, најави се тука.
