Szkodliwi użytkownicy zrozumieli, że stosowanie niektórych sztuczek typowych dla zaawansowanych cybergangów, takich jak wykorzystywanie oprogramowania ransomware w atakach ukierunkowanych na organizacje, pozwala osiągnąć różne cele. Według badaczy z firmy Kaspersky kolejnym zagrożeniem, na które trzeba uważać, jest tzw. „corporate doxing”, czyli gromadzenie poufnych informacji na temat organizacji i jej pracowników bez ich zgody w celu wyrządzenia szkody bądź osiągnięcia zysku.
Szybki wzrost ilości dostępnych publicznie informacji, wycieki danych oraz postęp technologiczny sprawiają, że podstępne nakłonienie pracowników do ujawnienia poufnych informacji, a nawet przelania środków pieniężnych, staje się łatwiejsze niż kiedykolwiek wcześniej.
Jedną z metod wykorzystywanych w celu pozyskania prywatnych informacji dotyczących firm, aby rozpowszechnić je następnie w internecie w złych intencjach, stanowią ataki Business Email Compromise (BEC). Są to ataki ukierunkowane polegające na inicjowaniu wymiany e-maili z pracownikami poprzez podszycie się pod kogoś z firmy. W lutym 2021 r. eksperci z firmy Kaspersky wykryli 1 646 takich ataków, co pokazuje, jak bardzo organizacje są podatne na wykorzystywanie publicznie dostępnych informacji. Ogólnie celem takich ataków jest uzyskanie poufnych informacji, takich jak bazy danych klientów, lub kradzież środków. Badacze z firmy Kaspersky regularnie analizują przypadki, w których przestępcy podszywają się pod jednego z pracowników organizacji, wykorzystując wiadomości e-mail do złudzenia przypominające te autentyczne w celu wyłudzenia środków pieniężnych.
Takie ataki nie byłyby możliwe na skalę masową, gdyby przestępcy nie mogli gromadzić i analizować publicznych informacji dostępnych m.in. w mediach społecznościowych, takich jak nazwiska i stanowiska pracowników, ich adresy zamieszkania, kontakty itd.
Jednak ataki BEC to tylko jeden z wielu rodzajów działań wykorzystujących publicznie dostępne informacje w celu zaszkodzenia organizacji. Paleta sposobów pozwalających na oszukanie firm jest szokująca i oprócz bardziej oczywistych metod, takich jak phishing czy tworzenie profili organizacji przy użyciu danych, które wyciekły, obejmuje również te bardziej kreatywne i oparte na technologii.
Prawdopodobnie najpopularniejszą strategią corporate doxingu jest kradzież tożsamości. Doxerzy wykorzystują zwykle informacje do profilowania określonych pracowników, a następnie posłużenia się ich tożsamością. Zadanie to staje się łatwiejsze za sprawą nowych technologii, takich jak deepfake. Na przykład film wykorzystujący technologię deepfake, w którym rzekomo występuje pracownik jakiejś organizacji, mogłoby zaszkodzić reputacji owej firmy, a do jego stworzenia doxerzy potrzebowaliby wizualnej reprezentacji danego pracownika oraz jego podstawowych informacji osobowych. Do swoich celów mogliby wykorzystać również głos – np. nagrywając, a następnie imitując popularnego prezentera, dzwoniąc do jego księgowego z poleceniem wykonania pilnego przelewu bankowego lub przesłania bazy danych klientów.
– Corporate doxing stanowi realne zagrożenie dla poufnych danych organizacji, którego nie należy lekceważyć. Gdy ataki tego typu są związane z firmami, mogą powodować straty finansowe oraz wizerunkowe, a im bardziej wrażliwe poufne informacje, tym większe szkody. Jednocześnie doxing to jedno z zagrożeń, któremu można zapobiec lub przynajmniej znacznie je zminimalizować za pomocą solidnych procedur bezpieczeństwa w organizacji – powiedział Roman Dedenok, badacz ds. cyberbezpieczeństwa w firmie Kaspersky.
Porady bezpieczeństwa
Eksperci z firmy Kaspersky zalecają następujące działania w celu uniknięcia lub zminimalizowania ryzyka skutecznego ataku na organizacje:
- Ustal twardą regułę zakazującą omawiania spraw związanych z pracą za pośrednictwem zewnętrznych narzędzi innych niż oficjalne komunikatory firmowe i dopilnuj, aby była ona ściśle przestrzegana przez pracowników.
- Pomóż pracownikom zdobyć większą wiedzę oraz świadomość w zakresie cyberbezpieczeństwa. To jedyny sposób na skuteczne przeciwdziałanie socjotechnice agresywnie stosowanej przez cyberprzestępców. W tym celu można skorzystać z platformy szkoleniowej online, np. Kaspersky Automated Security Awareness Platform.
- Edukuj pracowników na temat podstawowych cyberzagrożeń. Pracownik zaznajomiony z kwestiami cyberbezpieczeństwa będzie potrafił odeprzeć atak. Na przykład, jeśli otrzyma od współpracownika wiadomość e-mail z prośbą o podanie określonych informacji, będzie wiedział, żeby powinien najpierw zadzwonić do niego w celu potwierdzenia, czy rzeczywiście wysłał taką wiadomość.
- Stosuj technologie antyspamowe i antyphishingowe. Firma Kaspersky oferuje kilka rodzajów takich rozwiązań wchodzących w skład produktów biznesowych.