Новости социальной инженерии: ключевые аспекты кибербезопасности, SMS-атаки и человеческий фактор
Защита от фишинговых атак — ключ к безопасности вашей компании
Анализ более 3,5 миллиардов кибератак дает четкое представление о том, куда злоумышленники направляют свои усилия. Эти данные, отраженные в недавнем отчете Avast об угрозах за первый квартал 2024 года, подчеркивают, что мошенничество и фишинг доминируют среди всех атак с использованием вредоносного ПО.
Социальная инженерия используется в 90% мобильных атак и 87% атак на настольные компьютеры. Это означает, что большинство атак, с которыми может столкнуться ваша организация, содержат элементы социальной инженерии и направлены на обман ваших сотрудников, чтобы получить доступ к конфиденциальной информации.
Как защитить вашу организацию?
Первый шаг — обучение сотрудников распознаванию фишинга и других видов социальной инженерии. Понимание признаков фишинговых атак и осведомленность о методах мошенников помогут вашим сотрудникам не стать жертвами.
Мы предлагаем бесплатные образовательные материалы, которые помогут вам оценить и повысить киберграмотность ваших сотрудников. Эти ресурсы включают в себя ПО для проверки осведомленности, инструкции по распознаванию фишинговых писем, антифишинговые плагины, и другие полезные материалы.
Если вы хотите полностью доверить процесс обучения и повышения киберграмотности своих сотрудников профессионалам, мы, Stopphish, готовы помочь. Мы проведем аудит и комплексное обучение ваших сотрудников. Снижаем количество инцидентов на основе фишинга с 60% до 2%. Среди наших заказчиков - Банк России, Росатом, Гознак, Роскачество, Skillbox и многие другие крупные организации России.
Обучение сотрудников — это инвестиция в безопасность вашей организации. Не дайте мошенникам шанс. Свяжитесь с нами и обеспечьте надежную киберзащиту для вашего бизнеса.
Sms-фишинг
В новом исследовании рассматриваются SMS-фишинговые операции и описываются методы сбора данных.
Первый автор исследования Алекс Нахапетян из Университета штата Северная Каролина, утверждает: “В 2023 году в мире произошло больше фишинговых атак, чем когда-либо прежде, согласно данным Рабочей группы по борьбе с фишингом. Эти атаки влияют на онлайн-безопасность и конфиденциальность потребителей и могут быть чрезвычайно дорогостоящими, но у нас очень мало данных о них”. Он объясняет, что это связано с тем, что телекоммуникационные компании обеспокоены конфиденциальностью клиентов и неохотно просматривают личные данные, передаваемые в текстовых сообщениях.
Согласно Techxplore, чтобы обойти это ограничение, исследователи получили большое количество одноразовых телефонных номеров через SMS-шлюзы (онлайн-сайты, предоставляющие одноразовые номера) и просто ждали, когда на эти номера начнут поступать фишинговые атаки. Это не заняло много времени.Используя этот метод, исследователи отслеживали 2 011 телефонных номеров и выявили 67 991 фишинговое сообщение в течение 396 дней. Затем они использовали текстовый анализ, чтобы разделить эти сообщения на 35 128 уникальных кампаний, что означает, что они использовали практически идентичный контент. Дальнейший анализ показал, что эти кампании были связаны с 600 различными SMS-фишинговыми операциями.
Нахапетян пришел к выводу, что полученные результаты подчеркивают две вещи:“Во-первых, мы уже знали, что существует целая экономика фишинга электронной почты, и эта работа ясно показывает, что это верно и для SMS-фишинга. Кто-то может зайти и купить всю готовую операцию — код, URL, массовые сообщения, все. И если их сайт закроют или их служба обмена сообщениями будет заблокирована, им все равно — они просто перейдут к следующему.
Во-вторых, мы обнаружили, что сообщения от многих фишинговых операций содержат то, что выглядит как заметки для самих себя. Например, текст может заканчиваться словами "маршрут 7" или "маршрут 9" или чем-то еще. Это наводит на мысль, что фишеры используют SMS-шлюзы для тестирования различных маршрутов доставки фишинговых сообщений, чтобы определить, какие маршруты с наибольшей вероятностью пропустят их сообщение.”
Интересно, что исследователи выявили несколько случаев таких “тестовых сообщений” до того, как мошенники полностью развернули свою веб-инфраструктуру по URL-адресу, что показывает, что сообщения были отправлены до того, как фишинговые атаки были запущены всерьез.
Таким образом, одной из ключевых мер по противодействию SMS-фишингу является обучение сотрудников распознавать фишинг. Это включает в себя не только обучение обнаружению подозрительных сообщений, но и повышение осведомленности о современных методах мошенников, что позволит снизить риски утечки данных и повысить общую кибербезопасность.
Ежегодный отчет KnowBe4 по киберугрозам: человеческий элемент остается ключевым в защите
KnowBe4 опубликовал отчет за 2024 год, измеряющий склонность организаций к фишингу (PPP). Отчет показывает, сколько сотрудников могут стать жертвами фишинга или социальной инженерии.
Согласно базовому тестированию, проведенному во всех отраслях, 34,3% сотрудников, не прошедших обучение по безопасности, склонны кликнуть на вредоносные ссылки или выполнить мошеннические запросы. Это на один процент больше, чем в 2023 году, что подчеркивает необходимость укрепления культуры безопасности в организациях для снижения рисков.KnowBe4 проанализировал свыше 54 миллионов имитационных фишинговых тестов, проведенных 11,9 миллионами пользователей из 55 675 организаций в 19 отраслях. Базовый показатель PPP измеряет процент сотрудников, которые не проходили обучение по безопасности и кликнули на фишинговые ссылки или открыли зараженные вложения.
Отчет подчеркивает, что интеграция тестирования с обучением по безопасности эффективно снижает риски. В организациях, проводящих регулярные тренинги и тестирования, показатель PPP снизился до 18,9% в течение 90 дней. Через 12 месяцев непрерывного обучения этот показатель упал до 4,6%. Это показывает, что отказ от старых привычек и усвоение новых безопасных практик формируют культуру безопасности, делая ее неотъемлемой частью повседневной работы сотрудников.
Некоторые отрасли остаются особо уязвимыми к киберугрозам, особенно здравоохранение и фармацевтика, где PPP достигает 34,7% для малых и 51,4% для крупных организаций. В средних организациях лидирует индустрия гостеприимства с показателем 39,7%.
Отчет подчеркивает важность человеческого фактора в кибербезопасности. Хотя технологии важны для предотвращения и восстановления после атак, человеческая ошибка остается значительным фактором утечек данных. Согласно отчету Verizon за 2024 год, 68% утечек данных вызваны случайными действиями, использованием украденных учетных данных, социальной инженерией и злоупотреблением привилегиями. Несмотря на улучшение по сравнению с прошлогодними 74%, организациям следует усиливать "человеческий брандмауэр" для защиты от киберугроз.
Новым вызовом стало быстрое внедрение искусственного интеллекта в различных отраслях, что увеличивает риски при отсутствии строгих мер кибербезопасности."Данные не лгут; регулярные и целенаправленные тренинги по безопасности меняют поведение сотрудников. Наша цель – обучать сотрудников, чтобы они инстинктивно ставили безопасность на первое место," – говорит Стю Сьюверман, генеральный директор KnowBe4. "Искусственный интеллект усложняет киберугрозы, и необходимость в обучении становится насущной".
На нашем сайте вы можете скачать бесплатные инструменты для оценки и повышения киберграмотности своих сотрудников.
современный человек должен иметь хотя бы минимальное представление о том что такое соц инженерия
Да, судя по воруемым мошенниками миллиардам