Pirms dažiem gadiem mēs mācījām darbiniekus atpazīt pikšķerēšanas e-pastus pēc vienkāršām pazīmēm: pareizrakstības kļūdām, neveiklas valodas, vispārīga uzrunas „Cienījamais klient”, aizdomīgas sūtītāja adreses. Tas darbojās, jo lielākā daļa e-pastu bija mašīntulkoti un rakstīti cilvēkiem, kuri adresāta valodu nepārvalda.
- gadā šis noteikums vairs nestrādā. AI valodas modeļi raksta raiti jūsu valodā, pielāgojas uzņēmuma publisko tekstu tonim un zina, kā sauc jūsu vadītāju un kad notiek gada noslēgums. E-pasts, kas agrāk šķistu acīmredzama krāpniecība, tagad izskatās kā parasts kolēģa lūgums.
Šajā rakstā aprakstām, kā izskatās mūsdienu e-pasti, kuri scenāriji visbiežāk sastopami uzņēmumos, ar kuriem strādājam, kādas tehniskās kontroles aptur lielāko daļu no tiem, pirms tie sasniedz darbinieku, un kā apmācīt cilvēkus, lai viņi ziņotu, nevis slēptu.
Kāpēc vecās pazīmes vairs nestrādā
Mainījušās četras lietas.
Valoda. Modelis sagatavo e-pastu bez kļūdām, ar pareizu gramatiku un uzņēmuma žargonu. Ja jūs publicējat jaunumus vai darba sludinājumus, tas pārņems jūsu stilu.
Konteksts. No sociālajiem tīkliem, uzņēmuma vietnes un publiskajiem reģistriem uzbrucējs dažu minūšu laikā uzzina, kas ir finanšu vadītājs, kas ir grāmatvedis un kurš ir jauns darbinieks (un tāpēc vēl nezina ierastos procesus). E-pasts uzrunā cilvēku vārdā un piemin īstu projektu.
Mērogs. Agrāk personalizēts e-pasts prasīja cilvēka laiku, tāpēc tas bija paredzēts lieliem uzņēmumiem. Tagad personalizācija ir automātiska, tāpēc uzņēmums ar 15 darbiniekiem saņem tādas pašas kvalitātes e-pastu kā banka.
Kanāli. E-pasts arvien biežāk ir tikai sākums: tam seko Teams ziņojums, tālruņa zvans vai SMS, lai lūgums šķistu apstiprināts no vairākām pusēm. Darbinieks, kas pieradis pārbaudīt tikai e-pastu, citus kanālus neverificē.
Secinājums apmācībai: pārtrauciet mācīt meklēt kļūdas. Māciet atpazīt situāciju: neparasts lūgums, steidzamība un kanāla maiņa.
Trīs scenāriji, ko redzam visbiežāk
Vadītāja uzdošanās
Grāmatvedis saņem e-pastu no „direktora”: esmu sapulcē un nevaru runāt, steidzami jāapmaksā partnera rēķins, pievienoju to, apstipriniet, kad izdarīts. Sūtītāja adrese ir vai nu ļoti līdzīga īstajai (atšķiras viens burts), vai īsta, bet ar nomainītu atbildes adresi (Reply-To). Arvien biežāk e-pastam seko SMS vai pat tālruņa zvans ar vadītāja sintezētu balsi. Zīme, ko vērts atcerēties: īsts vadītājs, kuram steidzami vajadzīgs maksājums, piezvanīs personīgi. E-pasts, kas lūdz nezvanīt, jau ir aizdomīgs.
Mainīti bankas rekvizīti
Piegādātājs, ar kuru strādājat jau gadu, sūta e-pastu: mūsu bankas konts ir mainījies, lūdzu, turpmākos maksājumus sūtiet uz jauno. Bieži e-pasts nāk no piegādātāja īstās pastkastes, jo uzbrucējs vispirms ir ielauzies pie piegādātāja un vairākas nedēļas lasījis sarakstes. Viņš zina, kādi rēķini tiek gaidīti un kad.
QR kodi
E-pasts ar QR kodu: jūsu Microsoft 365 parolei drīz beidzas derīguma termiņš, noskenējiet kodu un atjaunojiet to. Pasta filtri pārbauda saites, bet QR kods ir attēls, un tajā esošā saite filtram nav redzama. Darbinieks to noskenē ar tālruni, kas bieži nav uzņēmuma pārvaldīts un nav aizsargāts, un nonāk viltotā pieteikšanās lapā. Līdzīgi darbojas HTML pielikumi un saites uz likumīgiem failu koplietošanas pakalpojumiem, kuros izvietota viltota pieteikšanās veidlapa: filtrs redz zināmu domēnu un e-pastu laiž cauri.
Kas visiem scenārijiem kopīgs: nevienam nav vajadzīga tehniska ievainojamība. Tiem vajadzīgs tikai viens cilvēks, kuram steidzas.
Tehniskās kontroles, kas aptur lielāko daļu
Darbiniekam jābūt pēdējai, nevis pirmajai aizsardzības līnijai. Saviem klientiem kā standartu ieviešam:
- E-pasta autentifikāciju: SPF, DKIM un DMARC ar noraidīšanas politiku jūsu domēnam. Tas novērš e-pastu sūtīšanu jūsu vārdā no svešiem serveriem un, savukārt, ļauj jūsu filtram noraidīt e-pastus, kas uzdodas par piegādātājiem, kuri savu domēnu ir aizsargājuši.
- Microsoft 365 aizsardzību pret pikšķerēšanu: saišu pārrakstīšanu un pārbaudi klikšķa brīdī, pielikumu atvēršanu izolētā vidē, vadītāju uzdošanās noteikšanu pēc vārda līdzības un brīdinājuma joslu ārējiem e-pastiem. To aprakstām lapā Microsoft 365 drošība.
- Daudzfaktoru autentifikāciju ar pret pikšķerēšanu izturīgām metodēm un nosacījumu piekļuvi, izmantojot Microsoft Entra ID. Pat ja darbinieks ievada paroli viltotā lapā, uzbrucējs bez otrā faktora pieteikties nevar.
- Ziņošanas pogu pasta klientā. Viens klikšķis uz „Ziņot par pikšķerēšanu” nosūta e-pastu mūsu komandai, kas to pārbauda un, ja vajadzīgs, noņem no visām pastkastēm. Tā ir svarīgākā kontrole kultūras ziņā: ziņošanai jābūt vieglākai nekā ignorēšanai.
- Maksājumu procesu ārpus e-pasta. Bankas rekvizītu maiņu apstiprina ar zvanu uz zināmu numuru, nevis atbildot uz e-pastu. Tas ir finanšu, nevis IT noteikums, taču tas aptur vislielāko kaitējumu.
Neviena no šīm kontrolēm nedarbojas simts procentu, taču kopā tās samazina darbiniekam nonākošo e-pastu skaitu tik tālu, ka atlikušos apmācībās var apspriest kā konkrētus piemērus, nevis abstraktus draudus. Mobilajām ierīcēm, kurās skenē QR kodus, tas pats attiecas uz ierīču pārvaldību un pārlūka aizsardzību tālrunī.
Simulācijas un apmācība bez kauna
Pikšķerēšanas simulācijas, kurās uzņēmums sūta darbiniekiem viltotus e-pastus un mēra, kurš noklikšķināja, ir noderīgas, taču bieži tiek veiktas slikti. Slikti izskatās šādi: nepaziņota simulācija ar ļoti pārliecinošu e-pastu, publisks to cilvēku saraksts, kuri noklikšķināja, obligāta apmācība kā sods. Rezultāts ir tāds, ka darbinieki baidās no IT nodaļas un, kad patiešām noklikšķina uz īsta e-pasta, klusē, un tas ir sliktākais, kas var notikt.
Mūsu pieredzē darbojas citāda pieeja:
- Vispirms paziņojiet, ka simulācijas notiks, un paskaidrojiet, kāpēc. Pārsteigums nav mērķis.
- Mēriet nevis klikšķus, bet ziņojumu īpatsvaru. Mērķis ir, lai vairāk cilvēku nospiež „Ziņot”, nevis lai mazāk cilvēku noklikšķina uz saites.
- Cilvēkam, kurš noklikšķināja, uzreiz uz vietas parādiet īsu skaidrojumu: kas e-pastā bija neparasts. Divas minūtes tajā brīdī ir vērtīgākas par stundu ilgu apmācību pēc mēneša.
- Rezultātus publicējiet tikai nodaļas vai uzņēmuma līmenī, nekad pēc vārdiem.
- Apmācības veidojiet īsas un biežas: 10 minūtes katru ceturksni ar īstiem piemēriem no jūsu pašu pasta, nevis stundu ilgu lekciju reizi gadā.
- Kad darbinieks ziņo par īstu e-pastu, pateicieties publiski. Tas ir vienīgais veids, kā saņemt vairāk ziņojumu.
Īstā incidentā vissvarīgākā ir pirmā reakcija: darbinieks, kurš 10 minūšu laikā piezvanīja un teica „šķiet, es ievadīju savu paroli”, dod laiku nomainīt paroli un pārtraukt sesijas. Tas, kurš divas dienas klusēja, to nedod.
Tāpēc pirmais noteikums, ko atkārtojam katrā apmācībā: neviens netiek sodīts par ziņošanu par savu kļūdu. Kad darbinieki tam tic, incidents izmaksā stundas, nevis nedēļas.
No kā sākt
- Pārbaudiet sava domēna DMARC politiku. Ja tās nav vai tā ir iestatīta tikai uzraudzībai, jebkurš var rakstīt jūsu vārdā.
- Ieslēdziet ziņošanas pogu visiem un vienojieties, kas pārskata ziņojumus tajā pašā dienā.
- Saskaņojiet ar finanšu nodaļu rakstisku noteikumu: bankas rekvizīti tiek mainīti tikai ar zvanu uz zināmu numuru.
- Ieplānojiet pirmo simulāciju ar iepriekšēju paziņojumu un īsu skaidrojumu tiem, kas noklikšķina.
- Ja jums nav, kas to pastāvīgi uzrauga, e-pasta aizsardzības konfigurēšana, ziņojumu pārskatīšana un ceturkšņa simulācijas ir iekļautas mūsu IT apkopē, bet plašāku cilvēku un procesu novērtējumu veicam kā IT drošības auditu.
