E-ITSPEA nädal 14

Teistmoodi kalapüük...

Viimasel ajal on andmepüük (inglise keeles phishing) tõusnud üheks suurimaks küberohuks nii ettevõtetele kui ka tavakasutajatele. See ei nõua keerulist pahavara ega ulmelisi häkkerioskusi – piisab vaid nutikalt sõnastatud e-kirjast või sõnumist ning pahaaimamatu kasutaja võib sattuda lõksu. Kuna ohvriks langemine on sageli vaid ühe vale kliki kaugusel, on tegemist eriti ohtliku turvariskiga. Ja kuigi mina ei suuda mõista, kuidas inimesed nende õnge satuvad, siis statistika näitab, et seda juhtub kohutavalt palju. Seega tulebki lähtuda Kevin Mitnicki valemist: tehnoloogia + koolitus + reeglid = turvalisus.

Mis see on?

Andmepüük on küberrünnaku tüüp, kus ründaja üritab kasutajalt välja petta tundlikku infot (näiteks paroole, krediitkaardiandmeid või juurdepääsu kontodele), esinedes usaldusväärse allikana. Levinumad viisid selleks on:

• Võltsitud e-kirjad panga või kolleegi nime alt;
• Veebilehed, mis imiteerivad autentseid saite;
• SMS-id ja sotsiaalmeedia sõnumid linkidega.

Andmepüügi edukus põhineb sageli psühholoogial – ründajad loovad kiirustamise, usalduse või hirmu olukorra, kus kasutaja manipuleeritakse impulsiivselt tegutsema.

Kuidas Mitnick aitaks?

Kasuta tehnoloogiat esmase kaitseliinina:

• Rämpsposti- ja andmepüügifiltrid: Kasuta kaasaegseid e-posti filtreid, mis suudavad tuvastada ja blokeerida ka keerukalt maskeeritud rünnakud.
• Mitmeastmeline autentimine (MFA): Kui isegi parool satub valele inimesele, ei pääse nad kontole ilma teise turvakihita.
• Veebibrauseri turvalahendused: Paljud brauserid hoiatavad võltsitud saitide eest või keelavad automaatselt ohtlike lehtede kuvamise.
• Regulaarne tarkvarauuendamine: Vananenud süsteemid on haavatavamad – turvapaigad aitavad sul sammu pidada ohtudega.

Koolita ennast ja teisi:

• Töötajate teadlikkuse tõstmine: Regulaarne koolitus aitab inimestel ära tunda andmepüügi märke – näiteks kahtlased e-posti aadressid, vale grammatika, ebaloogilised palved.
• Simuleeritud andmepüügirünnakud: Praktilised testid aitavad hinnata, kui valmis on töötajad reaalseteks olukordadeks.
• “Mida teha, kui…” juhised: Iga kasutaja peaks teadma, kuidas reageerida, kui kahtlane e-kiri või link ilmub.

Loo kindlad ja arusaadavad reeglid:

• Selged turvapoliitikad: Reegild, millist tüüpi info edastamine e-posti teel on lubatud ning millal tuleb olla eriti ettevaatlik.
• Raporteerimiskanalid: Kas töötajad teavad, kuhu pöörduda, kui nad kahtlustavad andmepüüki? Kiire reageerimine võib ära hoida suurema kahju.
• Paroolide kasutamise juhised: Kuidas ja kui tihti peab paroole uuendama ning et nende jagamine on igal juhul keelatud ka oma töötajatele.

Andmepüügi vastu ei saa ainult tehnoloogiaga või ainult inimeste teadlikkust suurendamisega. See on mitmetahuline risk, mille edukaks maandamiseks tuleb kaasata kõik Mitnicki valemi komponendid. Organisatsioon, kes panustab turvafilteritesse, koolitab regulaarselt oma töötajaid ja rakendab läbimõeldud reegleid, on märgatavalt paremini kaitstud küberohtude eest. Nagu öeldakse: inimene on nõrgim lüli – aga õigesti õpetatuna võib ta olla ka tugevaim kaitseliin.