Phis­hing tre­ning – kako se suočiti sa internet pretnjama?

Na­pa­di na fir­me u­glav­nom počinju na­pa­di­ma na za­po­sle­ne, pre sve­ga sla­njem po­ru­ka ko­je ih ma­me da kli­knu na ne­ki po­go­dno kon­stru­isan link. Tre­ning ko­ji će naučiti va­še ko­le­ge da i­zbe­ga­va­ju ova­kve zam­ke ni­je te­ško or­ga­ni­zo­va­ti – evo ka­ko da sa­mi bu­de­te sop­stve­ni na­pa­dač

Mo­že­te li da za­mi­sli­te sce­na­rio po ko­jem do­la­zi­te na po­sao i ta­mo ne­ma ničega? Računa­ri su za­ku­ca­ni u boot mo­du, ser­ve­ri ne­dos­tu­pni, faj­lo­vi za­ključani, ne­ma e‑mail‑a i AD‑a, a lju­di pa­nično trče na­oko­lo jer ne zna­ju šta se do­gađa. Crni­lo. Zvuči kao opis iz ne­kog od Terminator fil­mo­va, ali je u stva­ri vrlo re­al­na op­ci­ja uko­li­ko ne po­sve­ti­mo po­se­bnu pa­žnju obu­ci na­ših ka­dro­va. S ob­zi­rom na to da je za za­šti­tu in­ter­nih re­sur­sa po­tre­bno četi­ri‑pet uređaja i da je to za većinu kom­pa­ni­ja ne­mo­guća mi­si­ja zbog ne­do­volj­nog bu­dže­ta, tre­ba se u­sme­ri­ti na po­di­za­nje sves­ti za­po­sle­nih o pre­tnja­ma ko­je vre­ba­ju spo­lja.

Pre­tnje spolja

Pre­ma Gartner‑u, u 2018. go­di­ni, na glo­bal­nom ni­vou za cyber security i­zdvo­je­no je oko 96 mi­li­jar­di do­la­ra dok is­tov­re­me­no, zbog ra­znih ransomware mo­di­fi­ka­ci­ja, bi­znis je i­zgu­bio oko 76 mi­li­jar­di do­la­ra. Ko­li­ki god no­vac da i­zdvo­ji­te, ne­ma ga­ran­ci­je da ste 100 od­sto za­štićeni, jer je čes­to do­vo­ljan sa­mo je­dan po­gre­šan klik na e‑mail ko­ji ste do­bi­li od (na prvi po­gled) po­zna­te oso­be. Ra­zlog za ta­ko ne­što jes­te to što se u pro­se­ku na sva­kih 40 se­kun­di do­go­di ransomware, banking trojans ili cryptominer na­pad na kom­pa­ni­ju i sa­mim tim, po za­ko­nu ve­ro­va­tnoće, ne­što mo­ra da prođe. Ta­kođe, za­be­le­žen je po­rast od sko­ro 50 od­sto ma­li­ci­o­znih a­pli­ka­ci­ja za mo­bil­ne uređaje, što ovim na­pa­di­ma da­je ši­ri­nu ko­ju IT sek­tor čes­to ni­je u sta­nju da pra­ti.

Na trži­štu pos­to­ji mno­go security awareness fir­mi ko­je nu­de penetration test u o­kvi­ru ko­ga se si­mu­li­ra saj­ber­na­pad na kom­pa­ni­ju ka­ko bi se iden­ti­fi­ko­va­le sve ra­nji­vos­ti sis­te­ma. Po­sle sve­ga, do­bi­ja se de­ta­ljan i­zve­štaj sa svim smer­ni­ca­ma ko­je mo­ra­te da po­pra­vi­te ka­ko bi vaš sis­tem bio za­štićen. Ne­ke od njih su: Kaspersky, McAfee, Trend Micro, KnowBe4 itd. Među nji­ma ima dos­ta stručnja­ka ko­ji su u pro­šlos­ti bi­li na po­gre­šnoj Dark‑side‑of‑the‑Force, ko­ji sa­da ra­de kao be­zbe­dno­sni ek­sper­ti i po­ma­žu fir­ma­ma kao kon­sul­tan­ti iz te o­blas­ti.

Sam svoj na­pa­dač

Si­mu­la­ci­ju phishing na­pa­da mo­že­te da oba­vi­te i sa­mi, bez po­moći treće stra­ne. Sve što vam tre­ba jes­te za­ku­pljen la­žni do­men i ba­rem je­dna e‑mail a­dre­sa s ko­je će se na­pad lan­si­ra­ti, par sa­ti is­tra­ži­va­nja o kom­pa­ni­ji ili za­po­sle­ni­ma (u za­vi­snos­ti od to­ga ko­ga ci­lja­te) i ma­lo kre­ativ­nos­ti da o­smi­sli­te tekst/di­zajn ko­ji će ići u te­lo mail‑a.

Ka­da ra­zmi­šlja­te o do­me­nu, is­ko­ris­ti­te ne­što op­šteg ka­rak­te­ra, npr. 1nfo.rs jer će to si­gur­no po­većati ve­ro­va­tnoću o­bma­ne. Na­mer­no smo u ime do­me­na sta­vi­li broj 1 umes­to slo­va „i“ jer je to sa­mo do­kaz ko­li­ko lju­di ge­ne­ral­no ne vo­de računa o ova­kvim de­ta­lji­ma ka­da čita­ju mail‑ove. Na­kon to­ga, ura­di­te ana­li­zu na o­sno­vu ko­je ćete tar­ge­ti­ra­ti. Te­me ko­je su uvek ak­tu­el­ne i u­glav­nom ima­ju ve­li­ki pro­ce­nat us­pe­ha je­su: so­ci­jal­ne mre­že i is­ti­ca­nje lo­zin­ke za do­men­skog ko­ri­sni­ka. Uko­li­ko se o­dlučite za dru­gu va­ri­jan­tu, po­ku­šaj­te da što bli­že pre­sli­ka­te pra­vi e‑mail ko­ji va­ša kom­pa­ni­ja ša­lje ko­ri­sni­ku za is­ti­ca­nje password‑a i gde je po­tre­bna nje­go­va hi­tna re­ak­ci­ja ta­ko što će kli­knu­ti na link u nas­tav­ku.

Većina lju­di ret­ko ili sko­ro ni­ka­da ne o­bra­ti pa­žnju ko­ja je re­al­na URL pu­ta­nja ne­kog lin­ka, o­dno­sno tek ka­da sta­vi­te kur­sor mi­ša vi­di­te kraj­nju des­ti­na­ci­ju. Ovu ra­zli­ku po­se­bno je te­ško uočiti s mo­bil­nih uređaja jer ne­ma­mo tu mo­gućnost da je­dnos­tav­nim prev­lačenjem kur­so­ra ot­kri­je­mo pra­vu pu­ta­nju i uko­li­ko lju­di na taj način čita­ju ovaj mail, naj­ve­ro­va­tni­je će se upe­ca­ti. Is­ko­ris­ti­te za pot­pis zva­ničan lo­go kom­pa­ni­je ka­ko bi var­ka bi­la što uver­lji­vi­ja. Na­kon što ko­ri­snik kli­kne na ovaj link, tu se i­gra zav­rša­va i oso­ba je upe­ca­na jer ako tre­ning pre­sli­ka­mo na re­al­ne okol­nos­ti, to mo­že ak­ti­vi­ra­ti skrip­tu ko­ja po­kreće ne­ki ma­ili­ci­o­zni so­ftver na va­šem računa­ru i kraj je ne­i­zbe­žan. Mo­že­te al­ter­na­tiv­no da kre­ira­te tar­get stra­ni­cu na ko­joj će bi­ti pri­ka­za­na po­ru­ka: You’ve Been Phished! s po­se­bnim o­svrtom na sve de­ta­lje ko­ji su pro­ma­kli za­po­sle­ni­ma.

Na­pa­di sa so­ci­jal­nih mreža

E‑mail no­ti­fi­ka­ci­je sa so­ci­jal­nih mre­ža su po­se­bno la­ke za ma­ni­pu­la­ci­ju. U­zmi­te kao pri­mer po­ru­ku ko­ju vam LinkedIn ša­lje uko­li­ko vam je ne­ko gle­dao pro­fil, jer ta­kve stva­ri utiču na ego čove­ka i na­gon će većinu lju­di na­te­ra­ti da kli­kne. Na va­šem do­me­nu ko­ji ste za­ku­pi­li sa­mo u svrhu tre­nin­ga kre­iraj­te mail na­log po­put linkediin@1nfo.rs. Ta­kođe, pri­me­tićete da u LinkedIn na­mer­no ima­mo dva slo­va „i“ a da sam mail na­log aso­ci­ra na in­fo mail ko­ji sti­že od ove so­ci­jal­ne mre­že. Os­ta­vi­te ge­ne­rički Subject: „Name, people are looking at your LinkedIn profile“ i is­ko­pi­raj­te ce­lu po­ru­ku sa sve sli­ka­ma i onim upeča­tlji­vim di­zaj­nom LinkedIn‑a. Na­kon to­ga, pro­me­ni­te des­ti­na­ci­ju lin­ko­va u po­ru­ci da vo­de ka va­šoj la­žnoj stra­ni­ci i sko­ro ste sprem­ni za početak tre­nin­ga.

Po­me­ni­mo i zgo­dan final touch u va­šoj o­bma­ni. Kroz Outlook, Web browser ili ne­ki treći e‑mail kli­jent pro­me­ni­te Display Name na­lo­ga s ko­jeg ša­lje­te po­štu u, re­ci­mo, “LinkedIn <messages‑noreply@linkedin.com> linkediin@1nfo.rs“. Većina lju­di neće pri­me­ti­ti ko­ja je re­al­na a­dre­sa s ko­je sti­že mail jer se svi u­hva­te za početak i ni­ko ne gle­da da je na kra­ju a­dre­sa ko­ja ne­ma ap­so­lu­tno ni­ka­kve ve­ze sa LinkedIn‑om. Pri­pre­mi­te lis­tu oso­ba ko­je ci­lja­te i do­bro ra­zmi­sli­te ka­ko ćete im po­sla­ti mail, o­dno­sno svi­ma o­dje­dnom, po sek­to­ri­ma ili na­su­mi­ce jer ne­ka­da fi­zička bli­zi­na lju­di bi­tno utiče na re­ali­za­ci­ju ova­kvog tre­nin­ga, s ob­zi­rom na to da se ves­ti brzo ši­re.

Uz ma­lo ve­šti­ne, mo­že­te na destination stra­ni­ci kre­ira­ti skrip­tu ko­ja će be­le­ži­ti po­got­ke ili čak i re­al­na ime­na računa­ra lju­di ko­ji su na­se­li na vaš mail ka­ko bis­te oba­vi­li da­lju ana­li­zu. Tru­di­te se da na sva­kih par me­se­ci po­nav­lja­te ova­kav tre­ning i ve­ro­va­tno će po­sle ne­kog vre­me­na početi da se sma­nju­je pro­ce­nat lju­di ko­ji su se upe­ca­li. Je­dnos­tav­no, na­te­raćete lju­de da sum­nja­ju u sva­ki mail, bez ob­zi­ra na to od ko­ga im sti­že, a to je ne­op­ho­dno za bu­dućnost ko­ja do­la­zi.

Ove go­di­ne obe­le­ža­va se o­kru­glo 50 go­di­na od ka­da smo po prvi put ko­račali po Me­se­cu i tom pri­li­kom su i­zgo­vo­re­ne čuve­ne reči: „Ovo je ma­li ko­rak za čove­ka ali ve­li­ki za čovečan­stvo“. Od­go­vor na pi­ta­nje ka­ko smo sti­gli do to­ga da je­dan ko­rak na Me­se­cu ili je­dan po­gre­šan klik mo­gu da u­sme­re tok is­to­ri­je u je­dnom ili dru­gom prav­cu kri­je se u na­ma. Ljud­ski fak­tor je sna­ga ko­ja po­kreće ceo sis­tem, ali is­tov­re­me­no i nje­gov naj­veći ne­dos­ta­tak.

Autor: Damir Jović