Positive Technologies hisoboti: Ijtimoiy muhandislik xakerlar uchun kompaniyangiz eshiklarini ochadi

Positive Technologies hisoboti: Ijtimoiy muhandislik xakerlar uchun kompaniyangiz eshiklarini ochadi

Xodimlar zararli fayllarni yuklab olishadi, fishing havolalarini bosishadi va xakerlar bilan yozishmalarda ishtirok etishadi, hamkasblarining aloqa ma’lumotlarini almashishadi!

Positive Technologies mutaxassislari ijtimoiy muhandislik hujumlarining samaradorligi bo’yicha statistikani to’plashdi. Korporativ infratuzilma xavfsizligini tahlil qilish loyihalari davomida kompaniya mutaxassislari xakerlik faoliyatini simulyatsiya qilishdi va mijoz xodimlariga biriktirilgan fayllar, veb-resurslarga havolalar va parol kiritish shakllarini o’z ichiga olgan xabarlarni yuborishdi. Jami 3332 ta xabar yuborildi va bu xabarlarning 17% xodimning kompyuterining va keyinchalik butun korporativ infratuzilmaning haqiqiy buzilishiga olib kelishi mumkin edi.

Fishing havolalari bo’lgan xabarlar eng samarali ijtimoiy muhandislik usuli bo’lib chiqdi: qabul qiluvchilarning 27 foizi ularni bosgan. Foydalanuvchilar manzilni diqqat bilan o’qimaydilar yoki shunchaki qaramasdan ustiga bosishadi, bu esa ularni soxta veb-saytga yo’naltiradi. Hujumlar samaradorligini oshirish uchun tajovuzkorlar turli usullarni birlashtirishlari mumkin: elektron pochtada zararli fayl ham, ekspluatatsiyalar to’plami va parol kiritish shakli bo’lgan veb-saytga havola ham bo’lishi mumkin. Qo’shimchalar antivirus dasturi tomonidan bloklanishi mumkin bo’lsa-da, foydalanuvchilarning o’z parollarini ixtiyoriy ravishda ulashishiga to’sqinlik qilishning hech qanday usuli yo’q.

Xodimlar ko’pincha nafaqat notanish fayllarni ochishadi va shubhali havolalarni bosishadi, balki tajovuzkorlar bilan yozishmalarda ham ishtirok etishadi. 88% hollarda buni IT sohasida bo’lmagan xodimlar (buxgalterlar, advokatlar, menejerlar va boshqalar) amalga oshirgan. Bunday yozishmalarda ishtirok etgan har to’rt kishidan biri bo’lim menejeri bo’lgan. Biroq, hatto xavfsizlik mutaxassislari ham xakerlarning tuzog’iga tushishi mumkin: bizning tajribalarimizda ularning 3% suhbatda ishtirok etgan.

Xaker bilan suhbat paytida foydalanuvchilar ularga yuborilgan zararli fayllar yoki havolalar ochilmasligidan shikoyat qilishlari mumkin — ba’zi hollarda ular fayllarni ochishga yoki havoladagi parolni kiritishga 30-40 marta urinishgan! Ko’pincha, agar fayl darhol ochilmasa, xodim yordam so’rab elektron pochtani kompaniyaning IT bo’limiga yuboradi. Bu infratuzilmaning buzilishi xavfini oshiradi, chunki texnik mutaxassislar o’z hamkasblariga ishonishadi va faylni ishga tushirish ehtimoli yuqori. Ba’zan qabul qiluvchilar elektron pochta ularga xato bilan yuborilganini xabar qilishdi va uni tashkilot ichidagi boshqa xodimlarga yuborish kerak edi.

Soxta kompaniyalardan yuborilgan elektron pochta xabarlarining samaradorligi bugungi kunda pasaymoqda (potentsial xavfli harakatlarning 11%), agar xabar haqiqiy kompaniya va haqiqiy shaxsdan kelsa, xakerlarning muvaffaqiyatga erishish ehtimoli oshadi (33%). Masalan, Cobalt guruhi aynan shunday ishlaydi, u nafaqat soxta domen nomlari orqali, balki ilgari infratuzilmasi buzib kirilgan haqiqiy banklar va integrator kompaniyalar xodimlarining o’zini ko’rsatish orqali fishing elektron pochta xabarlaridan foydalanadi.

Kiberjinoyatchilar o’z hujumlarining samaradorligini oshirish uchun qo’rquv, ochko’zlik, umid va boshqa his-tuyg’ulardan foydalanadilar. Shuning uchun ular o’z maktublarining mavzu satrlarida «ishdan bo’shatish uchun xodimlar ro’yxati» (38% potentsial xavfli xatti-harakatlarni qo’zg’atgan), «yil uchun bonuslarni to’lash» (25%) va boshqalar kabi iboralarni ishlatishadi. Bunday xabarlarni qabul qilishda odamlar ko’pincha asosiy xavfsizlik qoidalarini unutishadi.

Elektron pochta ijtimoiy muhandislikning yagona vositasidan uzoqdir. Hujumchilar ko’pincha kompaniya xodimlariga telefon orqali qo’ng’iroq qilishadi, masalan, texnik qo’llab-quvvatlash mutaxassisi sifatida ko’rinish va muhim ma’lumotlarni olish yoki qabul qiluvchini kerakli harakatni bajarishga majburlash uchun. Klassik misol – yakshanba kuni ertalab erta tongda ularga shoshilinch ravishda ishga kelishni so’rab qo’ng’iroq qilish. Xijolat tortgan xodimga oxir-oqibat shunchaki parolini aytib, «mutaxassislar»ga buni tushunishga ruxsat berishlari mumkinligi aytilganda, ko’pchilik mamnuniyat bilan rozi bo’ladi.

«Rossiya kompaniyalarida axborot xavfsizligi jarayonlarini o’rganishimiz shuni ko’rsatdiki, tashkilotlarning 38 foizi xodimlar uchun axborot xavfsizligi bo’yicha treninglarni umuman o’tkazmaydi va 37 foizi buni hech qanday samaradorlik sinovisiz proforma tarzda o’tkazadi», deb izoh beradi Positive Technologies tahlilchisi Dmitriy Katalkov. «Muvaffaqiyatli ijtimoiy muhandislik hujumi ehtimolini kamaytirish uchun har bir xodimning xabardorligini ta’minlash uchun muntazam ravishda treninglar o’tkazish muhimdir.»