Natagpuan ni Verizon ang c-suite, smbs sa ilalim ng banta sa taunang ulat ng seguridad

Ang isang pangunahing kadahilanan na nakaka-motivate sa pag-trigger ng mga paglabag sa data ay pera, payat at simple. Ang mga hacker ay nais na kumita ng pera mula sa mga paglabag, at ito ang isang pangunahing paghahanap sa 2019 Data Breach Investigations Report ng Verizon, na inilabas kahapon. Pinag-aralan ng kumpanya ang 41, 686 na mga insidente sa seguridad at higit sa 2, 000 mga paglabag sa data, at natagpuan na ang 71 porsyento ng mga paglabag ay pinupukaw sa pananalapi. Inilahad din nito na isang malaking bilang ng mga pag-atake na ito ay mga pagtatangka sa social engineering sa mga executive ng C-suite. 12 beses silang mas malamang na makaranas ng isang insidente sa social engineering ngayon kaysa sa panahon na nasaklaw sa ulat ng Data Data ng Breach Investigations ng Verizon. Ang isang karaniwang anyo ng mga pag-atake na ito ay phishing, kung saan ang mga hacker ay nakikilala ang kanilang sarili bilang isang mapagkakatiwalaang indibidwal at kumuha ng mga pangalan ng username, password, at mga detalye ng credit card.

Hinahanap ng mga umaatake ang "mabilis na usang lalaki, " ayon kay Gabriel Bassett, Siyentipiko ng Impormasyon sa Data ng Seguridad sa Verizon at may-akda ng ulat. At ang mga pagbabanta na ito ay dapat na mag-isip sa maliit para sa mga midsize na mga negosyo (SMB) - isa sa maraming mga alalahanin na nauugnay sa SMB na kasalukuyang tinatalakay sa kaganapan ng National Small Business Week (NSBW) na ito, na na-sponsor ng US Small Business Administration. Ayon sa ulat (tingnan ang figure sa ibaba), ang mga banta na ito ay dapat manatili pangunahin dahil ang 43 porsyento ng mga paglabag ay kasangkot sa mga maliliit na biktima ng negosyo.

(Credit ng larawan: Verizon)

Bakit Trending ang Mga Banta sa Teknikal na Teknolohiya

Ang Phishing ay isang pagtatangka upang makakuha ng sensitibong impormasyon tulad ng mga usernames, password, at mga detalye ng credit card sa pamamagitan ng pag-disguise ng sarili bilang isang mapagkakatiwalaang nilalang kapag nagpapadala ng mga elektronikong komunikasyon. Ang mga pag-atake sa phishing ay maaaring magsama ng isang mensahe ng email na naglalaman ng isang link sa isang pekeng website na mukhang isang pahina ng pag-log mula sa isang provider ng email na nakabase sa cloud. "Ito ay talagang dinisenyo upang nakawin ang iyong mga kredensyal, " paliwanag ni Bassett.

Ang pag-atake sa phishing ay isang bahagi ng 78 porsyento ng mga insidente ng cyber-spionage na pinag-aralan ng mga mananaliksik ng Verizon. Sa email, ang pag-atake ay maaaring matugunan sa isang Chief Financial Officer (CFO) at lumilitaw na mula sa isang Chief Executive Office (CEO) na humihiling sa ehekutibo na ilipat ang isang tiyak na halaga ng pera sa isang account. Maaaring sabihin ng mensahe, "Ito ay talagang mahalaga. Mangyaring gawin lamang ito nang mabilis, " sabi ni Bassett.

Ang mga pag-atake na ito ay tinatawag na "kompromiso sa email ng negosyo." Ipinaliwanag ni Bassett na tinukoy sila ni Verizon sa ulat bilang "pinansiyal na nakatuon sa social engineering." Target ng mga atake ang mga executive ng C-suite dahil mayroon silang awtoridad sa malalaking paglilipat ng pera sa isang korporasyon at maaaring hindi maingat na basahin ang mga komunikasyon sa email.

Ang pag-atake sa phishing "lokohin ng maraming tao, at sa gayon kailangang malaman na ang mga ganitong uri ng mga bagay na nangyari, at kailangang magkaroon ng pangalawang kontrol sa lugar upang mapatunayan ang anumang paglipat ng pera o kahit na pagbabayad ng mga invoice, " sabi ni Bassett. "Maaaring ito ay isang email lamang na may pekeng invoice. Kung hindi ka nagbabayad ng pansin, maaaring bayaran mo lamang ito nang hindi napagtanto na hindi ito isang tunay na lehitimong invoice."

Ang mga pag-atake sa pinansiyal na pananalapi ay isang pangunahing tema sa iba't ibang mga industriya sa ulat. Sa katunayan, ang ulat ay nabanggit na 68 porsyento ng mga paglabag sa data sa pagmamanupaktura ay pinansiyal sa pananalapi, at 49 porsiyento ng 352 insidente sa pagmamanupaktura ay kasangkot sa mga ninakaw na kredensyal.

Ang isang kagiliw-giliw na katotohanan ay ang lahat ay hindi nawala kapag mayroon kang paglabag sa data. Ang FBI Internet Crime Complaint Center (IC3) ay makakatulong sa iyo na mabawi ang mga pondo na ninakaw sa ganitong uri ng pag-atake. Ang kalahati ng mga insidente na kinasasangkutan ng pag-kompromiso ng email sa negosyo ay nagdala ng pagbabalik o pagyeyelo ng 99 porsyento ng mga ninakaw na pondo, ayon sa ulat. "Kung nabiktima ka sa isa sa mga gawa na ito, mayroon ka pa ring oras upang kumilos, " sabi ni Bassett. "Kung mabilis kang mag-ulat sa IC3, maaaring makatulong ka sa iyo."

Ang pag-atake sa email ay nangyayari dahil hindi nila nangangailangan ng maraming teknikal na kasanayan, ayon kay Bassett. "Hindi mo kailangang maunawaan kung paano gumagana ang mga computer upang humiling ng isang tao ng pera, " aniya. "At sa gayon binubuksan nito ang cybercrime sa mga tao na marahil ay walang katuturan ngunit napaka mapanghikayat."

Iba pang mga Key Takeaways

Ang pag-atake sa email ay hindi lamang ang mga kagiliw-giliw na tidbits mula sa ulat ni Verizon. Narito ang apat na iba pang mga pangunahing natuklasan:

1) Kasama sa pinansiyal na pag-atake sa social engineering, may mga banta sa mga transaksyon sa e-commerce, na kilala rin bilang mga pag-atake ng "card na hindi naroroon". Ang pagtaas ng pag-atake sa e-commerce ay may pagbaba sa mga banta sa mga in-person point-of-sale (POS) na mga transaksyon. Ang mga paglabag sa POS ay bumagsak ng isang kadahilanan ng 10 mula noong 2015, at ang mga paglabag sa aplikasyon sa web ay mayroon na ngayong 13 beses na mas malaking pagkakataon na maganap. Ang mga pag-atake ay maaaring mapahamak sa pamamagitan ng paggamit ng mga EMV chip cards, ayon sa ulat. Ang mga pag-atake ng POS sa accommodation (mabuting pakikitungo) at mga industriya ng serbisyo sa pagkain sa partikular na nabawasan mula 307 sa ulat ng 2018 Verizon hanggang 40 sa bersyon ng taong ito (tingnan ang figure sa ibaba).

2) Higit sa 60 milyong mga talaan ng data ay naapektuhan ng mga paglabag na nakakaapekto sa imbakan na batay sa file para sa mga negosyo. Ang mga maling pagsasaayos ng mga administrador ng system ay nagiging sanhi ng mga paglabag na ito at hindi sinasadyang ilantad ang sensitibong impormasyon. "Ito ay nangyayari nang madalas at madalas, at ito ay isa sa mga madali, mabilis na paglabag, " sabi ni Bassett. "Hindi kukuha ng maraming mga hakbang upang pumunta mula sa paghahanap ng isang database sa pagkakaroon ng paglabag nito."

Ang ganitong uri ng paglabag ay maaari ring maganap kapag naganap ang isang handoff sa mga tauhan. Ang susunod na tagapangasiwa na nagtatrabaho sa isang website ay maaaring hindi mapagtanto na ang isang database ay naiwan sa publiko ng taong nauna.

3) Inihayag din ng ulat ng Verizon na ang 69 porsyento ng mga pag-atake ay isinagawa ng mga tagalabas kumpara sa 34 porsyento ng mga pag-atake na isinagawa ng mga tagaloob. Ang isang pagbubukod sa kalakaran na ito ay sa pangangalaga sa kalusugan, kung saan ang mga banta sa tagaloob ay mas laganap kumpara sa iba pang mga industriya. Iyon ay dahil madalas na isang pag-usisa sa pagtingin sa mga elektronikong rekord ng medikal (EMR) ng mga kilalang tao o mga taong alam ng mga medikal na propesyonal.

"Sa pangangalaga sa kalusugan, mayroon silang mga hindi mapagpanggap na empleyado na maaaring tumingin sa impormasyong iyon at napagtanto na mayroong isang halaga dito para sa pandaraya sa pangangalaga sa kalusugan, " sabi ni Bassett. Inilarawan niya ang isang pangkaraniwang kalakaran kung saan isinasuko ng mga umaatake ang nakompromiso na data sa isang tao upang mag-file ng mapanlinlang na pag-aangkin sa seguro sa kalusugan.

4) Natagpuan din ni Verizon na anim na beses na mas kaunting mga propesyonal sa mga mapagkukunan ng tao (HR) ang nakakaranas ng mga paglabag sa data. Sinabi ng ulat na wala itong dahilan para sa pagbagsak na ito bukod sa pinahusay na kamalayan sa mga kumpanya tungkol sa mga banta sa data. Ang mga pag-atake sa HR ay maaaring magsama ng isang pagtatangka upang makuha ang impormasyon ng buwis ng empleyado upang ang mga hacker ay maaaring mag-file ng maling buwis at magbabalik sa mga empleyado na nagbabayad ng panukalang batas, sinabi ni Bassett.

(Credit ng larawan: Verizon)

Pag-iingat sa Mga Data ng Breaches

Upang maprotektahan laban sa mga paglabag sa data, lalo na ang mga pag-atake sa phishing, dapat gamitin ng mga SMB ang mga tagapamahala ng password upang palakasin ang kanilang mga kasanayan sa pamamahala ng pagkakakilanlan. Ang isa pang inirerekomenda na kasanayan ay ang paggamit ng pagpapatunay ng multifactor (MFA) upang maprotektahan ang mga account mula sa mga paglabag. Ang pagsasanay na ito ay nagsasangkot ng paggamit ng dalawa o higit pang mga paraan ng pagpapatunay upang makakuha ng pag-access sa isang sistema. Maaari silang isama ang mga password, biometrics tulad ng mga fingerprint, o mga token mula sa isang mobile phone.

Upang maprotektahan laban sa mga pag-atake tulad ng phishing, inirerekumenda din ng Bassett na ang mga gumagamit na nagbukas ng mga hindi hinihinging mga file mula sa labas ng mga nilalang ay dapat gumamit ng isang sandboxed operating system (OS) ng isang tablet at keyboard lamang upang maiwasan ang pagkalat ng malware. Ang isang sandbox ay isang paghihigpit na kapaligiran kung saan ang mga aplikasyon ay nakahiwalay at kung saan ang mga gumagamit ay maaaring mapigilan sa pagtanggal ng mga file at pagbabago ng impormasyon ng system.

• Nakawin ng Marriott Hackers ang Mahigit sa 5M na Walang Numerong Passport na Mga Numero ng Marriott Hacker ay Nakawin ang Higit Pa sa 5M na Mga Numero ng Hindi Naipilit na Passport
• Ang 'Coffee Meets Bagel' Dating Site Hit sa pamamagitan ng Data Breach 'Kinukuha ng Kape ng Bagel' Dating Site Hit sa pamamagitan ng Data Breach
• SecurityWatch: Gumawa ng Mga Korporasyon, Hindi Mga Kustomer, Maghihirap para sa Data Breaches SecurityWatch: Gumawa ng Mga Korporasyon, Hindi Kustomer, Maghihirap para sa Mga Data Breaches

Maaaring ito ay pangkaraniwan, ngunit ang isang pangunahing hakbang ay upang magbigay ng isang paraan para sa mga empleyado na mag-ulat ng mga phishing email at mga paglabag sa data kapag nakita sila. Ang paglipat ng mabilis ay mahalaga dahil kung minsan mayroong isang alon ng mga pag-click sa isang phishing email sa loob ng isang kumpanya na nangyayari sa isang linggo pagkatapos maipadala sila.

"Ang pag-uulat at pag-click ay nangyayari sa magkatulad na rate sa unang oras, ngunit ang mga ulat ay bumagsak habang ang mga pag-click ay patuloy na nangyayari para sa susunod na linggo, " sabi ni Bassett. "Gamitin ang mga ulat na nakukuha mo sa unang oras upang tanggalin ang mga email sa phishing mula sa mga inbox upang hindi mai-click ito ng mga tao sa isang araw o isang linggo at muling simulan ang insidente."

Ang ilalim na linya: Manatiling mapagbantay, maging kahina-hinala sa iyong email, at magkaroon ng isang solidong linya ng pagtatanggol para sa mga pagtatangka sa pagtuklas sa panlipunang inhinyero na pandaraya sa iyong negosyo.