Toimitusjohtajan petokset: Tämä huijaus päästää sinut potkuttavaksi ja maksaa pomorahat

Mainos

Sähköposti on yleinen hyökkäysvektori, jota petokset ja tietokonerikolliset käyttävät. Mutta jos luulit, että sitä käytettiin vain haittaohjelmien, phishingin ja Nigerian ennakkomaksuhuijaukset Piilottavatko Nigerian huijaussähköpostit hirvittävän salaisuuden? [Lausunto]Eräänä päivänä toinen roskapostin sähköposti putoaa postilaatikkooni, jotenkin jollain tapa toimia Windows Liven roskapostisuodattimen ympärillä, joka tekee niin hyvää työtä suojelemalla silmiäni kaikilta muilta ei-toivotut ... Lue lisää , mieti uudelleen. Siellä on uusi sähköpostipohjainen huijaus, jossa hyökkääjä teeskentelee pomoasi ja saa sinut siirtämään tuhansia dollareita yrityksen varoja heidän hallitsemalleen pankkitilille.

Sitä kutsutaan toimitusjohtajapetokseksi tai ”sisäpiirin huijaamiseksi”.

Hyökkäyksen ymmärtäminen

Joten miten hyökkäys toimii? No, jotta hyökkääjä voi menettää sen onnistuneesti, heidän on tiedettävä paljon tietoa yrityksestä, jota he kohdistavat.

Suuri osa näistä tiedoista koskee yrityksen tai laitoksen hierarkkista rakennetta, johon he kohdistavat. Heidän on tiedettävä

WHO he esiintyvät. Vaikka tämäntyyppinen huijaus tunnetaan nimellä ”toimitusjohtajan petokset”, todellisuudessa se kohdistuu kukaan vanhempi rooli - kuka tahansa, joka pystyisi aloittamaan maksut. Heidän on tiedettävä nimi ja sähköpostiosoite. Se auttaisi myös tuntemaan heidän aikataulunsa sekä matkoillaan että lomalla.

Lopuksi heidän on tiedettävä, kuka organisaatiossa voi antaa rahansiirtoja, kuten kirjanpitäjä tai joku rahoitusosaston palveluksessa oleva henkilö.

Suuri osa näistä tiedoista löytyy vapaasti kyseisen yrityksen verkkosivustoilta. Monilla keskisuurilla ja pienillä yrityksillä on ”Meistä” -sivut, joissa luetellaan työntekijät, roolit ja vastuut sekä yhteystiedot.

Joku aikataulujen löytäminen voi olla hiukan vaikeampaa. Suurin osa ihmisistä ei julkista kalenteriaan verkossa. Monet ihmiset kuitenkin julkaisevat liikkeensä sosiaalisen median sivustoilla, kuten Twitterissä, Facebookissa ja Parvi (aiemmin Foursquare) Foursquare käynnistyy etsintätyökaluna makusi perusteellaFoursquare oli edelläkävijä matkaviestinnässä; sijaintipohjainen tilapäivitys, joka kertoi maailmalle tarkalleen missä olit ja miksi - niin onko siirtyminen puhtaaseen etsintätyökaluun askel eteenpäin? Lue lisää . Hyökkääjän tarvitsee vain odottaa, kunnes he ovat poistuneet toimistolta, ja he voivat iskeä.

Olen St George's Marketillä - @ stgeorgesbt1 kaupungissa: Belfast, Co. Antrim https://t.co/JehKXuBJsc

- Andrew Bolster (@Bolster) 17. tammikuuta 2016

Kun hyökkääjällä on jokainen palapeli, jota hän tarvitsee hyökkäyksen toteuttamiseksi, he lähettävät rahoituksen sähköpostitse työntekijä, joka väittää olevansa toimitusjohtaja ja vaatii, että hän aloittaa rahansiirron heidän pankkitilille kontrolli.

Jotta se toimisi, sähköpostin on oltava aito. He joko käyttävät sähköpostitiliä, joka näyttää "lailliselta" tai todennäköiseltä (esimerkiksi [email protected]) tai vaikka "huijataan" toimitusjohtajan aitoa sähköpostia. Tällöin sähköposti lähetetään muokattuilla otsikoilla, joten Lähettäjä: -kenttä sisältää toimitusjohtajan alkuperäisen sähköpostin. Jotkut motivoituneet hyökkääjät yrittävät saada toimitusjohtajan lähettämään heille sähköpostia, jotta he voivat kopioida sähköpostin tyylit ja estetiikan.

Hyökkääjä toivoo, että taloushallinnon työntekijää painostetaan aloittamaan siirto tarkistamatta ensin kohderyhmää. Tämä veto kannattaa usein, ja jotkut yritykset ovat maksaneet tahattomasti satoja tuhansia dollareita. Yksi yritys Ranskassa, joka oli profiloinut BBC menetti 100 000 euroa. Hyökkääjät yrittivät saada 500 000, mutta pankki, joka epäili petoksia, tukki kaikki maksut paitsi yhden.

Kuinka sosiaalinen tekniikka hyökkäykset toimivat

Perinteiset tietoturvauhat ovat yleensä luonteeltaan teknisiä. Tämän seurauksena voit käyttää teknisiä toimenpiteitä näiden hyökkäysten torjumiseksi. Jos sait haittaohjelmia, voit asentaa virustorjuntaohjelman. Jos joku on yrittänyt hakata hakkeroimaan verkkopalvelimesi, voit palkata jonkun tekemään läpäisytestin ja neuvomaan, kuinka voit "kovettaa" koneen muita hyökkäyksiä vastaan.

Sosiaalisen insinöörin hyökkäykset Mikä on sosiaalinen tekniikka? [MakeUseOf selittää]Voit asentaa alan vahvimman ja kalleimman palomuurin. Voit kouluttaa työntekijöitä perusturvallisuusmenettelyistä ja vahvojen salasanojen valinnan tärkeydestä. Voit jopa lukita palvelintilan - mutta kuinka ... Lue lisää - joista toimitusjohtajan petokset ovat esimerkki - joita on paljon vaikeampi lieventää, koska he eivät hyökkää järjestelmiin tai laitteistoihin. He hyökkäävät ihmisiin. Sen sijaan, että hyödyntäisivät koodin haavoittuvuuksia, he hyödyntävät ihmisluontoa ja vaistomaista biologista välttämättömyyttämme luottaa muihin ihmisiin. Yksi mielenkiintoisimmista selityksistä hyökkäykselle tehtiin DEFCON-konferenssissa vuonna 2013.

Jotkut leukaa pudottavinta rohkeimmista hakkereista olivat sosiaalisen tekniikan tuotetta.

Vuonna 2012 entinen johdollinen toimittaja Mat Honan joutui päättäväisen tietoverkkorikollisten joukon hyökkäyksen kohteeksi, joka päätti purkaa hänen online-elämänsä. Sosiaalisen tekniikan taktiikoita käyttämällä he pystyivät vakuuttamaan Amazonin ja Applen tarjoamaan heille tietoja, joita he tarvitsivat etäpyyhkimiseen hänen MacBook Air ja iPhone, poistaa hänen sähköpostitilinsa ja tarttua hänen vaikutusvaltaiseen Twitter-tiliinsä rodun ja homofobin lähettämiseksi määreitä. Sinä voi lukea jäähdyttävän tarinan täältä.

Sosiaalitekniikan hyökkäykset ovat tuskin uusi innovaatio. Hakkerit ovat käyttäneet niitä jo vuosikymmenien ajan päästäkseen järjestelmiin, rakennuksiin ja tietoon vuosikymmenien ajan. Yksi kuuluisimmista sosiaalisuunnittelijoista on Kevin Mitnick, joka vietti 90-luvun puolivälissä vuosia piiloutumassa poliisilta tekemällä useita tietokonerikoksia. Hänet vangittiin viideksi vuodeksi, ja häneltä kiellettiin tietokoneen käyttö vuoteen 2003 asti. Hakkereiden mennessä Mitnick oli niin lähellä kuin pääset joilla on rockstar-tila 10 maailman tunnetuimmista ja parhaimmista hakkereista (ja heidän kiehtovista tarinoistaan)Valkoinen hattu hakkerit vs. musta hattu hakkerit. Tässä ovat historian parhaat ja tunnetuimmat hakkerit ja mitä he tekevät tänään. Lue lisää . Kun hänelle vihdoin annettiin käyttää Internetiä, se televisioitiin Leo Laporten televisiossa Näytönsäästäjät.

Lopulta hän meni legit. Hän johtaa nyt omaa tietoturvakonsultointitoimistoaan ja on kirjoittanut useita kirjoja sosiaalisuunnittelusta ja hakkeroinnista. Ehkä kaikkein arvostetuin on ”Petoksen taide”. Tämä on lähinnä novellien antologia, jossa tarkastellaan, miten sosiaalisen insinöörin hyökkäykset voidaan vetää pois ja miten suojaudu heitä vastaan Kuinka suojautua itsesi sosiaalisen insinöörin hyökkäyksiltäViime viikolla tarkastelimme joitain tärkeimmistä sosiaalisen suunnittelun uhista, joita sinun, yrityksesi tai työntekijöidesi pitäisi etsiä. Lyhyesti sanottuna sosiaalinen tekniikka on samanlainen kuin ... Lue lisää , ja sitä voi ostaa Amazonista.

Mitä toimitusjohtajapetoksista voidaan tehdä?

Joten katsotaanpa. Tiedämme, että toimitusjohtajan petokset ovat kauheita. Tiedämme, että se maksaa monille yrityksille paljon rahaa. Tiedämme, että sitä on uskomattoman vaikea lievittää, koska se on hyökkäys ihmisiä, ei tietokoneita vastaan. Viimeinen asia, jonka jäljellä on, on se, kuinka taistelemme sitä vastaan.

Tämä on helpommin sanottu kuin tehty. Jos olet työntekijä ja olet saanut epäilyttävän maksupyynnön työnantajalta tai pomolta, kannattaa ehkä kirjautua sisään heidän kanssaan (muulla tavalla kuin sähköpostitse) tarkistaaksesi, onko maksu aito. Ne saattavat olla hieman ärsyttäviä sinua häiritsemästä sinua, mutta todennäköisesti he ovat lisää ärsyyntynyt, jos lopulta lähetit 100 000 dollaria yrityksen varoja ulkomaiselle pankkitilille.

On olemassa teknisiä ratkaisuja, joita voidaan myös käyttää. Microsoftin tuleva päivitys Office 365: een sisältää joitain suojauksia tämän tyyppisiä hyökkäyksiä vastaan ​​tarkistamalla kunkin sähköpostin lähde nähdäksesi, onko se saatu luotetulta yhteyshenkilöltä. Microsoft katsoo, että he ovat saavuttaneet 500%: n parannuksen siinä, miten Office 365 tunnistaa väärennetyt tai väärentävät sähköpostit.

Älä ole Stung

Luotettavin tapa suojautua näiltä hyökkäyksiltä on olla skeptinen. Aina kun saat sähköpostin, jossa sinua pyydetään tekemään suuri rahansiirto, soita pomollesi nähdäksesi, onko se oikeutettu. Jos sinulla on vaikutusta IT-osaston kanssa, harkitse sitä siirry Office 365: een Johdanto Office 365: eikö sinun pitäisi ostaa uudesta Office-liiketoimintamallista?Office 365 on tilauspohjainen paketti, joka tarjoaa pääsyn uusimpaan työpöydän Office-sarjaan, Office Online -sovellukseen, pilvitallennukseen ja premium-mobiilisovelluksiin. Tarjoaako Office 365 riittävän arvon ollakseen rahaa arvoinen? Lue lisää , joka johtaa pakettia toimitusjohtajapetosten torjunnassa.

Toivottavasti ei, mutta oletko koskaan joutunut rahamotiivisen sähköpostihuijauksen uhri? Jos on, haluan kuulla siitä. Pudota kommentti alla ja kerro, mikä meni.

Valokuvapisteet: AnonDollar (Anonsi), Miguel The Entertainmentin toimitusjohtaja (Jorge)