Adathalászat: felismerés és szervezeti védekezés

A mai phishing már nem a rossz helyesírásról ismerszik meg. Milyen technikák működnek, mit tanítson a munkatársaknak, és milyen technikai kontrollok fogják meg.

Az adathalászat a leggyakoribb kezdeti behatolási vektor, és ez évek óta nem változik. Ami változott, az a minőség. A régi ismertetőjelek (törött magyarság, nigériai herceg, gyanús feladó) ma már nem működnek szűrőként: a levelek nyelvtanilag hibátlanok, a szervezet valós folyamataira hivatkoznak, és gyakran egy tényleg létező kollégától érkeznek, akinek a fiókját korábban feltörték.

Miért nem elég a "figyeljen a helyesírásra"

Három dolog változott meg alapvetően.

A szöveg minősége. A generatív nyelvi modellek óta a nyelvi hiba mint jel eltűnt. Egy magyar nyelvű, szervezetspecifikus phishing levél előállítása ma perceket vesz igénybe.

A kontextus pontossága. A támadók a nyilvános forrásokból (cégjegyzék, LinkedIn, sajtóközlemények, weboldal) összeállítják, ki kinek jelent, mikor van beszámolási időszak, ki felel a kifizetésekért. A levél ezekre hivatkozik.

A hitelesített feladó. A legveszélyesebb változat, amikor a levél egy valóban kompromittált partnerfiókból érkezik, egy létező levélszálra válaszolva. Ilyenkor a technikai ellenőrzések (SPF, DKIM, DMARC) mind rendben vannak, mert a levél tényleg onnan jött.

A hat leggyakoribb minta

Ezeket érdemes névvel tanítani, mert a névvel ellátott mintát az emberek felismerik.

1. Sürgető hivatali levél. "A fiókja 24 órán belül zárolásra kerül." A sürgetés célja, hogy ne legyen idő gondolkodni.

2. Vezetői utasítás (CEO fraud). Az ügyvezető nevében érkező kérés sürgős utalásra vagy adatküldésre, jellemzően azzal, hogy "most tárgyaláson vagyok, ne hívj". A pénzügyi és HR-terület a célpont.

3. Számlamódosítás. Egy valós szállító nevében érkező értesítés bankszámlaszám-változásról. Ez a legdrágább variáns, mert egyetlen utalás is milliós kár.

4. Megosztott dokumentum. "X megosztott Önnel egy fájlt." A link egy hiteles kinézetű bejelentkező oldalra visz.

5. MFA-fáradtság. Nem levél: a támadónak már megvan a jelszó, és ismételten push-értesítéseket küld, amíg a felhasználó bele nem nyom, hogy abbamaradjon.

6. QR-kód (quishing). A kód képként érkezik, ezért a levélszűrő nem látja benne a linket, és a felhasználó magánmobilon nyitja meg, ahol nincs vállalati védelem.

A legjobb egyetlen kérdés, amit meg lehet tanítani: "kérnek tőlem valamit, amit sürgősen kell csinálni, és ami pénzt vagy hozzáférést érint?" Ha igen, akkor a válasz mindig ugyanaz: ellenőrzés egy másik csatornán. Nem a levélben megadott telefonszámon.

Mit tanítson, és mit ne

Ne azt tanítsa, hogy ne kattintsanak. Ez teljesíthetetlen elvárás, és bűntudatot épít, ami a bejelentést akadályozza. Aki attól fél, hogy leszidják, az nem fogja szólni, hogy kattintott, és pont az az információ vész el, ami a leggyorsabb reagálást tenné lehetővé.

Azt tanítsa, hogy jelentsenek. A cél nem a nulla kattintás, hanem a gyors bejelentés. Egy egygombos "gyanús levél bejelentése" a levelezőben, és egy kultúra, ahol a téves riasztásért is köszönetet mondanak.

Tanítsa a folyamatot, ne a jeleket. A "négy szem elve" utaláshoz, a bankszámla-változás visszaellenőrzése telefonon a szerződésben szereplő számon, a jelszó- és MFA-kérés soha e-mailben. A folyamat akkor is véd, ha a levél tökéletes.

Szerepkör szerint differenciáljon. A pénzügyet a számlacsalás fenyegeti, a HR-t az adatkérés, az IT-t a jogosultság-emelés, a vezetőséget a célzott támadás. Ugyanaz a tananyag mindenkinek pazarlás.

Technikai kontrollok, ami tényleg fog

Az oktatás nem helyettesíti a technikát.

Kontroll Mit fog meg
Phishing-ellenálló MFA (FIDO2) Az ellopott jelszót és a valós idejű proxy-támadást is
DMARC érvényesítéssel (p=reject) A saját domain nevében küldött hamis leveleket
Külső feladó jelölése A vezetői utasítás mintát, ha a feladó kívülről jön
Linkek átírása és futásidejű ellenőrzés A levél kézbesítése után aktivált rosszindulatú linkeket
Csatolmány-elemzés homokozóban A makróval vagy szkripttel fertőzött dokumentumokat
Feltételes hozzáférés Az ismeretlen eszközről vagy szokatlan helyről érkező bejelentkezést

A DMARC külön kiemelendő. Sok szervezetnél be van állítva, de csak megfigyelő módban (p=none), ami semmit nem blokkol. Az érvényesítésre (p=quarantine, majd p=reject) átállás néhány hét munka, és megszünteti azt, hogy bárki a cég nevében küldhessen levelet.

Hogyan mérje

Három mutató, negyedéves szimulációval.

Kattintási arány. A legkézenfekvőbb, de önmagában félrevezető. Egy jól időzített, jól megírt kampányon a legjobb szervezetek is 5-10 százalékot produkálnak.

Bejelentési arány. Ez a fontosabb. Hányan jelentik a gyanús levelet? Ez mutatja, hogy a szervezet aktívan véd, nem csak passzívan nem hibázik. Egészséges cél: a bejelentési arány magasabb legyen, mint a kattintási.

Bejelentésig eltelt idő. Ha az első bejelentés 5 percen belül megérkezik, a biztonsági csapat blokkolhatja a kampányt, mielőtt a többség megnyitja.

A szimuláció akkor hasznos, ha nem büntető jellegű. A kattintáshoz azonnali, rövid, tárgyilagos visszajelzés tartozik, nem a vezetőnek küldött lista.

A leggyakoribb szervezeti hiba

A phishing-védelem gyakran két külön szigeten él: az IT beállítja a szűrőt, a HR megrendeli az éves e-learninget, és a kettő sosem találkozik. Közben a legnagyobb kockázat egy folyamati résben van: nincs négy szem elve az utaláson, vagy a bankszámla-változást senki nem ellenőrzi vissza.

A számlacsalásnál a technika és az oktatás is másodlagos. Ott egyetlen folyamati szabály (bankszámla-változás csak a szerződésben szereplő telefonszámon visszaellenőrizve fogadható el) többet ér, mint bármilyen szűrő.

Ha szeretné felmérni, hol tart a szervezet, a képzési szolgáltatásunk kiindulási méréssel indul, és negyedéves szimulációval követi a javulást. A hitelesítés erősítéséről az MFA típusairól szóló cikkünkben írtunk.

Vissza a Tudástárba
Kapcsolódó tartalom

Kapcsolódó tartalom

Kérdése van a témában?

Szakértőink szívesen átbeszélik, mit jelent mindez az Ön szervezetének környezetében.