A mai phishing már nem a rossz helyesírásról ismerszik meg. Milyen technikák működnek, mit tanítson a munkatársaknak, és milyen technikai kontrollok fogják meg.
Az adathalászat a leggyakoribb kezdeti behatolási vektor, és ez évek óta nem változik. Ami változott, az a minőség. A régi ismertetőjelek (törött magyarság, nigériai herceg, gyanús feladó) ma már nem működnek szűrőként: a levelek nyelvtanilag hibátlanok, a szervezet valós folyamataira hivatkoznak, és gyakran egy tényleg létező kollégától érkeznek, akinek a fiókját korábban feltörték.
Három dolog változott meg alapvetően.
A szöveg minősége. A generatív nyelvi modellek óta a nyelvi hiba mint jel eltűnt. Egy magyar nyelvű, szervezetspecifikus phishing levél előállítása ma perceket vesz igénybe.
A kontextus pontossága. A támadók a nyilvános forrásokból (cégjegyzék, LinkedIn, sajtóközlemények, weboldal) összeállítják, ki kinek jelent, mikor van beszámolási időszak, ki felel a kifizetésekért. A levél ezekre hivatkozik.
A hitelesített feladó. A legveszélyesebb változat, amikor a levél egy valóban kompromittált partnerfiókból érkezik, egy létező levélszálra válaszolva. Ilyenkor a technikai ellenőrzések (SPF, DKIM, DMARC) mind rendben vannak, mert a levél tényleg onnan jött.
Ezeket érdemes névvel tanítani, mert a névvel ellátott mintát az emberek felismerik.
1. Sürgető hivatali levél. "A fiókja 24 órán belül zárolásra kerül." A sürgetés célja, hogy ne legyen idő gondolkodni.
2. Vezetői utasítás (CEO fraud). Az ügyvezető nevében érkező kérés sürgős utalásra vagy adatküldésre, jellemzően azzal, hogy "most tárgyaláson vagyok, ne hívj". A pénzügyi és HR-terület a célpont.
3. Számlamódosítás. Egy valós szállító nevében érkező értesítés bankszámlaszám-változásról. Ez a legdrágább variáns, mert egyetlen utalás is milliós kár.
4. Megosztott dokumentum. "X megosztott Önnel egy fájlt." A link egy hiteles kinézetű bejelentkező oldalra visz.
5. MFA-fáradtság. Nem levél: a támadónak már megvan a jelszó, és ismételten push-értesítéseket küld, amíg a felhasználó bele nem nyom, hogy abbamaradjon.
6. QR-kód (quishing). A kód képként érkezik, ezért a levélszűrő nem látja benne a linket, és a felhasználó magánmobilon nyitja meg, ahol nincs vállalati védelem.
Ne azt tanítsa, hogy ne kattintsanak. Ez teljesíthetetlen elvárás, és bűntudatot épít, ami a bejelentést akadályozza. Aki attól fél, hogy leszidják, az nem fogja szólni, hogy kattintott, és pont az az információ vész el, ami a leggyorsabb reagálást tenné lehetővé.
Azt tanítsa, hogy jelentsenek. A cél nem a nulla kattintás, hanem a gyors bejelentés. Egy egygombos "gyanús levél bejelentése" a levelezőben, és egy kultúra, ahol a téves riasztásért is köszönetet mondanak.
Tanítsa a folyamatot, ne a jeleket. A "négy szem elve" utaláshoz, a bankszámla-változás visszaellenőrzése telefonon a szerződésben szereplő számon, a jelszó- és MFA-kérés soha e-mailben. A folyamat akkor is véd, ha a levél tökéletes.
Szerepkör szerint differenciáljon. A pénzügyet a számlacsalás fenyegeti, a HR-t az adatkérés, az IT-t a jogosultság-emelés, a vezetőséget a célzott támadás. Ugyanaz a tananyag mindenkinek pazarlás.
Az oktatás nem helyettesíti a technikát.
| Kontroll | Mit fog meg |
|---|---|
| Phishing-ellenálló MFA (FIDO2) | Az ellopott jelszót és a valós idejű proxy-támadást is |
| DMARC érvényesítéssel (p=reject) | A saját domain nevében küldött hamis leveleket |
| Külső feladó jelölése | A vezetői utasítás mintát, ha a feladó kívülről jön |
| Linkek átírása és futásidejű ellenőrzés | A levél kézbesítése után aktivált rosszindulatú linkeket |
| Csatolmány-elemzés homokozóban | A makróval vagy szkripttel fertőzött dokumentumokat |
| Feltételes hozzáférés | Az ismeretlen eszközről vagy szokatlan helyről érkező bejelentkezést |
A DMARC külön kiemelendő. Sok szervezetnél be van állítva, de csak megfigyelő módban (p=none), ami semmit nem blokkol. Az érvényesítésre (p=quarantine, majd p=reject) átállás néhány hét munka, és megszünteti azt, hogy bárki a cég nevében küldhessen levelet.
Három mutató, negyedéves szimulációval.
Kattintási arány. A legkézenfekvőbb, de önmagában félrevezető. Egy jól időzített, jól megírt kampányon a legjobb szervezetek is 5-10 százalékot produkálnak.
Bejelentési arány. Ez a fontosabb. Hányan jelentik a gyanús levelet? Ez mutatja, hogy a szervezet aktívan véd, nem csak passzívan nem hibázik. Egészséges cél: a bejelentési arány magasabb legyen, mint a kattintási.
Bejelentésig eltelt idő. Ha az első bejelentés 5 percen belül megérkezik, a biztonsági csapat blokkolhatja a kampányt, mielőtt a többség megnyitja.
A szimuláció akkor hasznos, ha nem büntető jellegű. A kattintáshoz azonnali, rövid, tárgyilagos visszajelzés tartozik, nem a vezetőnek küldött lista.
A phishing-védelem gyakran két külön szigeten él: az IT beállítja a szűrőt, a HR megrendeli az éves e-learninget, és a kettő sosem találkozik. Közben a legnagyobb kockázat egy folyamati résben van: nincs négy szem elve az utaláson, vagy a bankszámla-változást senki nem ellenőrzi vissza.
A számlacsalásnál a technika és az oktatás is másodlagos. Ott egyetlen folyamati szabály (bankszámla-változás csak a szerződésben szereplő telefonszámon visszaellenőrizve fogadható el) többet ér, mint bármilyen szűrő.
Ha szeretné felmérni, hol tart a szervezet, a képzési szolgáltatásunk kiindulási méréssel indul, és negyedéves szimulációval követi a javulást. A hitelesítés erősítéséről az MFA típusairól szóló cikkünkben írtunk.
Kiberbiztonsági képzési és tudatosítási programok szervezetek számára, technikai mélybúvárlattól vezetői…
SMS, alkalmazás-kód, push, hardveres kulcs: mit véd meg és mit nem az egyes módszer, hol kezdje a…
Hogyan zajlik egy mai zsarolóvírus-támadás, mely kontrollok állítják meg ténylegesen, és mit kell tenni az…
Szakértőink szívesen átbeszélik, mit jelent mindez az Ön szervezetének környezetében.