ServiceHUB: Nejslabší článek firemní bezpečnosti nesedí v serverovně, ale za klávesnicí

ServiceHUB: Nejslabší článek firemní bezpečnosti nesedí v serverovně, ale za klávesnicí 

• Nejslabší článek firemní bezpečnosti nesedí v serverovně. Sedí u klávesnice a zrovna čte e-maily

Seznamte se s paní Janou z finančního oddělení. Pečlivějšího člověka ve firmě nenajdete. Pravidla dodržuje do puntíku, heslo nemá nalepené na monitoru a na podezřelý odkaz by neklikla ani omylem. Přesto minulé úterý otevřela hackerům dveře do firemní sítě. Dokořán.

Stačil k tomu jeden e-mail. „Aktualizace benefitního systému – nutné potvrzení do 24 hodin“

Odesílatel: HR oddělení. Logo firmy sedělo, patička HR ředitelky taky, a dokonce i ten přátelský tón, na který je Jana zvyklá. Odkaz vedl na stránku, která vypadala na chlup stejně jako firemní intranet. Chtěla jen maličkost: přihlašovací údaje k Office 365.

Jana je zadala. A útočník si právě odnesl klíče k firemním datům. Říkáte si, máme MFA, jsme v klidu... Naše zkušenost ale hovoří opačně - needukovaný uživatel je schopný MFA potvrdit i útočníkovi.

• Tohle není scénář z Netflixu

Takhle vypadá obyčejné úterý v mnoha českých firmách. A ukazuje nepříjemnou pravdu: můžete mít nejdražší bezpečnostní systémy na trhu, ale jakmile útočník přemluví člověka, aby mu otevřel, nejlepší zámek na světě vám nepomůže.

Potvrzují to i čísla. Výroční zprávy Evropské agentury pro kybernetickou bezpečnost (ENISA) dlouhodobě ukazují, že phishing a sociální inženýrství zůstávají dominantní cestou, kudy se útočníci do firem dostávají. Důvod je prostý: hacknout člověka je rychlejší, levnější a pohodlnější než prolamovat moderní IT infrastrukturu.

• Otestujte své lidi dřív, než to udělá někdo jiný

Spousta firem žije v klidu: „Máme kvalitní ochranu e-mailů, jsme v suchu“.  Naše řízená phishingová kampaň ale netestuje filtry, testuje lidi. Zajímá nás, jestli se vaši kolegové nechají přemluvit k otevření nebezpečné přílohy nebo k zadání hesla na podvržené stránce. Tedy přesně to, na co sázejí skuteční útočníci.

• Jak to probíhá? Hrajeme si na útočníka, ale na vaší straně

Žádný hromadný „fake“ e-mail poslaný naslepo. Simulujeme skutečný cílený útok, tzv. spear-phishing, a postaráme se o kompletní projektové řízení. Základem je důkladná příprava:

1. Průzkum (OSINT): Po úvodní konzultaci zjistíme, co se o vaší firmě dá vyčíst z veřejných zdrojů. Přesně jako skutečný útočník, jen s lepšími úmysly.
2. Scénář na míru: Vyžádáme si seznam testovaných uživatelů a vzory vašich e-mailových podpisů.
3. Dokonalá iluze: Zaregistrujeme podvodnou doménu, vyladíme phishingové e-maily a postavíme podvržený web, který by napálil i ostříleného kolegu.
4. Ruku v ruce s vaším IT: Společně otestujeme doručování a ověříme, že odkazy fungují.

Samotná kampaň běží zhruba týden. Pak přijde ta nejzajímavější část: podrobné vyhodnocení, závěrečná zpráva a konzultace s odborníkem.

• A co když vaši lidé naletí?

Klid, v tom vás nenecháme. Najít slabé místo je první krok, opravit ho je ten druhý. Na výsledky kampaně můžeme rovnou navázat školením Základy kybernetické bezpečnosti. Nepovede ho teoretik od tabule, ale zkušený odborník ze společnosti DNS, který ví, jak útoky vypadají v praxi. Vaši lidé se tak naučí poznat podvod dřív, než na něj kliknou.

Prakticky: Službu dodáváme kompletně na dálku po celé ČR, v pracovní dny od 8 do 17 hodin. Vede ji konzultant s více než pětiletou praxí.

Nenechávejte bezpečnost firmy náhodě. Prověřte svůj lidský firewall dřív, než to za vás udělá někdo s horšími úmysly.

Objevte naše bezpečnostní služby ServiceHUB  - Služby | Marketplace DNS

Rádi s vámi probereme možnosti:

Jan Beneš - Consultant | Team Leader

janbenes@dns.cz | www.dns.cz