ملحوظة المحرر: لقد زاد عدد الجرائم الإلكترونية المبنية على تقنيات الهندسة الاجتماعية في عصر العمليات عن بعد. يقدم Uladzislau أمثلة حقيقية لهجمات التصيد الاحتيالي التي تمت محاكاتها بواسطة خبراء الأمان في ScienceSoft لتقييم مستوى الوعي لدى موظفي عملائنا وتحديد أفضل الممارسات لدينا لمنعها. وإذا كنت مهتمًا بإجراء فحص مماثل لمستوى أمان شركتك، فلا تتردد في التفكير في موقعنا خدمات تقييم الضعف.
في بعض الأحيان، تولي الشركات التي لديها أنظمة أمنية فعالة اهتمامًا أقل لتهديدات الأمن السيبراني المرتبطة بالعامل البشري. ومع ذلك، لا يمكن برمجة الشخص للرد على تهديدات الهندسة الاجتماعية بطريقة محددة مسبقًا، وهي فرصة جيدة للمحتالين الموجهين لتحقيق النتائج. أدناه، أصف العديد من هجمات التصيد الاحتيالي الفعلية، والتي قد لا تبدو خطيرة للغاية حتى تكتشف عدد الأشخاص الذين ابتلعوا الطعم. تابع القراءة لتظل حذرًا وتعرف على نصائحنا العلاجية.
ما هو التصيد على أي حال؟
التصيد الاحتيالي هو أحد أشكال الاحتيال عبر الهندسة الاجتماعية حيث يرسل المهاجمون بريدًا إلكترونيًا نيابة عن خدمة أو شخص مألوف للمستلم. تشجع رسائل البريد الإلكتروني هذه المستخدمين على إدخال بيانات الترخيص الخاصة بهم، أو النقر فوق رابط يقوم بتثبيت برامج ضارة أو تقديم معلومات حساسة من شأنها أن تساعد المهاجمين على بناء ناقل هجوم إضافي.
في الوقت الحالي، تستهدف غالبية هجمات التصيد الاحتيالي في العالم المؤسسات، وليس الأفراد. علاوة على ذلك، وفقا ل تقرير التحقيقات في خرق بيانات Verizon، 90% من الحوادث الأمنية وانتهاكات البيانات التي تواجهها الشركات تنطوي على التصيد الاحتيالي.
عادة ما تؤدي مثل هذه الهجمات على مؤسسة سيئة الإعداد إلى خسائر مالية خطيرة وخسارة في السمعة، فضلاً عن انخفاض ثقة العملاء.
أمثلة لمحاكاة التصيد الاحتيالي الفعلية
الصورة تساوي ألف كلمة، لذا اسمحوا لي أن أعرض هجومي تصيد نفذهما فريق الأمن السيبراني في ScienceSoft لمؤسسة كبيرة تعمل مع مجموعة كبيرة من المعلومات الخاصة.
الحالة 1. طلب التصيد للتسجيل في نظام خارجي
لقد حصلنا على العديد من عناوين البريد الإلكتروني لممثلي الإدارة المالية لعملائنا وأرسلنا إليهم رسائل بريد إلكتروني تصيدية موقعة بعنوان الشركة. قدمنا في رسائل البريد الإلكتروني نظامًا جديدًا لإعداد التقارير المالية وذكرنا الحاجة إلى التسجيل الإلزامي فيه.
واسترشادًا بالتعليمات، تمت دعوتهم إلى اتباع الرابط إلى موقع الويب الذي أنشأناه خصيصًا وتسجيل الدخول باستخدام بيانات الوصول إلى البريد الإلكتروني الخاص بشركتهم.
نتيجة لهذا الهجوم، نقر 75% من المستلمين على الرابط الخبيث المشار إليه في البريد الإلكتروني، وأدخل 20% منهم بيانات الترخيص الخاصة بهم، مما منحنا (المهاجمين المحتملين) إمكانية الوصول إلى البريد الإلكتروني والمراسلات الخاصة بشركتهم.
الحالة 2. هجوم التصيد يقترح حل المشكلات الفنية.
في هذه الحالة، قمنا بعمل نسخة طبق الأصل من صفحة تسجيل الدخول عبر البريد الإلكتروني للشركة.
ثم أرسلنا رسائل بريد إلكتروني إلى الموظفين تفيد بحاجتهم إلى إعادة تحميل مساحة تخزين صندوق البريد في أقرب وقت ممكن من خلال النقر على الرابط الخاص بنا لإعادة التفويض.
ونتيجة لذلك، زودنا حوالي 10% من المستلمين ببياناتهم الشخصية.
وبناء على تلك النتائج “الناجحة”، اقترحنا تعديلات على نظام إدارة الوصول للعميل، وعقدنا دورات تدريبية للموظفين وأشارنا إلى الجوانب التي يجب مراعاتها عند التعامل مع المراسلات الواردة.
تابع القراءة للحصول على بعض التقنيات المفيدة لمكافحة التصيد الاحتيالي من ScienceSoft.
إذًا، كيف يمكن مقاومة التصيد الاحتيالي؟
أود أن أسلط الضوء على أن مجرمي الإنترنت يعدون هجماتهم بعناية ويدرسون المعلومات المتعلقة بالشركة وموظفيها حتى لا تبدو رسائل البريد الإلكتروني مشبوهة. ولهذا، يلتزم المهاجمون بعدة قواعد:
- ينبغي لمرسل هذه الرسالة الإلكترونية التصيدية أن يلهم الثقة.
- يجب أن يحتوي البريد الإلكتروني على حقائق موثوقة.
- يجب أن يكون الطلب في البريد الإلكتروني منطقيًا ويخاطب شخصًا محددًا أو مجموعة من الأشخاص.
في مثل هذه الظروف، لكي تتمكن من مقاومة هجمات التصيد الاحتيالي ضد شركتك بنجاح، أنصحك باتباع بعض التوصيات المثبتة جيدًا أدناه.
بالإضافة إلى محاكاة التصيد الاحتيالي، يجب أن تتضمن إجراءات مكافحة التصيد الاحتيالي للمؤسسة ما يلي:
- مقدمة للتفويض الثنائي. المصادقة الثنائية هي مستوى أمان إضافي، حيث يجب على المستخدم تقديم دليل مصادقة إضافي للوصول، على سبيل المثال، رمز لمرة واحدة يتم إرساله عبر رسالة إلى الهاتف الخلوي الخاص بالمستخدم عن طريق نظام تسجيل الدخول.
- سياسة كلمة المرور الصارمة. منع استخدام كلمة مرور واحدة لتطبيقات متعددة.
- التدريب على مكافحة التصيد الاحتيالي لموظفيك. قم بتنظيم تدريب على مكافحة التصيد الاحتيالي لتثقيف موظفيك حول كيفية التعرف على رسائل البريد الإلكتروني التصيدية ومكان الإبلاغ عنها.
للمستخدمين:
- تحقق من مصدر كل بريد إلكتروني تتلقاه. قد تحتوي بعض رسائل البريد الإلكتروني الضارة على عنوان صادر يشبه العناوين الشائعة أو الموثوقة، ولكن بعد إلقاء نظرة فاحصة، قد تلاحظ أخطاء تهدف إلى إخفاء الاحتيال.
- لا تقم بمتابعة أي موقع عبر رابط مباشر في البريد الإلكتروني. قم بالمرور وتحقق مما إذا كان عنوان URL للرابط يرتبط بطريقة أو بأخرى بالمرسل المزعوم أو محتويات البريد الإلكتروني. حتى إذا كان الرابط لا يثير شكوكك، فتجنب النقر عليه – اكتب الرابط في سطر العنوان في متصفحك بدلاً من ذلك: قد تحتوي الروابط الضارة على نصوص برمجية قابلة للتنفيذ ولا ترغب مطلقًا في تنشيطها.
في حالة الطوارئ، اطلب S للأمان
يستخدم المهاجمون ممارسات خفية للتسلل إلى نظامك. يقومون بتجميع بيانات الشركة بالإضافة إلى البيانات الشخصية لموظفيك لارتكاب هجمات تصيد ناجحة تتسبب في أضرار جسيمة لشركتك من خلال الكشف عن المعلومات السرية والابتزاز وفقدان البيانات وما إلى ذلك. ولهذا السبب فإننا في ScienceSoft نعطي الأولوية دائمًا للممارسات الوقائية على التدابير التفاعلية فيما يتعلق بما يتعلق بتهديدات الهندسة الاجتماعية. كن مرحبًا بك اتصل بنا لإجراء تقييم شامل للهندسة الاجتماعية لمؤسستك.
هل يمكن التلاعب بموظفيك بسهولة لخرق القواعد الأمنية؟ نحن نحاكي تقنيات المتسللين الواقعية لتقييم قدرة موظفيك على مقاومة رسائل البريد الإلكتروني والمكالمات الضارة.
