Jak prosty błąd pracownika może prowadzić do cyberataku? Odkryj najczęstsze pułapki!
W ostatnich miesiącach obserwujemy wzrost ataków cybernetycznych na firmy, urzędy oraz osoby prywatne. W tym roku doszło do jednego z największych wycieków danych w historii polskiego Internetu[1] obejmującego ponad milion unikalnych rekordów z loginami i hasłami do różnych stron, w tym portali społecznościowych czy aukcyjnych. Szczegóły wycieku zaskakiwały nie tylko co do jego skali, ale łatwości z jaką można uzyskać dostęp do tych danych. Eksperci z krakowskiej firmy Axence, tłumaczą jak bronić się przed atakami i przede wszystkim jak skutecznie edukować pracowników.
Ile kosztują moje dane?
Dane pozyskane z ataków bardzo często są przedmiotem obrotu w tzw. darknecie, czyli części Internetu (sieci TOR) dostępnej tylko za pośrednictwem specjalnych przeglądarek. Na owianych złą sławą forach internetowych publikowane są często bezpłatnie zbiory danych lub informacji, które mają być przedmiotem szantażu lub demonstracji możliwości atakującego.
Przestępcy masowo handlują danymi pozyskanymi z ataków – tłumaczy Robert Posłajko, z firmy Axence, dostarczającej rozwiązania z zakresu cyberbezpieczeństwa – W darknecie możemy znaleźć własne dane osobowe, w tym dane dowodu osobistego lub kart kredytowych. Przykładowo pozyskane w wyniku ataków dane kont bankowych z danymi właściciela i informacją o stanie środków przestępcy mogą uzyskać już od kilku złotych za wpis. Analogicznie łatwo dostępne są informacje dotyczące transakcji z portali aukcyjnych. Za kilkadziesiąt złotych możemy uzyskać dane osoby z urzędowego rejestru dowodów osobistych. Ilość danych będących przedmiotem obrotu sięga setek tysięcy. Dotyczy to naszych danych osobistych, firmowych oraz urzędowych.
Ciągłość biznesu zagrożona
Ataki cybernetyczne stają się poważnym zagrożeniem dla firm i instytucji, których ciągłość działania jest zagrożona. Raport „Barometr cyberbezpieczeństwa” wskazuje, iż 70% firm w Polsce potwierdziło próbę lub skuteczną ingerencję w bezpieczeństwo danych w 2022 r.[2]
Ataki kończą się często zatrzymaniem działania firmy lub zaszyfrowaniem cennych danych. W efekcie, przestępcy domagają się wielotysięcznych lub milionowych okupów za odszyfrowanie danych oraz niejednokrotnie żądają też pieniędzy za niepublikowanie uzyskanych, poufnych dokumentów. Niezwykle groźny jest brak świadomości biznesu, iż intruzi mogą być długotrwale obecni w ich sieci komputerowej. Przeciętnie od momentu wtargnięcia hakera do firmowej infrastruktury do dnia zaszyfrowania danych mija kilka miesięcy, które przestępcy wykorzystują na szczegółową analizę i wykorzystanie słabości naszych narzędzi obrony.
Jak dochodzi do ataków?
Pomimo istnienia coraz bardziej zaawansowanych narzędzi cyfrowych po stronie atakujących jak i działów IT, najczęściej stosowane metody ataków opierają się na wykorzystaniu prostych błędów użytkowników. Groźne linki i załączniki w mailach, czy fałszywe strony internetowe to skuteczne i przede wszystkim tanie w zastosowaniu rozwiązania, dostępne dla przestępców bez wybitnych umiejętności programistycznych. Jedno kliknięcie nieuświadomionego pracownika może spowodować wielomilionowe straty. Przekonały się o tym setki firm i instytucji. Phishing polegający na próbie wyłudzenia informacji i podszywaniu się pod zaufaną osobę lub instytucję pozostaje najpopularniejszym wektorem ataków. Wykorzystywanie przez przestępców socjotechniki, czyli słabości lub niewiedza pracowników, to skuteczna metoda, która pozwala omijać nawet najbardziej zaawansowanie systemy bezpieczeństwa IT.
Nieprzygotowani użytkownicy często nieświadomie pozwalają intruzom wtargnąć do swoich prywatnych lub służbowych zasobów. Do powszechnych błędów pracowników zaliczyć można korzystanie z jednego hasła do wszystkich kont, łączenie się z nieautoryzowanymi sieciami WiFi, czy nieweryfikowanie nadawcy wiadomości e-mail.
Edukacja w zakresie bezpiecznej pracy w Internecie staje się niezbędnym elementem architektury bezpieczeństwa. Konieczność uświadamiania pracowników i nauka cyberbezpieczeństwa wprowadzają liczne normy tj. ISO27001 czy regulacje sektorowe jak Krajowe Ramy Inter operacyjności, czy Ustawa o Krajowym Systemie Cyberbezpieczeństwa. W ostatnim czasie również uruchamiane są znaczne środki z funduszy europejskich, których celem jest dofinansowanie szkoleń czy zakup platform do cyfrowej edukacji pracowników[3].
Aby zapewnić najwyższy poziom ochrony firmy i instytucji, wiedzę o bezpiecznej pracy w Internecie muszą posiadać nie tylko specjaliści IT i bezpieczeństwa. W cyfrowym świecie każdy pracownik powinienem mieć przeszkolenie z zasad cyfrowego bezpieczeństwa. W czasach rozwoju przemysłu wprowadzone zostały zasady i szkolenia BHP. Dziś nasza gospodarka jest w pełni cyfrowa i musimy szkolić pracowników z cyberhigieny. – tłumaczy Robert Posłajko z Axence - W odpowiedzi na tę potrzebę wprowadziliśmy na rynek dostosowaną do polskiej specyfiki platformę cyberbezpieczeństwa Axence SecureTeam®, która zawiera szkolenia i testy dla pracowników. Dostarczając wiedzę i umiejętności dla użytkowników w przystępnej formie będziemy mogli zapewnić klientom jeszcze wyższy poziom bezpieczeństwa i sprawności IT.
W odróżnieniu od standardowych szkoleń, rozwiązania z kategorii security awareness oferują firmom znacznie szerszy wachlarz możliwości i narzędzi dla edukacji pracowników tj. dostosowanie tempa nauki do potrzeb organizacji, wysyłanie monitów o konieczności realizacji programu szkoleniowego, aktualne informacje o najnowszych zagrożeniach i sposobach ataków, statystyki i raporty wskazujące osoby i zespoły najbardziej podatne na ataki.
Axence SecureTeam pozwala pracownikom nabywać niezbędne umiejętności do bezpiecznego poruszania się w cyfrowym świecie. Kształcenie przez profesjonalną platformę jest dużo bardziej efektywne niż zwykłe szkolenia lub webinaria. – wyjaśnia Robert Posłajko z Axence – Axence SecureTeam pozwala na regularną, konsekwentną naukę – bez problemów związanych z absencją w dniu szkolenia lub niedostateczną koncentracją. Menedżerowie zyskują możliwość oceniania zaangażowania i poziomu świadomości w organizacji. Działy IT mogą łatwo zidentyfikować luki w wiedzy i złe nawyki, a w następstwie szybko wdrożyć procedury naprawcze.
Niezwykle ważnym elementem w procesie kształcenia jest zaangażowanie uczących się użytkowników i przełożenie wiedzy na praktykę. Platforma musi być wygodna dla użytkowników, zachęcać i motywować do korzystania. Dodatkowo, nasze materiały szkoleniowe opowiadają o zagrożeniach i dobrych praktykach w ciekawy i angażujący sposób. Każdą lekcję wieńczy praktyczne zadanie możliwe do realizacji przez użytkowników. Wykonanie już tych kilku kroków zwiększy znacząco poziom bezpieczeństwa – dodaje Robert Posłajko – Niezwykle ważne było dla nas stworzenie materiałów dostosowanych do polskich realiów i omawiających typowe dla naszego kraju rodzaje ataków i sposoby reagowania.
Axence SecureTeam® jest uzupełnieniem portfolio krakowskiej firmy. Od 18 lat producent dostarcza rozwiązania wspierające działy IT w monitorowaniu sieci, zarządzaniu zasobami IT, wspieraniu użytkowników oraz ochronie cennych danych. Flagowy produkt, Axence nVision® jest wykorzystywany przez tysiące klientów na całym świecie.
Zainteresowani wypróbowaniem Axence SecureTeam® mogą założyć bezpłatne konto testowe na stronie axence.net/secureteam, które pozwala na dostęp do 5 lekcji na 30 dni dla administratora i 3 dodatkowych użytkowników.
[1] https://www.gov.pl/web/baza-wiedzy/duzy-wyciek-danych-logowania-polskich-internautow
[2] KPMG w Polsce edycja 2023 pt. „Barometr cyberbezpieczeństwa. Detekcja i reakcja na zagrożenia w czasie podwyższonego alertu”
[3] https://www.gov.pl/web/cppc/cyberbezpieczny-samorzad
