E-mail od kolegu neobsahuje žiadne pravopisné chyby. Používa jeho bežný spôsob komunikácie a odkazuje na projekt, na ktorom skutočne pracujete. Žiadosť je naliehavá, ale nie nezvyčajná. Stačí sa prihlásiť, otvoriť dokument alebo potvrdiť platbu. Presne tak môže vyzerať phishing v ére umelej inteligencie.
Útočníci už nemusia pripravovať každú správu ručne ani dokonale ovládať jazyk svojej obete. Pomocou AI môžu rýchlejšie vytvárať presvedčivé texty, prispôsobovať ich konkrétnym ľuďom a produkovať veľké množstvo rôznych verzií.
Phishing zostáva starou známou hrozbou. Mení sa však rýchlosť, rozsah a kvalita, s akou ho dokážu útočníci používať.
Najčastejšia príčina incidentov sa nestratila
Podľa prieskumu Bezpečnosť slovenských firiem v ére AI od spoločnosti ESET boli phishingové kampane najčastejšou príčinou bezpečnostných incidentov v slovenských organizáciách. Uviedlo ich 28 % firiem, ktoré incident zaznamenali. Za phishingom nasledovali slabé heslá, zastarané systémy a stratené alebo odcudzené nechránené zariadenia.
Výsledky prieskumu zároveň ukazujú, že firmy nepovažujú ľudský faktor za okrajový problém. Nedostatočnú informovanosť zamestnancov a málo školení označilo za najväčšiu výzvu v oblasti kybernetickej bezpečnosti až 30 % respondentov. Táto odpoveď predbehla dokonca aj rozpočtové obmedzenia.
Technológia teda dokáže zachytiť množstvo škodlivých správ, no medzi útočníkom a firemnými údajmi môže v rozhodujúcom momente stáť človek. Jeho reakcia závisí aj od toho, či ho firma na takúto situáciu pripravila.
Školenia považujeme za dôležité. Robíme ich však dostatočne?
Tri štvrtiny oslovených firiem označili školenia a budovanie povedomia za veľmi dôležité alebo kľúčové pri prevencii útokov. Iba jedno percento ich nepovažuje za dôležité.
Postoj firiem je teda pomerne jednoznačný. V praxi však viac než polovica organizácií školí zamestnancov iba raz ročne. Približne každá jedenásta firma nerobí školenia vôbec.
Raz ročne môže byť postačujúca frekvencia na splnenie formálnej požiadavky. Hrozby sa však nemenia podľa kalendára školení.
Zamestnanec sa môže počas roka stretnúť s falošnou faktúrou, podvodným obnovením hesla, žiadosťou o zmenu čísla účtu, škodlivou prílohou, QR kódom vedúcim na falošnú prihlasovaciu stránku alebo hlasovou či obrazovou nahrávkou napodobňujúcou konkrétneho človeka.
Ak si zo školenia pamätá iba to, že nemá klikať na podozrivé odkazy, v praxi mu to nemusí stačiť. Moderný phishing je úspešný práve vtedy, keď podozrivo nepôsobí.
Útočníci neútočia iba na nepozornosť
Phishing sa niekedy vysvetľuje ako problém neopatrných zamestnancov. Takýto pohľad je príliš zjednodušený a zároveň nepomáha budovať bezpečnejšie prostredie.
Útočníci cielene využívajú okolnosti, v ktorých ľudia robia rýchle rozhodnutia. Spoliehajú sa na autoritu vedenia, časový tlak, obavu z následkov, zvedavosť alebo ochotu pomôcť kolegovi.
Falošná požiadavka môže prísť v čase uzávierky, počas pracovnej cesty nadriadeného alebo tesne pred koncom pracovného dňa. Môže nadväzovať na verejne dostupné informácie o firme, jej dodávateľoch či zamestnancoch.
Chyba preto nemusí znamenať, že pracovník je nezodpovedný. Môže znamenať, že firma od človeka očakáva správne rozhodnutie v situácii, na ktorú ho prakticky nepripravila.
Zmyslom školení by nemalo byť presúvať zodpovednosť za bezpečnosť na zamestnancov. Ich úlohou je dať ľuďom nástroje na rozpoznanie rizika a istotu, že podozrivú situáciu môžu jednoducho nahlásiť.
Rozhoduje spôsob, nie iba existencia školenia
Viac než polovica slovenských organizácií poskytuje zamestnancom iba základný tréning na budovanie povedomia. Do kvalitnejších programov vrátane simulácií phishingu investuje približne štvrtina firiem.
Rozdiel medzi formálnym a účinným školením pritom nemusí spočívať v jeho dĺžke. Kratší, pravidelne aktualizovaný obsah môže byť užitočnejší než rozsiahla prezentácia, ktorú zamestnanec absolvuje raz za rok.
Dobré školenie by malo:
- pracovať so situáciami, ktoré ľudia skutočne zažívajú,
- zohľadňovať pracovnú rolu zamestnanca,
- vysvetľovať nové formy podvodov,
- ponúknuť jasný postup pri podozrení,
- pravidelne si overovať, čomu ľudia rozumejú,
- podporovať nahlasovanie bez obavy z potrestania.
Iným útokom čelí účtovník schvaľujúci platby, iným pracovník zákazníckej podpory a iným administrátor s prístupom k systémom. Všetkým preto nemusí stačiť rovnaký obsah.
Phishingová simulácia nie je skúška zo šikovnosti
Jedným zo spôsobov, ako preveriť pripravenosť organizácie, je simulovaný phishing. Zamestnancom príde bezpečne pripravená testovacia správa, ktorá napodobňuje niektorý z reálnych scenárov.
Cieľom nemá byť zostaviť zoznam ľudí, ktorí sa nechali nachytať. Simulácia má firme poskytnúť odpovede na dôležitejšie otázky:
- Ktoré prvky podvodu ľudia prehliadajú?
- Ktoré scenáre sú pre naše prostredie najrizikovejšie?
- Vedia zamestnanci, ako správu nahlásiť?
- Dostane sa hlásenie včas k správnemu človeku?
- Dokáže firma na viacero podobných hlásení rýchlo zareagovať?
- Aké témy treba lepšie vysvetliť?
Ak sa simulácia používa na zahanbenie pracovníkov, môže vytvoriť opačný efekt. Človek, ktorý sa obáva reakcie, pravdepodobne nebude chcieť priznať, že na podozrivý odkaz klikol. Bezpečnostný tím sa tak o možnom incidente dozvie neskôr.
Rýchle priznanie chyby môže byť pre ochranu firmy oveľa dôležitejšie než predstava, že žiadna chyba nikdy nenastane.
Meniť prístup až po incidente je neskoro
Prieskum Bezpečnosť slovenských firiem v ére AI ukazuje, že firmy, ktoré zažili viacero bezpečnostných incidentov, pristupujú ku školeniam vážnejšie. Všetci respondenti z tejto skupiny ich považovali za významné a takmer tri štvrtiny za kľúčové.
Skúsenosť s útokom dokáže veľmi rýchlo ukázať hodnotu pripraveného zamestnanca. Firma však nemusí čakať na skutočný incident, aby zistila, že jej školenia boli príliš všeobecné alebo zriedkavé.
Prvým krokom môže byť jednoduché preverenie súčasného programu:
- Obsahuje aktuálne príklady útokov?
- Opakuje sa v primeraných intervaloch?
- Zohľadňuje rôzne pracovné pozície?
- Overuje firma pripravenosť aj prakticky?
- Vedia zamestnanci rýchlo nahlásiť podozrivú situáciu?
- Dostávajú po školení zrozumiteľnú spätnú väzbu?
- Používa organizácia výsledky na ďalšie zlepšovanie?
Ak firma na väčšinu otázok nevie odpovedať, školenie môže plniť povinnosť, ale nie svoju skutočnú funkciu.
Zamestnanec môže útok zastaviť
Ľudia sa často označujú za najslabší článok bezpečnosti. Vhodnejšie je vnímať ich ako jednu z vrstiev ochrany.
Zamestnanec si nemusí byť istý, či ide o útok. Potrebuje však vedieť rozpoznať varovný signál, prerušiť automatickú reakciu a obrátiť sa na niekoho, kto situáciu preverí.
Úspech preto nespočíva v tom, že každý pracovník bude odborníkom na kybernetickú bezpečnosť. Úspechom je prostredie, v ktorom ľudia poznajú základné riziká, dokážu spomaliť pri nezvyčajnej požiadavke a bez zbytočných prekážok ju nahlásia.
Technológie môžu blokovať podozrivé správy. Procesy môžu vyžadovať dodatočné overenie platieb alebo zmien údajov. Dobre pripravený zamestnanec pridáva ďalšiu vrstvu, ktorá môže zachytiť to, čo predchádzajúce opatrenia prehliadli.
Ako pripravené sú slovenské firmy?
Ako často organizácie školia zamestnancov, koľko z nich využíva simulácie a ako sa ich prístup mení po skúsenosti s incidentom?
Odpovede na tieto a mnohé ďalšie otázky nájdete v prieskume Bezpečnosť slovenských firiem v ére AI.
