Утечка данных – ЧП для любого вида бизнеса. Однако принято считать, что информацию можно ранжировать по «уровню чувствительности». И, например, похищенный список почтовых адресов работников не так страшен, как украденная база клиентов. Но так ли это на самом деле?
Конечно, в процессе разработки стратегии по защите информационного периметра стоит отталкиваться от принципа приоритетности рисков. Тем не менее, оставляя часть данных «за бортом», руководитель обрекает свой бизнес на незавидную участь жертвы.
Специалисты по безопасности утверждают: информация – не сферический конь в вакууме, который существует сам по себе. И даже безобидный, на первый взгляд, почтовый адрес работника может в будущем стать триггером серьезного инцидента. Все дело в том, что злоумышленники понимают: совершить громкий взлом «с наскока» вряд ли получится. Для этого необходимы значительные финансовые, технические и человеческие ресурсы. Поэтому, вместо того, чтобы бросаться с шашкой на амбразуру, они предпочитают долгосрочное планирование, по крупицам собирая нужные данные.
Стратегия достаточно проста и, при этом, эффективна. Хакеры берут любую новую информацию, которую добывают, и объединяют ее с уже имеющимися базами. Например, в одном наборе у них может быть файл со списком сотрудников, в другом – контактная информация, а в третьем – профили в социальных сетях.
По отдельности каждая из этих баз не представляет особой ценности, но объединив их злоумышленник получит детальный профиль работника организации. Который, в дальнейшем, может быть использован для фишинговой атаки или взлома с помощью социальной инженерии.
Нередки случаи, когда в зоне интересов киберпреступников оказывается сразу несколько предприятий. Выбрав компанию-жертву, хакеры начинают анализировать ее клиентов, поставщиков и партнеров, пытаясь стащить у каждого из них по маленькому кусочку ценных данных. В первую очередь интерес представляет самая безобидная информация – имена, должности и электронная почта. Но именно эти данные позволяют смоделировать иерархию в организации, на которую затем будет совершено нападение.
Такой набор представляет огромную ценность при подготовке фишинговой атаки. Ведь злоумышленникам не нужно, чтобы все работники компании открыли опасное письмо. Гораздо большее значение имеет «качество» послания, которое и определяет конечную конверсию – переход по ссылке или запуск вложения. А для этого важно, чтобы сообщение было персонализированным и отвечало роду деятельности сотрудника. Например, бухгалтер, скорее всего, посмотрит архив с закрывающими документами, полученными от знакомой компании. А менеджер по продажам, регулярно публикующий в своих соцсетях новости о любимой футбольной команде, не удержится и перейдёт по ссылке на новость о предстоящем матче.
Для злоумышленников информация – это пазл, который нужно собрать. И начинается решение головоломки отнюдь не с номеров банковских карт или с учетных данных входа в хранилище на сервере. Первый шаг – кража данных с низким уровнем конфиденциальности, которые со временем обрастут дополнительными деталями и станут тем самым ключом, который поможет осуществить взлом.
Конечно, далеко не все вредители извне обладают ресурсами, позволяющими пройти весь путь от начала и до конца. Поэтому на выручку им приходит даркнет: именно там они продают собранные из открытых источников данные матерым хищникам.
Отгородиться от проблемы «великой стеной» не получится. Современные реалии таковы: множество информации, так или иначе, оказывается в открытых источниках. Однако, можно минимизировать риски, действуя в нескольких направлениях.
Во-первых, стоит следить за тем, какая информация покидает стены компании. Очевидно, что, например, менеджеру по продажам социальные сети и мессенджеры нужны для оперативного взаимодействия с клиентами и партнерами. Однако сотрудник должен понимать, что не стоит публиковать в открытых источниках или отправлять третьим лицам. Проконтролировать выполнение элементарных правил безопасности помогут системы мониторинге действий персонала.
Во-вторых, нужно минимизировать риски фишинга, взяв под контроль электронную почту. Любое подозрительное послание должно быть тут же зафиксировано, а служба безопасности – уведомлена о потенциальной рисковой ситуации.
И, в-третьих, бизнесу необходимо обезопасить себя от злоумышленника, надевшего на себя личину работника и пытающегося под его видом проникнуть в информационный периметр компании. Наиболее эффективна в данном случае многофакторная аутентификация с использованием биометрических параметров. Логины и пароли можно легко украсть, а вот подделывать, например, идентификацию с помощью лица, хакеры пока не научились.
