В декабре на почту журналистов dev.ua пришло письмо от главного редактора. Тот якобы пытался предупредить своих коллег о том, что редакционную систему снова кто пытается взломать. Такие случаи были и раньше. Издание атаковали после громких расследований и с началом войны — ддосили на День Независимости Украины.
В декабре на почту журналистов dev.ua пришло письмо от главного редактора. Тот якобы пытался предупредить своих коллег о том, что редакционную систему снова кто пытается взломать. Такие случаи были и раньше. Издание атаковали после громких расследований и с началом войны — ддосили на День Независимости Украины.
Так что сотрудникам не привыкать. Но на этот раз главред в письме просил «знакомиться с важным документом по ссылке» и строго следовать этим инструкциям.
Так совпало, что в то время главный редактор как раз был в отпуске. Он не отвечал коллегам в общий чат на вопрос, это ли от него письмо и что вообще происходит.
Поэтому коллеги решили не открывать ссылку и спустя некоторое время просто забыли о существовании этого обращения.
После нового года главред не успокоился. Он снова написал письмо журналистам:
«Коллеги, не все ознакомились с документом, который я прислал раньше. Прошу всех перейти по ссылке и внимательно прочесть инструкцию».
Реакция от коллег была мгновенной. Заместитель главного редактора Мария Бровинская запостила скрин с этим письмом в общий чат и написала:
«Ну это же нужно так прямо хотеть что-то нам сделать!»
Мария сразу заметила, что это нетипичное письмо главреда. И этого не может быть он. Потому что обычно главред наспех совершает много ошибок в украинском. А здесь прямо всё идеально!
«То есть, у них откуда-то все наши е-мейлы, и не только редакционные», — подчеркивала она.
Точно такое же письмо пришло и бухгалтеру редакции. А этот e-mail вообще нигде не светился. И было непонятно, откуда он у злоумышленников.
И в этот раз, и в прошлом случае у коллег уже не было никакого сомнения, что это пишет не Стас Юрасов, а кто-то другой.
На следующий день на планерке Стас рассказал, что это действительно не он. Но ему было хорошо известно о намерениях отправителя.
На самом деле они были совсем не преступны. Это был тест, проверка безопасности, которую провели для редакции специалисты компании GigaCloud.
И редакция его успешно прошла.
А теперь разбор, почему никто не попался и как часто на таком попадаются другие.
Ну и напоследок: полезные рекомендации: что делать, чтобы команда не звала на фишинговые листы, а обходила их десятой дорогой.
Поехали!
Максим (имя мы скрыли) — руководитель информационной безопасности облачного провайдера GigaCloud. Именно он несколько недель прокачивал почтовый сервер и по несуществующему почтовому адресу [email protected] производил рассылку по редакции. Адреса ему заранее передал Стас.
Максим рассказал, какие были затруднения при выполнении этого эксперимента:
Как говорит Максим, 70% сотрудников компаний открывают письмо и переходят на подобные ссылки. 50% вводят свои учетные данные.
То есть, КАЖДЫЙ ВТОРОЙ сотрудник попадается.
Кстати, сам факт открытия письма не несет никакого вреда для пользователя, только клик на то, что в него укладывается, может быть опасным.
При переходе по ссылке могут попросить ввести логин и пароль, например, от Google аккаунта. «Жертву опрокидывает на входное окошко клиенту. И он даже не поймет, что передал информацию кому-то не потому», — подчеркивает специалист по кибербезопасности GigaCloud.
И этот логин и пароль, введенный сотрудником компании, хранится в базе данных хакера.
Если не настроена двухфакторная авторизация, теперь злонамеренный может удаленно войти в систему, посмотреть корпоративную и частную переписку, документы, получить удаленное управление системой.
«В некоторых случаях злоумышленник может посмотреть на вас в камеру и сделать фото», — подчеркивает эксперт.
Доступ к аккаунтам также может быть использован так называемыми хакерами-шифровальщиками, которые блокируют доступ к данным жертвы и требуют деньги.
Злоумышленники могут подключить уже зараженный компьютер к участию в DDOS-атаках.
Нет такой пилюли, которая защитит от всего. Самое действенное — это повышать уровень осведомленности в кибербезопасности среди своих сотрудников.
«Волшебной пилюли здесь, к сожалению, нет», — подчеркивает Максим.
Поэтому очень важно проводить в коллективе обучение и тренинги по безопасности и разбирать типовые ситуации нападения злоумышленников.
Основное правило: если это массовая рассылка и в письме указано много получателей, то, скорее всего, это не будет фишинговое письмо.
Ибо фишеры, как правило, указывают один адрес жертвы для понимания, с какого же компьютера поступил пользователь. Потому что ссылка в фишинговом письме — для каждого из них будет персональная.
Атаки во время войны были направлены на госсектор, медиа и ритейл и банковский сектор.
Вот для примера два вектора атаки
Первое — незащищенный вход в государственные системы
Украинское законодательство недавно запрещало использовать облачные технологии в госсекторе. Поэтому в известных организациях использовался так называемый on premise exchange server. Как это в общем работает: вы заходите на свой почтовый ящик через веб-приложение в браузере, вводите логин и пароль.
Чтобы это работало не только из офисной сети (а напомним, был карантин и люди работали по домам), этот вход можно было сделать не только внутри ведомства, но и снаружи через внешний IP-адрес.
А поскольку информационная безопасность у нас еще не на очень высоком уровне, наши враги искали данные работников министерств в открытом доступе (например, через электронные декларации). Принимали имя и фамилию (логин) и подбирали пароль. Причем из-за браузерной версии блокировка попыток не происходила после определенного количества неверных попыток. Оно просто было отключено в некоторых случаях.
На современных облачных технологиях защита от таких действий злоумышленников априори установлена. И такие недостатки в настройке систем безопасности просто отсутствуют.
Аттестат соответствия стандартам КСЗИ
CSA Security, Trust и Assurance Registry (STAR)
Кроме того, есть готовые решения в облаке с виртуальными рабочими столами.
Второе — халатность админов.
Когда началась война, для админов разных компаний и ведомств сделали возможность отдаленной работы.
Но кто-то из них забыл свой компьютер, кто-то не мог уехать. И админы начали подключаться к ИТ-инфраструктуре с разных устройств, которые были под рукой.
И тут сработали старые закладки (устройства уже могли быть поражены раньше и хранили зловредную программу), которые на них хранились.
«Я лично знаю пять случаев, когда инфраструктура была взломана, потому что администратор использовал некорпоративный компьютер без настроек безопасности», — подчеркивает Максим.
