Kas ir pikšķerēšana un kā aizsargāt uzņēmumu

Pikšķerēšana ir sociālās inženierijas uzbrukums, kurā krāpnieks uzdodas par uzticamu sūtītāju un mēģina panākt, lai jūs atklātu paroli, veiktu maksājumu vai lejupielādētu ļaunprātīgu failu. Tā nav tehniska kļūda sistēmā: mērķis ir cilvēks. Tāpēc pat labākais antivīruss un ugunsmūris jūs neaizsargās, ja darbinieks ievadīs savus pieteikšanās datus viltotā lapā.

Uzņēmumam pikšķerēšana ir bīstama, jo uzbrucējam nav jāielaužas sistēmā: pietiek, ka viens cilvēks noklikšķina uz saites vai apstiprina maksājumu. Tas īpaši attiecas uz maziem un vidējiem uzņēmumiem, kuriem bieži nav atsevišķa drošības speciālista, bet viena veiksmīga krāpšana var nozīmēt zaudētu naudu, apturētu darbu vai noplūdušus klientu datus.

Pikšķerēšanas uzbrukumu veidi

Jēdziens pikšķerēšana aptver vairākus atšķirīgus veidus. Tos vērts zināt, jo katrs vēršas pret citu kanālu vai cilvēku grupu.

Masveida pikšķerēšana

Tūkstošiem vienādu e-pastu, kas sūtīti uz labu laimi (piemēram, „jūs gaida sūtījums”, „konts bloķēts”).

Spear phishing

Mērķēts uzbrukums konkrētam darbiniekam, pielāgots viņa vārdam, amatam vai projektiem.

Whaling

Spear phishing pret vadītājiem vai finanšu darbiniekiem, kuri var apstiprināt maksājumus.

Smishing

Krāpšana ar īsziņām un tērzēšanas lietotnēm (SMS + phishing).

Vishing

Krāpšana pa tālruni, kad zvanītājs uzdodas par banku, kurjeru vai IT atbalstu.

Quishing

Ļaunprātīgs QR kods, kas novirza uz viltotu lapu.

Kā šādi e-pasti izskatās praksē, redzēsiet četros pikšķerēšanas e-pastu piemēros ar atzīmētām brīdinājuma pazīmēm.

Kāpēc cilvēki joprojām uzķeras

Krāpnieki izmanto psiholoģiju, nevis tehnoloģijas: steigu, bailes, autoritāti un ziņkāri. E-pasts „rēķins nav apmaksāts, konts šodien tiks slēgts” liek rīkoties ātri un bez apdoma. Kad laika maz, kritiskā domāšana izslēdzas. Tāpēc aizsardzība nevar balstīties tikai uz zināšanām: vajadzīgs ieradums apstāties pirms klikšķa.

Kur ziņot par pikšķerēšanu Baltijas valstīs un Polijā

Darbā vispirms pārsūtiet aizdomīgo e-pastu savam IT vai drošības kontaktam un nedzēsiet to. Ārpus darba katrā valstī darbojas valsts datordrošības incidentu novēršanas komanda (CERT), kas pieņem ziņojumus par krāpnieciskām vietnēm un ziņām.

Latvija

CERT.LV pieņem ziņojumus par krāpnieciskām vietnēm pa e-pastu cert@cert.lv vai pa tālruni +371 67085888.

Lietuva

Nacionālais kiberdrošības centrs (NKSC) pieņem ziņojumus, izmantojot veidlapu savā vietnē vai pa e-pastu cert@nksc.lt.

Igaunija

CERT-EE, kas darbojas Informācijas sistēmu pārvaldē (RIA), pieņem ziņojumus par incidentiem pa e-pastu cert@cert.ee un tālruni +372 663 0299 visu diennakti. RIA lūdz privātpersonas vispirms sazināties ar savu interneta pakalpojumu sniedzēju vai IT administratoru.

Polija

CERT Polska pieņem aizdomīgas īsziņas, kas bez maksas pārsūtītas uz numuru 8080, un aizdomīgas vietnes un e-pastus, izmantojot incydent.cert.pl vai pa e-pastu cert@cert.pl.

Ja jau ievadījāt kartes vai internetbankas datus, nekavējoties zvaniet bankai, lai bloķētu karti vai apturētu pārskaitījumu, un ziņojiet policijai. Ja noklikšķinājāt uz saites darba datorā, skatiet, ko darīt pēc klikšķa uz pikšķerēšanas saites.

Kā aizsargāt uzņēmumu: tehniskais līmenis

Tehnoloģijas neaizstāj modrību, taču būtiski samazina e-pastu skaitu, kas vispār nonāk līdz darbiniekam, un ierobežo zaudējumus, ja kāds kļūdās.

• Ieslēdziet divu faktoru autentifikāciju (2FA) visos svarīgajos kontos: ar nozagtu paroli vien vairs nepietiek.
• Iestatiet e-pasta autentifikāciju (SPF, DKIM, DMARC), lai būtu grūtāk viltot jūsu domēnu.
• Regulāri atjauniniet operētājsistēmas un programmatūru.
• Ierobežojiet piekļuves tiesības: darbiniekam jāredz tikai tas, kas vajadzīgs darbam.
• Veidojiet rezerves kopijas un pārbaudiet, vai no tām tiešām var atjaunot datus.

Kā aizsargāt uzņēmumu: cilvēciskais līmenis

Tā kā pikšķerēšana vēršas pret cilvēkiem, spēcīgākā aizsardzība ir komanda, kas atpazīst krāpšanu. Zināšanas bez prakses ātri izgaist, tāpēc svarīga ir regularitāte: īsas apmācības un drošas pikšķerēšanas simulācijas un apmācības darbiniekiem, kas parāda, kā cilvēki reaģē reālā situācijā.

Galvenais kultūras noteikums: darbinieks, kurš ziņo par aizdomīgu e-pastu, ir jāuzslavē, nevis jāsoda. Sodīšana par klikšķiem noved pie slēpšanas, bet slēpti incidenti ir visbīstamākie.

Ar ko sākt jau šodien

Vispirms novērtējiet reālo situāciju: veiciet vienu drošu pikšķerēšanas simulāciju un apskatiet, cik cilvēku atver e-pastu, noklikšķina uz saites vai ievada pieteikšanās datus. Tas ir jūsu sākumpunkts. Pēc tam piešķiriet īsas apmācības tiem, kam tās visvairāk vajadzīgas, un regulāri atkārtojiet procesu. Opsinel automatizē šo ciklu (simulāciju, nodarbību uzreiz pēc klikšķa un skaidrus pārskatus vienuviet), lai uzņēmumam tas viss nebūtu jādara ar roku.