La teva empresa està protegida contra els atacs "SHING"?
Compartir
És clar, sense dubte, en la teva companyia has patit, si no milers de centenarsAtacs de Shing”. Què estàs apostent?!
En empreses tenim molts programari, maquinari, serveis professionals i mesuras, més o menys estrictes, per la protecció dels nostres actius físics i digitals. Però, a més d'això
- Enllaç de cadena més feblea?
- Enginyeria socials?
- Factor humà, Que representa ell 74% dels incidents, Segons el 2023 Informe de l'investigació de dades Però Verizon?
D'altra banda, 98% de les amenaces cibers Enfrontat per empreses, Comença amb un correu electrònic Això arriba a la caixa de correu d'un dels seus treballadors, com també reflecteix l'informe. Al final, la gent són receptors i activadors Amenaces.
I, a més, 95% dels problemes de seguretat de cibers Es pot atribuir a l' Factor humà, Com la Informe Global Risk 2022, 17 edició. , Del. Forum econòmic del món.
Bé, també hem de fer-ho amb tot el nostre poder, Atacs ciberats objectius la gentPer protegir la gent per protegir els nostres actius corporatius.
Ja no és només sobre tenir artilleria i eines de protecció i prevenció, també hem de augmentar la consciencia. Entrenar i entrenar els nostres treballadors, companys i proveïdors (que sigui que accedi i utilitzi els nostres sistemes i serveis), de manera que no caure en enganyats i esclams Apell a Sensittivitat i comportament humà.
La Manipulació de la gent, A Manipulació psicològica, L'apell a les situacions d'això Urgència, Però Solidaritat, Però Compartició, Social, Etc., són part de les tècnicas més utilitzades i efectives que Cíbercriminals.
En poc, l' ús de l' Enginyeria socials. I una bona part d'això ve a la nostra companyia com "SHIN», The. Art de enganyament a la gent, Per fer-los el que volen fer i, en la majoria de casos, sense haver d'ús per a ell MalwareName, Sí. RansomwareName, Sense tecnologies avançades, ni tan sols cap tipus de tecnologia, sinó Per usar la gent per a atacar.
Sembla com nosaltres, oi? Sí, el "ShingÉs una amenaça coneguda i altament internalitzada, amb la qual és difícil per a nosaltres, o és difícil per a nosaltres lluitar, tant en un nivell particular a les nostres cases i de dispositius personals o familiars, i a l'esfera corporativa d'empresa de tots els tipus i mides: PhishingName, Smshing, Viscat, QRshing, Frau del CEO., Mobils BEC (compromes de correu electrònic) O Comproiment. Els coneixem, oi? I què els hem rebut (i moltes) a les nostres empreses? Hem posat? Quines reaccions han tingut?
Què és el? PhishingName? El INCIE La defini molt breu i clarament com "La gandera a la teva caixa d'entradaPerò afegeix una definició tècnica i professional:
“El PhishingName És una tècnica que consisteix en enviar un correu per a Cíbercriminal A un usuari Pretensionant ser una entitat legítima (Social xarxa, banc, institució pública, empresa, proveïdor, companyia, etc.) Amb ells Destís de Informació roba Privat, realitza a Carrega barata O Infect El dispositiu, a través del seu dispositiu Contingua, Adjunts O Enllaços a pàgines fraudulens En el correu electrònic”.
I, en aquests tipus d'atacsShing», Hi ha moltes modalits, a més a les coses. PhishingName Això arriba per correu:
- Smació, La qual combina ell Outres SMS i el PhishingName Com així, usant Missatges de text Per dirigir les víctimes a pàgines web falsos, il·lícits o fraudubles, i fins i tot demanar als usuaris que prenessin algun tipus d'acció.
- Visitar, Consiste d'un atac PhishingName A través a Trucada de telèfon, En què el cridant intenta impersonar algú legítim com a companyia, un cos oficial, un administració pública, un proveïdor, un client, etc., i demana al rebre de la crida per cert tipus de personal, privat o confidencial, i fins i tot prendre algun tipus d'acció.
- QRshing, Que utilitza la lectura de Codis Qr Fals, fraudulent, il·lícit o maliciós per a guiar usuaris a Pàgina web O o Forma D' on està descarregat MalwareNameO en un dono és. Sol· licitat introdució De dades personals, privats o confidencials.
- Fís de l' espaisName, Això, ser un atac PhishingName En qualsevol de les seves modalitats, és a Atac específicament objectiu una persona (o diversos) de la companyiaUn treballador de l'empresa, un òrgan públic o administració, una empresa particular, una certa organització, un polític, etc. És un tipus de PhishingName MésEstudiatElaborats i eficients, ja que els cibercriminals han investigat anteriorment la organització, els seus treballadors, la gent a atacar, Ja sabent els destinataris, els seus hàbits, papers, responsabilitats, capacitats, accés que tenen, a informació que poden accedir, Permisos per fer certs tipus d'activitats i, per tant, El que poden aconseguir d'ells.
- Fishing de balela, Silencia, E Peixa, Que, és semblant a Fishing de llans, Difera d'ell en el que, en aquest cas, l'atac està dirigit per gent molt específic. Perfil alta A l'empresa o l'organització (a“Gran peixName"De la organització com els socis, el president, els membres del Consell de Directors, el director, el director General, els membres del nivell C i fins i tot altres tipus de perfils corporatius, com ara DPO, etc.), que tenen Accedeix i gestioneu informació específiques d'una natura confidencial i estratèxic.
- Pharming, Que consisteix en un tipus de PhishingName Més sofisticats, perquè ells Els cibercriminals redirequen el tràfic d'un lloc web real., Veritat i legítimit Cap a un lloc web false, Fraudulent o il·legat, on compromen la privacitat i la seguretat de la informació.
- Clona la fisha, Consiste de a Cíbercriminal Interceptes i ells rebren a Correu electrònic d' organització leggita Supplicat, El qual es modifica després. (Sualment introduint un text amb instruccions per a l'aplicació del destinatari, o un enllaç fraudulent o fins i tot adjunts amb malware. Amb això aconseguirà un gran grau de confiibilitat del missatge i, per tant, més efectivament del missatge.
- Fishing angler, E Phishing social., Per què ells Cíbercriminals Realitza a ImpersonacióName, O simplement, poseu com a treballador del suport tècnic d'una empresa (per exemple, el cas de l' Implementació tècnica falsa de MicrosoftComment Qui ens truca per telèfon, o des del departament de compra, o informació, o similar, per enganyar el destinatari i donar-lo cert informació personal i/o confidencial de l'empresa.
- Frau del CEO.. En aquest cas, tot i que el cas anterior, hi ha situacions en què, dins d'una companyia, La identitat d'un oficial superior és impersonada. (Generalment amb pes específic, com el director, un director, un cap de departament, etc.), per obtenir el destinatari del missatge (un treballador), confiar que el missatge realment ve de qui sembla veni, Això és legítim i, per tant, El treballador fa el que li ha ensenyat a fer en aquest correu electrònic. Aquests tipus d’atacs, o tècnics d’atacs, també són coneguts com a Ataques BEC (compromes de correu electrònic).
- Malvertising, Que va una mica més, des d'ad Cíbercriminals Arriba a Compre les anuncies i anuncies de xarxes socials i plataformas (Per exemple, imatges i banderas animades i clicables) Incloent els enllaços a llocs il·legats i/o fraudulents. Un cas específic d'aquest tipus d'atac Fíxis emergentName, Que mostra missatges emergents (normalment anuncis, anuncis o anuncis) en visitar una pàgina web. No obstant això, aquests Adress fraudulents Es podria mostrar de qualsevol altra manera.
- SEO de cau negre, En els motors de cerca, E Poison de SEO. En aquest cas, la cosa és més complexa, des de la Cíbercriminals Tenen una estratègia. Treballen i inverteixen diners per manipular posició SEM/SEO Els seus enllaços a Internet, amb l'objectiu que sempre apareixen a les primeres posicions de motors de cerca com ara. GoogleName , Bing , i Yahoo .
- Fís de wifi false, E Fíxa de col· lentes, E El malbess, I això és ell Cíbercriminals genera un falsa WifiName La vostra, que sembla un altre WiFi públic obert, ja existeix i disponible, en un lloc específic, on els usuaris connectant pensant que és el correcte.
- Intercanvi de SIM, Per què ells Cíbercriminals Convinci els proveïdors de servei Transferir número de telèfons De la persona que vols atacar A una nova targeta SIM. Amb això, els atacs aconsegueixen accés a missatges i trucades de la persona atacada.
- Fishing forat d' aigua, E Atac de dura, Que és un atac específic a una empresa o organització específic. Els Cíbercriminals Detecten els llocs web, dominis o URLs que la majoria visiten o amb més tràfic dels dispositius dels treballadors d'una companyia específica i els redirequen des d'aquests URL correctes URL malicius (objecte i administrats per ells Cíbercriminals) Això pot ser. Descarrega malware. Pot semblar PharmingPerò no és exactament el mateix.
- Hishing O Fís de maquinari Que, tot i que no pensa una tècnica enganya, com en els casos anteriors, consisteix en que el. Cíbercriminals, Mitjançant diversos mètodes, “EscondesName“Malware on diferents dispositius (Computadors, portàtils, telèfons mòbils, etc.) Això serà enviat a altres usuaris (rental, nova venda, venda de segona mà, etc.).
I, sense cap dubte, hi ha, i existeixan, moltes més variacions i nuanses sobre tècnics, mecàcisme, trucs i enganyats per a les. Cíbercriminals Aconseguiu els seus objectius.
Aquests tipus d'atacs PhishingName Qui, després de tot, en la majoria dels casos, utilitzar Enginyeria socials, Ells coexisteixen, combinan i fins i tot poden ser combinats amb altres tàctiques d'atacs que també la utilitzen, com:
- Preextèxt Intenta que la persona atacada (la víctima) proporciona informació personal i/o confidencial, utilitzant un "Pretexto"O"Pretextos” (Excuses) que serveixen els vostres interessos, els de la companyia, el negoci, etc., i motivar-te a fer alguna cosa en particular a causa d'un assumpte pressa d'acció, urgència, aspectes de solidaritat, social, etc. Així Cíbercriminals Manipulan les seves víctimes per fer el que volen fer. Alguns casos, tipus o exemples són ells Fraudes O Scams Això porta a situacions relacionades a una suposió Implementació tècnica (Per exemple, el cas de la Implementació tècnic de MicrosoftComment), El cas d'això Frau del CEO., Els econòmics, relacionats amb suposicions. Presió, Herencies i Joc, Etc.
- BaitingName Consistiu de depositació o Deixa"Derelict“Un dispositiu d' emmagatzematge (Un pal USB, un disc dur extraïble, una memòria SD o un altre tipus de dispositiu) Conté un malware Per dins. L'objectiu és que qui el trobi, el treu, l'accesi, l'ús i el connecta a altres dispositius, per a infectar-te i escapar-se així. MalwareName, Affeccionant massament. Altres variants, depenent del mitjana o el lloc on viu aquest malware, pot ser ell Fes el camp de xatxes WiFi (O on s' usa un suport com a Hotspot WifiName), La lectura de codes QR falsificat (QRshing), Fracció a Xarxes socials o suports socials (On estan compartits URLs, Enllaços, Enlaciós Inclout Imatges O Elements multimèdia Clicble, des de la qual MalwareName), El propi. SEO de cau negre, Etc.
- Encats, La qual és el conjunt de tècnicas de Enginyeria socials Amb què ell Cíbercriminals Tenen a Accés, no autoritzatA la xarxa de l'empresa (o qualsevol altre servei o sistema que té validació/logina), analitzant el comportament dels usuaris i empradors. Algunes d'aquestes tècnics poden ser la. Teclat (Per què ell) Trencats de teclat Realitzat per usuaris/empleures), o ell Acaba de Bluetooth (O atac i accés a la comunicació) Bluetooth Per a "Sneu"O" Intercepta Informació que passa a través d'ella), entre molts altres.
Com hem vist en tots els, Cíbercriminals Emprau els canals, mitjans, o mecancismes per actuar, on normalment són els següents:
- Correu Electrònic (PhishingName Tradicional.
- Missatges SMS D' text (Somriuren).
- Crides Telèfon (Viscat).
- Codis QR (QRshing).
I tot això és l'ordre del dia, encara més del que sembla per a nosaltres. Infinitat, la gran majoria, de la Ciberatacs Els creadors èxits contra les empreses, contra les organitzacions i els seus treballadors, estan basades en aquests mecancismes o tècnics. Com a dades, un botó ... durant 2023:
- S' ha augmentat de ciberàtes de correu electrònics per 464%Name, Segons el Informe de Cyberthreats del mig-Any Però Acronis.
- 41% Dels Insidents cibers Van començar amb un cas de PhishingName, Segons el Índex d' intel·ligència d' amenaça fora X , Però IBM.
- Correu electrònic és el vector principal de amenaces. El 98% de les amenaces comencen amb un correu electrònic Per camí Atac a la gent, Del qual, 12% Són els casos de PhishingName i el 49% Cases de Robot de credencials, Segons el 2023 Informe de l'investigació de dades Però Verizon.
- Tres de cada quatre incidents de correu electrònics (PhishingName I altres) estan dirigits a Pymes, Segons CovewareName.
- Però, Inversió D'empresa fins a les empreses. Proteccions Lluitar contra aquestes situacions es refereix. Amb prou feines representa el 10% dels pressuposts, Segons ell Seguretat d'informació tot el món 2019 - 2025 Però Gartnerstar name.
Com podem veure, aquest escenari afecta molt a les empreses, qualsevol tipus de companyia, suposant danys importants com a Perdes econòmic, Perdes de reputacióName, Frau financer, Drets legals i regulars (Amb les seves penals respectives, penals i fintes) Accés sense vencir, Perda de dades, ImpersonacióName, Fins i tot amb ells Descontincitat o atura de negocis Temporament temporalment, o definittivament, què Deixeu el dia.
Sembla que les companyies encara no han estat. Posa tot el carn a la grill per Agafeu el bo per les banyes., No només és una qüestió de prendre mesures tecnològics com la implementació d'eines tecnologies molt poderosos, ni sistemes de control de ferro, ni monitors kontinuu de comunicacions, ni la gestió Riscs i Vulnerabilitats, Ni comptar amb el millor. Filtre de correu, Ni garantir els millors models Autenticació... També és sobre la gent.
En poc, és sobre això i, a més, sobre protegir la gent, els treballadors Així que"No caus en la temptació.“” (Uls, serveis professionals, serveis de seguretat de ciber, conscients, entrenament, entrenament, etc.)
No creus que la teva empresa pot trobar fàcilment, en qualsevol moment, en una de les situacions que hem descrit?
Potser la teva companyia necessita l'ajuda. Els serveis professionals de ciber Seguretat Com oferim en. Zerolynx: Serveis de seguretat cibers.
Si prefereixes, Contacte'ns I hem parlat.
Íñigo Ladrón Morales, Escriptor de contingut Zerolynx.