דף כניסה מזוייף מדויק של גוגל. אמה וויליאמס, CC BY-ND
חברות מופגזות מדי יום בהונאות דיוג. בסקר שנערך לאחרונה בקרב יותר מ -500 אנשי מקצוע בתחום אבטחת הסייבר ברחבי העולם, 76% דיווח כי הארגון שלהם נפל קורבן להתקפת פישינג בשנת 2016. 
הונאות אלה לובשות צורה של מיילים המנסים לשכנע את הצוות להוריד קבצים מצורפים זדוניים, ללחוץ על קישורים מפוקפקים או לספק פרטים אישיים או נתונים רגישים אחרים. קמפיין דואר אלקטרוני מסוג "חנית" פישינג הואשם בכך שהניע את מתקפת הסייבר האחרונה שגרמה ל הפסקת חשמל גדולה באוקראינה.
אפילו יותר מדאיג, התקפות פישינג הן כיום הדרך הפופולרית ביותר להעברת תוכנות כופר לרשת של ארגון. זהו סוג של תוכנה שבדרך כלל מצפינה קבצים או נועלת מסכי מחשב עד ששולמים כופר. הסכומים המבוקשים הם באופן כללי די קטןכלומר ארגונים רבים פשוט ישלמו את הכופר ללא, כמובן, כל ערובה לכך שהמערכות שלהם יהיו נעולות. לנוכח התקפות הפישינג האלה, העובדים הפכו להיות קו החזית של אבטחת סייבר. צמצום הפגיעות שלהם לדוא"ל פישינג הפך אפוא לאתגר קריטי עבור חברות.
בעיות משמעת
כאשר ארגונים נאבקים להכיל את האיום, רעיון אחד שצובר אחיזה הוא השימוש הפוטנציאלי בו הליכי משמעת נגד צוותים שלוחצים על מיילים מתחזים. זה נע בין השלמת הכשרה נוספת לפעולות משמעת פורמליות, במיוחד עבור מה שנקרא "קליקים חוזרים" (אנשים שמגיבים לדוא"ל פישינג יותר מפעם אחת). הם מייצגים א נקודת תורפה מיוחדת בתחום אבטחת הסייבר.
זה לא הכרחי - וגם לא רעיון טוב. בתור התחלה, עדיין איננו מבינים מה גורם לאנשים להגיב לכתובות דוא"ל מתחזקות מלכתחילה. מחקר רק מגרד את פני השטח מדוע אנשים עשויים להגיב להם. הרגלי דוא"ל, מקום עבודה תרבות ונורמות, מידת הידע שיש לאדם, בין אם העובד מוסח או אם הוא נתון ללחץ גבוה - יש הבנה מגוונת של הסיכונים המקוונים, כל אלה עשויים להשפיע על האם אנשים מסוגלים לזהות הודעת דוא"ל מתחזה בנקודת זמן מסוימת.
למרבה הצער, המשמעות היא שיש עדיין יותר שאלות מתשובות. האם חלק מתפקידי התפקיד פגיעים יותר בשל סוגי המשימות שהם עוסקים בהם? האם ההכשרה יעילה בחינוך הצוות לגבי הסיכונים של התקפות פישינג? האם העובדים מסוגלים לתת עדיפות לאבטחה על פני דרישות אחרות במקום העבודה בעת הצורך? בין האלמונים הללו, ההתמקדות בגישה משמעתית נראית מוקדמת ומסתכנת בהעמדת מאמצים אחרים שעשויים להיות יעילים יותר.
התקפות פישינג ממוקדות הופכות גם הן ליותר מתוחכמות וקשות לאיתור, אפילו עבור משתמשים טכניים. התקפות אחרונות (ב PayPal ו Google, למשל) להוכיח זאת.
כעת קל להפליא ליצור דואר אלקטרוני מרמה שנראה מאוד דומה, אם לא כמעט זהה לזה של לגיטימי. כתובות דוא"ל מזויפות, שילוב של לוגו מדויק, פריסות נכונות וחתימות דוא"ל, כולן יכולות להקשות על הבחנה בין דוא"ל דיוג לאתר אמיתי.
היה רגוע והמשך
גם הדיישים טובים מאוד יצירת תרחישים שמגדילים את הסיכוי שאנשים יגיבו. הם משרים תחושת בהלה ודחיפות בדברים כמו חיקוי של אנשי סמכות בתוך ארגון ליצור תחושת משבר. או שהם מתמקדים בהשפעה השלילית האפשרית של חוסר תגובה. כאשר אנו מכירים בתחכום המוגבר שמוצג בארסנל של הדייג, קשה יותר להצדיק את הענשת העובדים על כך שנפלו קורבן לעבירותיהם.
התקפות דיוג מדומות משמשות לרוב כדרך להגברת המודעות בקרב העובדים. אמנם היו הצעות לשיפור שיעורי הקלקות בעקבות תוכניות כאלה, אין הערכה מקיפה של טווח ההשפעות האפשריות על העובדים. וכן קצת מחקר מציין את הפוטנציאל שעובדים מוותרים על הניסיון להתמודד עם האיום מכיוון שזה נראה כמו קרב מפסיד.
תרבות של האשמה וקורבנות עשויה גם לגרום לעובדים פחות מוכנים להודות בטעויות שלהם. כל אחת מהתוצאות הללו עלולה לפגוע ביחסים בין אנשי האבטחה של הארגון לבין עובדיו האחרים. בתורו תהיה לכך השפעה שלילית על תרבות האבטחה של הארגון. הוא מציע לחזור לתפקיד סמכותי לביטחון, אשר מחקרים מראים הוא צעד לאחור אם אנו רוצים לשתף את העובדים במלואם ביוזמות אבטחה.
הפחתת החשיפה של הארגון להתקפות פישינג מהווה אתגר מורכב ומתפתח. #AskOutLoud האחרון קמפיין של ממשלת אוסטרליה לעודד אנשים לבקש חוות דעת שנייה כאשר הם מקבלים דוא"ל חשוד מספק דוגמא טובה כיצד ניתן להתחיל להתמודד עם אתגר זה. הוא מעודד שיחה וחוויות משותפות. שימוש בגישה זו יכול להבטיח לעובדים להרגיש מוסמכים ומעודדים לדווח על חשדות, מרכיב חיוני בשמירה על אבטחת הסייבר.
המחקר הוא ברור שאבטחת סייבר תלויה בדיאלוג פתוח, השתתפות של עובדים בכל הקשור לפיתוח פתרונות ואמון בין אנשי האבטחה של הארגון לבין צוות אחר. כמו שהקלישאה הישנה אומרת: אתה חזק בדיוק כמו החוליה החלשה ביותר שלך. לכן הכרחי שכל העובדים נתמכים על מנת להוות קו חזית יעיל להגנת הארגון שלהם.
על המחבר
אמה וויליאמס, עמיתת מחקר, אוניברסיטת באת' ודבי אשנדן, פרופסור לאבטחת סייבר, אוניברסיטת פורטסמות
מאמר זה פורסם במקור ב שיחה. קרא את מאמר מקורי.
ספרים קשורים
at InnerSelf Market ואמזון
