Egyre rafináltabb módon igyekeznek megszerezni a kényes adatokat az abban érdekelt tolvajok, mégis megfigyelhető négy népszerűvé vált módszertan, amit előszeretettel alkalmaznak az üzleti adatok megszerzése során.
Mesterséges intelligencia és gépi tanulás rossz kezekben
Az elmúlt években egyre több biztonsággal foglalkozó cég, például a McAfee, CarbonBlack és a Trend alkalmaz MI-t vagy M2M-et a vállalati támadások kivédése ellen. A rossz fiúk azonban szintén ráéreztek a mesterséges intelligenciában rejlő lehetőségekre, mert a támadók is elkezdték az MI-t használni, hogy rést találjanak a céges védelmi megoldásokon vagy, hogy elkerüljék annak pásztázó szemét.
A Cerber nevű kripto-kód volt az első, ami sikeresen használta az MI-t, hogy feketén jusson előnyhöz.
Fake e-mail domainok
Arról, hogy miként zajlik az adathalászat, már mi is többször írtunk, ám ez egy örökzöld topik, mert hiába ez a legtriviálisabb csalások egyike, mégis ez szedi a legtöbb áldozatot. Nem véletlen, hiszen ez jár a legkisebb energia- és pénzráfordítással.
A „legolcsóbb” próbálkozás az eredetihez megszólalásig hasonlító adathalász e-mail küldése, amivel – a rákattintástól számított néhány másodperc múlva – már bent is van a támadó a rendszerben.
Az ilyesfajta üzeneteket gyakorta webshopos hírlevélbe, visszaigazoló üzenetbe, jelszóváltoztatással kapcsolatos felhívásokba szokták rejteni. De a másik gyakori támadási eszköz a HR-től, IT-től érkező levelekbe csomagolt adatlopás.
Pontosabban, a támadó lemásolja a cégen belüli kommunikációs sablonokat, csatolmányokat és az eredeti tökéletes másolatát küldi el egy-egy kollégának, aki gondolkodás nélkül megnyitja a levelet, lévén, hogy az egy másik munkatársa címéről érkezett. Kiküszöbölni könnyedén ki lehet az ilyesfaja támadásokat: elég egyetlen chat üzenet, hogy tisztázódjon, küldött-e emailt az illető, vagy netán külső támadásról lenne szó.
Hamis GDPR
A GDPR májusi berobbanása komoly fejfájást okozott mérettől függetlenül a cégeknek. Ugyan a bírságok kiszabásának türelmi ideje lejárt, még mindig nincs egyértelműen tisztázva néhány országban, hogy kinek, mikor és hogyan fizessenek a megbírságolt vállalatok, vállalkozások. Különösen igaz ez azokra a kisebb cégekre, amelyek minimális kitettséggel rendelkeznek az EU-ban.
Kihasználva ezt a helyzetet a netes tolvajok számtalan esetben jutottak pénzhez azáltal, hogy egy hamis GDPR bírság mögé bújva csaltak ki komoly összegeket a gyanútlan döntéshozókból.
IoT és IIoT platformok
Több millió internetre csatlakoztatott dolog kommunikál egymással, kezdve a hűtőtől a biztonsági kamerán át az ipari gyártósorig, persze ez utóbbi már egy kicsit más kategória. Azonban legyen szó hétköznapi vagy ipari kütyükről, egy valami közös bennük: a legtöbb esetben igen alacsony védelmi funkcióval vannak ellátva. Ezt kihasználva számos támadó átveheti a kontrollt akár a gyártórendszer felett. S vajon mennyit fizetne ki egy iparos azért, hogy az üveggyártó gépek ne zúzzák szét elkészítés helyett a terméket?
Szám szerint: egyes kutatások arra engedtek következtetni, hogy az IoT-eszközöket használó vállalatok 48 százalékának nincs olyan rendszere, amely képes lenne azonosítani egy esetleges támadást, vagy annak sikeres mivoltát megállítani. Az „összekapcsolt” ipar pedig vízióból valósággá nőtte ki magát, azonban csak megfelelő biztonsági metódusok mellett garantálható az, hogy technológia által nyert előnyök meghaladják a kockázatokat.
