Hvorfor skal små og mellemstore virksomheder bekymre sig om social engineering?
Ifølge en undersøgelse fra 2019 udført af Zogby Analytics på vegne af US National Cyber Security Alliance, er SMV'er i stigende grad opmærksomme på, at de er mål for cyberkriminelle. Næsten halvdelen (44 %) af virksomhederne med 251-500 medarbejdere sagde, at de havde oplevet et officielt databrud inden for de seneste 12 måneder. Undersøgelsen viste, at 88 procent af de små virksomheder mener, at de i det mindste er et "noget sandsynligt" mål for cyberkriminelle, herunder mener næsten halvdelen (46 %) at de er et "meget sandsynligt" mål.
Skaden er reel og omfattende, et punkt godt illustreret af årsrapporten fra FBI's Internet Crime Center (IC3). FBI anslår, at amerikanske virksomheder alene i 2018 mistede mere end $2,7 milliarder til cyberangreb, herunder tilskrives $1,2 milliarder business email compromise (BEC) /email account compromise (EAC), der tillod uautoriserede overførsler af midler.
Hvordan genkender man et social engineering angreb?
Der er flere røde flag, der kan signalere et social engineering-angreb. Dårlig grammatik og stavning er afslørende. Det gælder også for er en øget følelse af hast, der søger at få modtageren til at handle betingelsesløst. Enhver anmodning om følsomme data skal straks få alarmklokkerne til at ringe: velrenommerede virksomheder beder normalt ikke om adgangskoder eller personlige data via e-mails eller sms'er.
Nogle af de røde flag, der peger på social engineering:
1. Dårligt og generisk sprog
Typisk ofrer angribere ikke megen opmærksomhed på detaljer, men sender beskeder fuld af slåfejl, manglende ord og dårlig grammatik. Et andet sprogligt element, der kan signalere et forsøg på angreb er generiske hilsner og formuleringer. Så hvis en e-mail starter "Kære modtager" eller "Kære bruger", skal du være på vagt.
2. Mærkelig afsenderadresse
De fleste spammere tager sig ikke tid til at efterligne afsenderens navn eller domæne for at få disse til at se troværdige ud. Så hvis en e-mail kommer fra en adresse, der er en blanding af tilfældige tal og tegn eller er ukendt for modtageren, bør den overføres direkte til spam-mappen og rapporteres til it-afdelingen.
3. Følelse af uopsættelighed
Kriminelle bag social engineering-kampagner forsøger ofte at skræmme ofrene til handling ved hjælp af angstfremkaldende sætninger som "send os dine oplysninger med det samme, ellers bliver din pakke kasseret" eller "hvis du ikke opdaterer din profil nu, lukker vi din konto". Banker, pakkeselskaber, offentlige institutioner og endda interne afdelinger kommunikerer normalt på en neutral og faktuel måde. Hvis meddelelsen derfor prøver at presse modtageren til at handle hurtigt, det er sandsynligvis ondsindet og potentielt farlig svindel.
4. Anmodning om følsomme oplysninger
Institutioner og endda andre afdelinger i din egen virksomhed vil normalt ikke anmode om følsomme oplysninger via e-mail eller telefon - medmindre kontakten blev initieret af medarbejderen.
5. Hvis noget lyder for godt til at være sandt, er det det sandsynligvis også
Dette er lige så sandt for uopfordrede gaver på sociale medier, som det er for den "fremragende, men tidsbegrænsede forretningsmulighed", der netop er landet i din indbakke.
5 måder at beskytte din organisation mod social engineering-angreb
1. Regelmæssig cybersikkerhedsuddannelse af ALLE medarbejdere, herunder topledelse og it-medarbejdere. Husk, at en sådan uddannelse skal vise eller simulere virkelige scenarier. Læringspunkter skal kunne handles og mest af alt testes aktivt uden for undervisningslokalet: teknikker til social engineering er afhængige af deres måls lave bevidsthed om cybersikkerhed.
2. Søg efter svage adgangskoder, der potentielt kan blive en åben dør i organisationens netværk for angribere. Derudover skal du beskytte adgangskoder med endnu et lag af sikkerhed ved at implementere multifaktorgodkendelse.
3. Implementere tekniske løsninger til at tackle fiduskommunikation, så spam og phishing-meddelelser opdages, sættes i karantæne, neutraliseres og slettes. Sikkerhedsløsninger, herunder mange, som ESET leverer, har nogle af eller alle disse funktioner.
4. Opret forståelige sikkerhedspolitikker, som medarbejderne kan bruge, og som hjælper dem med at identificere, hvilke skridt de skal tage, når de støder på social engineering.
5. Brug en sikkerhedsløsning og administrative værktøjer, såsom ESET PROTECT Cloud, til at beskytte din organisations endpoints og netværk ved at give administratorer fuld synlighed og evnen til at opdage og afbøde potentielle trusler i netværket.
Bekæmp social engineering nu
ESET PROTECT
Advanced
Beskyt din organisation mod social engineering ved hjælp af ESET flerlags endpointikkerhedsløsninger, herunder LiveGrid® beskyttelse via skyen og netværksangreb og den cloud baserede ESET PROTECT-konsol, der giver dine administratorer fuld, detaljeret netværkssynlighed døgnet rundt.
