Varför behöver små och medelstora företag bry sig om social engineering?
Små och medelstora företag blir allt mer medvetna om att de utgör måltavlor för cyberbrottslingar, enligt en undersökning år 2019 av Zogby Analytics på uppdrag av US National Cyber Security Alliance. Nästan hälften (44 %) av alla tillfrågade företag med mellan 251 och 500 anställda svarade att de hade upplevt något officiellt dataintrång under de senaste 12 månaderna. Undersökningen kom fram till att 88 procent av småföretagen anser att de åtminstone ”i viss grad” utgör ett troligt mål för cyberbrottslingar, och nästan hälften (46 %) tror att de utgör en ”mycket trolig” måltavla.
Skadorna är verkliga och omfattande, något som tydligt illustreras av årsrapport från FBI:s Internet Crime Center (IC3). FBI uppskattar att amerikanska företag bara under år 2018 förlorade över 2,7 miljarder USD genom cyberattacker, inklusive 1,2 miljarder USD på grund av intrång i företagens e-post (BEC – business email compromise) och intrång i e-postkonton (EAC – email account compromise), vilka möjliggjorde obehöriga betalningar.
Hur känner man igen ett angrepp som använder social manipulation?
Det finns flera röda flaggor som kan vara signaler på ett angrepp med social engineering. Ett tydligt tecken är dålig grammatik och stavfel. Samma sak gäller för kommunikation som försöker skapa en känsla av att det är bråttom och försök att förmå mottagaren att agera direkt utan att tveka. Varje begäran om känsliga uppgifter bör omedelbart innebära en varningssignal: välrenommerade företag brukar normalt inte frågar efter lösenord eller personuppgifter via e-post eller textmeddelanden.
Några röda flaggor som tyder på social engineering:
1. Dålig språkkänsla och allmänt hållen text
För det mesta bryr sig angriparna inte om att få alla detaljer rätt och kan sända meddelanden med många stavfel, överhoppade ord och dålig grammatik. Ett annat språkligt drag som kan visa på ett försök till angrepp är allmänna hälsningsfraser och formuleringar. Var därför extra försiktig om ett meddelande inleds med ”Kära mottgare” eller ”Kära användare”.
2. Underlig avsändaradress
De flesta spammare bryr sig inte om att förfalska avsändarens namn eller domän för att meddelandet ska se trovärdigt ut. Ett e-postmeddelande som kommer från en adress som består av diverse slumpartade siffror och bokstäver ska gå direkt till mappen för spam och rapporteras till IT-avdelningen.
3. Brådska
Brottslingarna som utför kampanjer med social manipulation försöker ofta skrämma offren till handling genom att använda stressande fraser, såsom ”om du inte omedelbart skickar oss dina uppgifter kommer ditt paket att kastas” eller ”om du inte uppdaterar din profil nu kommer ditt konto att avslutas”. Banker, paketförmedlare, offentliga institutioner och till och med interna avdelningar kommunicerar vanligen neutralt och sakligt. Om något meddelande försöker pressa mottagaren att agera snabbt är meddelandet troligen illvilligt och kan potentiellt vara ett farligt bedrägeri.
4. Känslig information efterfrågas
Olika institut eller andra avdelningar inom det egna företaget brukar normalt inte efterfråga känslig information via e-post eller telefon – om det inte var den egna medarbetaren som initierade kontakten.
5. Om något verkar för bra för att vara sant är det förmodligen faktiskt inte sant
Samma sak gäller i lika hög grad för oväntade gåvor i sociala medier och för den där ”förmånliga men brådskande affärsmöjligheten” som nyss landade i inkorgen.
Fem sätt att skydda din organisation mot angrepp via social engineering
1. Regelbunden utbildning i cybersäkerhet för ALLA anställda, inklusive företagsledningen och IT-personalen. Kom ihåg att sådan utbildning ska demonstrera eller simulera verkliga scenarier. Utbildningsmomenten måste vara genomförbara och framförallt testas aktivt utanför själva undervisningen: social manipulation bygger på låg medvetenhet om cybersäkerhet hos dess måltavlor.
2. Skanna efter svaga lösenord som potentiellt kan öppna dörren till organisationens nätverk för en angripare. Skydda dessutom lösenord med ett extra lager säkerhet genom att införa flerfaktorsautentisering.
3. Inför tekniska lösningar för att bemöta bluffkommunikation så att spam och phishing-meddelanden upptäcks, sätts i karantän, neutraliseras och tas bort. Olika säkerhetslösningar, inklusive många av dem som ESET erbjuder, har några av dessa funktioner eller alla.
4. Skapa begripliga säkerhetspolicyer som de anställda kan använda för att bättre förstå vilka mått de behöver vidta när de stöter på social engineering.
5. Använd en säkerhetslösning och administrativa verktyg, såsom ESET PROTECT Cloud för att skydda er organisations endpoints och nätverk genom att ge administratörerna full insyn och möjlighet att upptäcka och avhjälpa potentiella hot i nätverket.
Bekämpa social engineering nu
ESET PROTECT
Advanced
Skydda organisationen mot social manipulation med hjälp av ESET:s säkerhetslösningar med skydd i flera lager, inklusive molnbaserat skydd i LiveGrid® och skydd mot nätverksattacker, och den molnbaserade kontrollpanelen ESET PROTECT, för att ge era administratörer komplett och detaljerad insyn i nätverket dygnet runt alla dagar.
