Zamiast wierzyć w edukację personelu, trzeba pogodzić się z faktem, że Twoja sieć jest tak bezpieczna, jak najgłupsza decyzja podjęta w pośpiechu przed Wigilią. Cyberprzestępcy nie szukają wyrafinowanych dziur w Twoim firewallu, gdy mogą po prostu wysłać SMS o rzekomej dopłacie do paczki. To prostsze, tańsze i cholernie skuteczne.
Magecart nie potrzebuje Twojego hasła
Większość menedżerów myśli, że jeśli strona ma "kłódkę" przy adresie URL, to wszystko jest w porządku. To bzdura. Grupy takie jak Magecart, operujące na skryptach typu sniffer, wstrzykują złośliwy kod JavaScript bezpośrednio do legalnych sklepów. Kupujesz prezent, wpisujesz dane karty, a kod w tle wysyła je na serwer w Rosji czy innym bezpiecznym porcie dla złodziei.
W 2023 roku ofiarą takiej operacji padł gigant British Airways, co skończyło się gigantyczną karą od ICO. Przestępcy wykorzystali lukę w zewnętrznych skryptach ładowanych na stronie. Jeśli myślisz, że Twój ulubiony sklep z elektroniką ma lepiej zabezpieczony łańcuch dostaw oprogramowania, to jesteś w błędzie. Skrypty śledzące, czaty i analityka to idealne wektory ataku, których nikt nie audytuje przed świętami.
Logistyka na krawędzi wytrzymałości
Grudzień to złote żniwa dla kampanii smishingowych. Scenariusz jest zawsze taki sam: "Twoja paczka została wstrzymana z powodu braku numeru domu". Ofiara klika w link, trafia na idealną kopię strony InPostu lub DHL i podaje dane karty płatniczej. Kilka minut później konto zostaje wyczyszczone przez systemy typu Automatic Transfer System (ATS).
Prawdziwym problemem są zestawy narzędzi typu Phishing-as-a-Service, jak chociażby "Greatness". Pozwalają one nawet średnio rozgarniętemu nastolatkowi na omijanie wieloskładnikowego uwierzytelniania (MFA) poprzez kradzież ciasteczek sesyjnych. Pracownik logujący się do firmowej poczty na tym samym komputerze, na którym właśnie "opłacał" paczkę, to otwarta brama do Twoich systemów CRM i ERP. Jeden błąd przy zakupie skarpetek może kosztować firmę dostęp do bazy klientów.
Realny koszt "okazji"
Pamiętacie wyciek danych z polskiego sklepu Morele.net? Choć to stara sprawa, mechanizm pozostał ten sam. Wyciekły dane milionów użytkowników, co później posłużyło do precyzyjnych ataków socjotechnicznych. Straty wizerunkowe i kary od UODO to tylko wierzchołek góry lodowej. Koszt przywrócenia ciągłości biznesu po incydencie ransomware, który zaczął się od jednego zainfekowanego laptopa domowego, potrafi wyłożyć średniej wielkości firmę w tydzień.
Średnia kwota okupu w 2024 roku przekroczyła dwa miliony dolarów, ale dla małego przedsiębiorcy strata rzędu pięćdziesięciu tysięcy złotych z konta firmowego jest równie zabójcza. Złodzieje nie mają skrupułów. Wykorzystują pośpiech i zmęczenie Twoich ludzi, którzy w godzinach pracy domykają prywatne sprawy.
Jak przetrwać grudzień i nie oszaleć
Przestań ufać, zacznij izolować. Wdróż kategoryzację stron internetowych i zablokuj dostęp do nowo zarejestrowanych domen. Większość sklepów-krzaków żyje tylko kilka dni. Jeśli domena ma mniej niż trzydzieści dni, nie ma prawa być odwiedzana z komputerów firmowych. To proste rozwiązanie tnie 80% ryzyka.
Zmuś pracowników do korzystania z wirtualnych kart płatniczych z limitem jednorazowym. Jeśli dane wyciekną, złodziej dostanie bezużyteczny numer. Dodatkowo, wymuś stosowanie kluczy sprzętowych U2F dla dostępów administracyjnych. Żaden phishing nie ukradnie fizycznego klucza, który leży w Twojej kieszeni. To jedyna metoda, która faktycznie działa przeciwko nowoczesnym zestawom do kradzieży sesji.
Twoja infrastruktura wytrzyma atak, jeśli założysz, że człowiek i tak popełni błąd. Buduj systemy tak, by jedna pomyłka przy zakupie choinki nie skończyła się wizytą ABW lub komornika w biurze. Prawdziwe bezpieczeństwo to brak zaufania do czegokolwiek, co klika Twoja załoga.
Bibliografia:
Raport Mandiant M-Trends 2024.
Analiza grupy Magecart – RiskIQ/Cyberint.
Baza CVE: CVE-2023-34048 oraz analizy bypassu MFA w raportach Microsoft Threat Intelligence.
Statystyki NASK dotyczące incydentów smishingu w Polsce (Q4 2024).
