Metoda “na pizzę” - nowy sposób cyberhakerów na firmowe dane

Tylko w Polsce z atakami phishingowymi rocznie styka się blisko 20 proc.internautów. Na celowniku, obok użytkowników banków i systemów płatniczych, są e-klienci sklepów internetowych, co dowodzi, że głównym celem hakerów są nasze pieniądze (dane Kaspersky Lab). Zresztą hakerski “biznes” opłaca się, bo jak podaje Nest Bank, aż 30 proc. Polaków w ogóle nie wie co to phishing, a 32 proc. ma wrażenie, że wie, choć pewności nie ma.

Jednocześnie nadal rośnie liczba ataków whalingowych, czyli bardziej dokładnego i wyrafinowanego phishingu nakierowanego na instytucje rządowe i duże biznesy. Jak donoszą autorzy raportu Verizon DBIR 2019, dziś menedżerowie wysokiego szczebla i dyrektorzy firm (czyli osoby posiadające przywileje wykonawcze i dostęp do wielu zastrzeżonych, często krytycznych rejonów infrastruktury informatyczne) są 12 razy bardziej narażeni na atak socjotechniczny niż jeszcze rok temu.

ZOBACZ TEŻ: Oglądałeś filmy pornograficzne? Mają twoje nagranie!

Najdroższa pizza w historii
Hakerzy stosują różne metody, próbując wykraść ważne dla nich dane, takie jak m.in. dane dostępowe do kont bankowych, numery PIN lub CVC kart kredytowych, szczegółowe dane osobowe czy - w przypadku whalingu - wrażliwe dane firmowe. Nadal głównym, choć nie jedynym wektorem cyberataku są maile, a jedną z najpopularniejszych form - ataki socjotechniczne, czyli takie, które bazują na skłonności człowieka do bezwiednego ulegania wpływom innym. Przekonali się o tym dyrektorzy i pracownicy znanej, międzynarodowej korporacji, której warszawski oddział został zaatakowany przez hakerów metodą “na pizzę”. Pomimo że firma posiadała ochronę sprzętu i oprogramowania na najwyższym, światowym poziomie, cyberprzestępcom udało się znaleźć lukę w zabezpieczeniu. Jak przebiegł atak?

- Na służbowe adresy mailowe, podane na naszej stronie internetowej, przyszła informacja o otwarciu nowej pizzerii w okolicy wraz z 30 proc. zniżką dla pierwszych klientów. Pracownicy skuszeni tą ofertą szybko zorganizowali “Pizza Day” i zamówili 8 pudełek. Menu znajdowało się na stronie www pizzerii, jak się później okazało, która była fałszywa i powstała tylko w celu uwiarygodnienia istnienia nowego lokalu - opowiada Adam, CEO zaatakowanej firmy (ze względów bezpieczeństwa nazwa firmy nie została ujawniona).

Co stało się dalej? Po kilkudziesięciu minutach w firmie pojawił się dostawca z pizzą i gratisem w postaci LEDowych lampek na USB, zmieniających kolory w rytm muzyki. Mile zaskoczeni upominkiem pracownicy bez wahania podłączyli je do komputerów. Nie mieli świadomości, że w ten sposób dali hakerom zdalny dostęp do urządzeń firmowych, a ci w kilka minut zdestabilizowali pracę całego systemu, a co za tym idzie, całej firmy.

Jak to możliwe, że firma posiadająca ochronę na najwyższym poziomie, padła ofiarą cyberprzestępców? Zawiodło najsłabsze, najmniej przewidywalne, a przy tym najbardziej podatne ogniwo, czyli człowiek - w tym przypadku nieświadomi zagrożeń, nieodpowiednio przeszkoleni pod względem bezpieczeństwa pracownicy firmy.

Za atakiem stało TestArmy CyberForces
Na szczęście dla pracowników, atak metodą “na pizzę” okazał się być z góry zaplanowanym audytem bezpieczeństwa, który miał wykazać, na jakich polach firma nadal jest zagrożona. Jak mówi Szymon Chruścicki z TestArmy CyberForces, który na zlecenie korporacji przygotował scenariusz ataku i przeprowadził test socjotechniczny:

- Scenariusz ataku opierał się na kilku prostych krokach. Zaczęliśmy od stworzenia fałszywej strony www, a następnie zamówiliśmy naklejki z nazwą i logo pizzerii. Jako wektor ataku wykorzystaliśmy służbowe maile, podane na stronie atakowanej korporacji. Po otrzymaniu zamówienia od pracowników, nasz pracownik dostarczył pizzę z lokalnej pizzerii, naklejając na pudełko logo naszej fikcyjnej. Posłużyliśmy się regułą wzajemności i sympatii, żeby wymusić na pracownikach podjęcie zaplanowanego działania, w tym przypadku chodziło o podłączenie do komputerów lampek, w które wbudowaliśmy spreparowane pendrive’y ze złośliwym oprogramowaniem. Pod budynkiem czekał nasz specjalista od cyberbezpieczeństwa, który po uzyskaniu zdalnego dostępu do urządzeń, zaszyfrował wszystkie dane w firmowym systemie.

Po co to wszystko? Pamiętajmy, że system bezpieczeństwa jest tak skuteczny jak jego najsłabsze ogniwo, i choćby z tego powodu ataki socjotechniczne są jedną z najskuteczniejszych metod wykorzystywanych przez hakerów. Aby dobrze zrozumieć specyfikę tych zagrożeń, symulacje z użyciem złośliwego oprogramowania są konieczne. Z jednej strony pozwalają ujawnić luki w zabezpieczeniach, a z drugiej - szkolić pracowników jak nie padać ofiarą socjotechnicznych sztuczek stosowanych przez cyberprzestępców.