Какво се случи при пробива на Jack Henry

Jack Henry, компания за финансови технологии, чиито системи поддържат банки и кредитни съюзи, наскоро потвърди инцидент с ransomware, който започна не с технически експлойт, а с телефонно обаждане. Според наличните репортажи, атакуващите са използвали гласов фишинг, известен още като вишинг, за да манипулират служител да предостави достъп, което в крайна сметка е довело до извличането на ограничено количество данни. Компанията оттогава е стартирала процеса си за реагиране при инциденти, въпреки че пълните подробности за обхвата на пробива и конкретните данни остават ограничени в публичните репортажи.

Това, което прави този инцидент забележителен, не е самият пейлоуд на ransomware. Това е входната точка. Вместо да експлоатират софтуерна уязвимост или да разбиват парола чрез груба сила, атакуващите очевидно са се насочили директно към най-слабото звено в повечето архитектури за сигурност: човек, който вдига телефона.

Как гласовият фишинг заобиколи проверките за сигурност на служителите

Гласовият фишинг работи, като се представя за доверен източник, често ИТ гише за помощ, доставчик или вътрешен отдел, и оказва натиск върху служителя да предприеме действие, което той не би предприел при нормални обстоятелства. Това може да означава нулиране на парола, одобряване на подкана за влизане или споделяне на еднократен код. В случая с Jack Henry, съобщеното използване на гласов фишинг за насочване към „доверието на служителите" предполага, че атакуващите са разчитали на убедителен социален инженеринг, а не на някакъв пропуск в мрежовите защити на компанията.

Тази тактика става все по-често срещана, защото заобикаля техническите контроли, за които организациите харчат най-много пари. Защитна стена не може да спре телефонно обаждане. Система за откриване на прониквания не отбелязва разговор. Когато атакуващият звучи достоверно, спешно и запознат с вътрешните процеси, дори обучени служители могат да бъдат убедени да заобиколят стъпки, които иначе биха следвали.

Основните механизми са подобни на други методи за социален инженеринг, които тормозят телекомуникационния и финансовия сектор, като SIM суапинг, при който атакуващите убеждават мобилен оператор да прехвърли телефонния номер на жертвата към устройство, което те контролират. И в двата случая атакуващият не разбива криптиране или не експлоатира код. Те експлоатират процеса на човешко вземане на решения, използвайки увереност и социален натиск, за да накарат някой друг да свърши работата вместо тях.

Защо MFA и VPN не спират социалния инженеринг

Струва си да бъдем директни по този въпрос: многофакторното удостоверяване и VPN са основни инструменти за сигурност, но те никога не са били проектирани да спрат решителен социален инженер, който убеди някого доброволно да одобри достъп. MFA проверява, че заявката идва от легитимно устройство или идентификационни данни. То не прави нищо, за да провери дали човекът, който одобрява push известие, наистина разбира какво одобрява, особено ако обаждащ се току-що му е казал, че това е рутинна ИТ проверка.

По подобен начин VPN криптира трафика и може да ограничи мрежовия достъп до оторизирани потребители, но не може да различи упълномощен служител от упълномощен служител, който току-що е бил манипулиран да предаде своите идентификационни данни. След като атакуващият има валиден достъп, независимо дали чрез открадната парола, одобрена MFA подкана или пренасочен телефонен номер, VPN го третира като легитимен.

Това е основният урок от инцидента с Jack Henry: слоестите технически защити имат значение, но не могат напълно да компенсират пропуск в това как служителите са обучени да проверяват неочаквани искания, особено такива, които идват по телефона и създават чувство за спешност.

Уроци за потребителите и финансовите институции относно защитата на човешкия слой

За финансовите институции и всяка организация, която обработва чувствителни данни, изводът не е да се откажат от MFA или VPN. Това е да третират човешкия слой като собствена област на сигурност, която изисква постоянни грижи. Това включва обучение на персонала да проверява независимо обаждащите се чрез отделен, известен канал, преди да предприеме каквото и да е действие, включващо идентификационни данни, промени в достъпа или чувствителни данни. Също така означава изграждане на вътрешни процеси, които не разчитат единствено на преценката на служителя в момента, като например изискване на вторично одобрение за промени в акаунти с висок риск.

За потребителите същият принцип важи в по-малък мащаб. Бъдете скептични към неочаквани обаждания, които твърдят, че са от вашата банка, мобилен оператор или друг доставчик на услуги, особено ако ви помолят да прочетете код за проверка или да одобрите влизане. Легитимните организации рядко се нуждаят от това по телефона.

Какво означава това за вас

Ако сте клиент на банка или кредитен съюз, който разчита на технологията на Jack Henry, няма индикация в настоящите репортажи, че индивидуалните идентификационни данни за акаунти са компрометирани, но това е разумен момент да прегледате собствената си сигурност на акаунтите. Ако работите в организация от всякакъв размер, този инцидент е полезен казус защо обучението за осведоменост по сигурността трябва конкретно да адресира гласовия социален инженеринг, а не само имейл фишинга.

Практически изводи

  • Проверявайте неочаквани телефонни искания чрез отделен, известен контактен канал, преди да предприемете каквото и да е действие.
  • Никога не споделяйте еднократни пароли и не одобрявайте MFA подкани за влизания, които не сте инициирали.
  • Настоявайте за организационни политики, които изискват вторична проверка за чувствителни промени в акаунти или достъп.
  • Научете за свързани тактики за социален инженеринг като SIM суапинг, за да разберете как атакуващите заобикалят удостоверяването, без да разбиват криптиране.

Атаката с ransomware на Jack Henry е напомняне, че атака с ransomware чрез гласов фишинг не е нужно да победи вашия софтуер за сигурност. Просто трябва да убеди един човек да се довери на грешния глас на другия край на линията.