Hvad skete der i Jack Henry-bruddet

Jack Henry, et finansielt teknologiselskab, hvis systemer understøtter banker og kreditforeninger, bekræftede for nylig en ransomware-hændelse, der ikke begyndte med et teknisk udnyttelse, men med en telefonopringning. Ifølge tilgængelig rapportering brugte angriberne voice phishing, også kendt som vishing, til at manipulere en medarbejder til at give adgang, hvilket i sidste ende gjorde det muligt at udtrække en begrænset mængde data. Virksomheden har siden igangsat sin hændelsesresponsproces, selvom fulde detaljer om omfanget af bruddet og de specifikke involverede data forbliver begrænsede i offentlig rapportering.

Det, der gør denne hændelse bemærkelsesværdig, er ikke selve ransomware-payloadet. Det er indgangspunktet. I stedet for at udnytte en software-sårbarhed eller brute-force et login, gik angriberne angiveligt direkte efter det svageste led i de fleste sikkerhedsarkitekturer: en person, der svarer på telefonen.

Hvordan Voice Phishing omgik medarbejdernes sikkerhedskontroller

Voice phishing fungerer ved at efterligne en betroet kilde, ofte en IT-helpdesk, en leverandør eller en intern afdeling, og presse en medarbejder til at foretage en handling, de normalt ikke ville foretage. Det kan betyde at nulstille en adgangskode, godkende en login-prompt eller dele en engangskode. I Jack Henry-sagen tyder den rapporterede brug af voice phishing til at målrette "medarbejdertillid" på, at angriberne stolede på overbevisende social engineering frem for nogen fejl i virksomhedens netværksforsvar.

Denne taktik er blevet stadig mere almindelig, fordi den omgår de tekniske kontroller, organisationer bruger flest penge på. En firewall kan ikke stoppe en telefonopringning. Et intrusionsdetektionssystem flagger ikke en samtale. Når en angriber lyder troværdig, presser på og er fortrolig med interne processer, kan selv trænede medarbejdere overtales til at springe trin over, de ellers ville følge.

De underliggende mekanismer ligner andre social engineering-metoder, der har plaget tele- og finanssektoren, såsom SIM-swapping, hvor angribere overtaler en mobilselskab til at overføre et offers telefonnummer til en enhed, de kontrollerer. I begge tilfælde bryder angriberen ikke kryptering eller udnytter kode. De udnytter en menneskelig beslutningsproces ved at bruge selvtillid og socialt pres til at få en anden til at gøre arbejdet for dem.

Hvorfor MFA og VPN'er Ikke Stopper Social Engineering

Det er værd at være direkte om dette: multi-faktor-godkendelse og VPN'er er essentielle sikkerhedsværktøjer, men de blev aldrig designet til at stoppe en målrettet social engineer, der overbeviser nogen om at godkende adgang frivilligt. MFA verificerer, at en anmodning kommer fra en legitim enhed eller legitimationsoplysning. Det gør intet for at verificere, at personen, der godkender en push-besked, faktisk forstår, hvad de godkender, især hvis en opkaldende lige har fortalt dem, at det er en rutinemæssig IT-kontrol.

Tilsvarende krypterer en VPN trafik og kan begrænse netværksadgang til autoriserede brugere, men den kan ikke skelne mellem en autoriseret medarbejder og en autoriseret medarbejder, der lige er blevet manipuleret til at udlevere sine legitimationsoplysninger. Når en angriber har gyldig adgang, uanset om det er gennem et stjålet kodeord, en godkendt MFA-prompt eller et omdirigeret telefonnummer, behandler VPN'en dem som legitime.

Dette er kernelektionen fra Jack Henry-hændelsen: lagdelte tekniske forsvarsværker betyder noget, men de kan ikke fuldt ud kompensere for et hul i, hvordan medarbejdere er trænet til at verificere uventede anmodninger, især dem, der kommer via telefon og skaber en følelse af hastværk.

Lektioner til Forbrugere og Finansielle Institutioner om Forsvar på Det Menneskelige Lag

For finansielle institutioner og enhver organisation, der håndterer følsomme data, er pointen ikke at opgive MFA- eller VPN-brug. Det er at behandle det menneskelige lag som sit eget sikkerhedsdomæne, der kræver løbende opmærksomhed. Det inkluderer at træne personale til selvstændigt at verificere opkaldende gennem en separat, kendt kanal, før de handler på enhver anmodning, der involverer legitimationsoplysninger, adgangsændringer eller følsomme data. Det betyder også at bygge interne processer, der ikke udelukkende afhænger af en medarbejders dømmekraft i øjeblikket, såsom at kræve sekundær godkendelse til højrisiko-kontoændringer.

For forbrugere gælder samme princip i mindre skala. Vær skeptisk over for uventede opkald, der hævder at være fra din bank, dit mobilselskab eller enhver tjenesteudbyder, især hvis de beder dig om at læse en verificeringskode op eller godkende et login. Legitime organisationer har sjældent brug for, at du gør dette over telefonen.

Hvad Dette Betyder For Dig

Hvis du er kunde i en bank eller kreditforening, der er afhængig af Jack Henrys teknologi, er der ingen indikation i den nuværende rapportering om, at individuelle kontolegitimationer er blevet kompromitteret, men det er et rimeligt tidspunkt at gennemgå din egen kontosikkerhed. Hvis du arbejder i en organisation af enhver størrelse, er denne hændelse en nyttig case study for, hvorfor sikkerhedsbevidsthedstræning specifikt skal adressere voice-baseret social engineering, ikke kun e-mail-phishing.

Handlingsorienterede Takeaway'er

  • Verificer uventede telefonanmodninger gennem en separat, kendt kontaktkanal, før du foretager nogen handling.
  • Del aldrig engangskoder eller godkend MFA-prompter for logins, du ikke selv har initieret.
  • Arbejd for organisatoriske politikker, der kræver sekundær verifikation for følsomme konto- eller adgangsændringer.
  • Lær om relaterede social engineering-taktikker som SIM-swapping for at forstå, hvordan angribere omgår autentifikation uden at bryde kryptering.

Jack Henry-ransomware-angrebet er en påmindelse om, at et voice phishing-ransomware-angreb ikke behøver at besejre din sikkerhedssoftware. Det skal bare overbevise én person om at stole på den forkerte stemme i den anden ende af linjen.