Jack Henry Zsarolóvírus-támadás: A hangos adathalászat kihasználta a bizalmat

Mi történt a Jack Henry-incsident során

A Jack Henry, egy pénzügyi technológiai vállalat, amelynek rendszerei bankokat és hitelszövetkezeteket támogatnak, nemrég megerősített egy zsarolóvírus-incidenst, amely nem technikai kihasználással, hanem egy telefonhívással kezdődött. A rendelkezésre álló jelentések szerint a támadók hangos adathalászatot, más néven vishinget alkalmaztak, hogy egy munkavállalót manipuláljanak hozzáférés biztosítására, ami végső soron korlátozott mennyiségű adat kiemelését tette lehetővé. A vállalat azóta elindította incidenskezelési folyamatát, bár a jogsértés mértékére és az érintett konkrét adatokra vonatkozó részletek a nyilvános jelentésekben továbbra is korlátozottak.

Ami ezt az incidenst figyelemre méltóvá teszi, az nem maga a zsarolóvírus-terhelés. Hanem a belépési pont. Ahelyett, hogy szoftveres sérülékenységet használtak volna ki, vagy erőszakos bejelentkezést alkalmaztak volna, a támadók állítólag egyenesen a legtöbb biztonsági architektúra leggyengébb láncszeméhez fordultak: egy telefonra válaszoló emberhez.

Hogyan kerülte meg a hangos adathalászat a munkavállalói biztonsági ellenőrzéseket

A hangos adathalászat úgy működik, hogy megbízható forrásnak adja ki magát – gyakran IT helpdesknek, szállítónak vagy belső osztálynak –, és nyomást gyakorol egy munkavállalóra, hogy olyan lépést tegyen, amelyet egyébként nem tenne meg. Ez jelenthet jelszó-visszaállítást, bejelentkezési kérés jóváhagyását vagy egyszeri kód megosztását. A Jack Henry esetében a hangos adathalászat "munkavállalói bizalomra" irányuló jelentett alkalmazása arra utal, hogy a támadók meggyőző társadalmi manipulációra hagyatkoztak, nem pedig a vállalat hálózati védelmének bármely hibájára.

Ez a taktika egyre gyakoribbá vált, mert megkerüli azokat a technikai ellenőrzéseket, amelyekre a szervezetek a legtöbb pénzt költik. Egy tűzfal nem tud megállítani egy telefonhívást. Egy behatolásjelző rendszer nem jelzi a beszélgetést. Amikor egy támadó hitelesnek, sürgősnek és belső folyamatokban járatosnak hangzik, még a képzett munkavállalókat is rá lehet beszélni arra, hogy megkerüljék azokat a lépéseket, amelyeket egyébként követnének.

Az alapul szolgáló mechanizmusok hasonlóak más társadalmi manipulációs módszerekhez, amelyek a távközlési és pénzügyi ágazatot sújtották, mint például a SIM-csere, ahol a támadók meggyőznek egy mobilszolgáltatót, hogy az áldozat telefonszámát egy általuk ellenőrzött eszközre helyezzék át. Mindkét esetben a támadó nem tör meg titkosítást vagy használ ki kódot. Hanem emberi döntéshozatali folyamatot használ ki, magabiztossággal és társadalmi nyomással éri el, hogy valaki más végezze el helyettük a munkát.

Miért nem állítják meg a társadalmi manipulációt az MFA és a VPN-ek

Érdemes őszintének lenni: a többtényezős hitelesítés és a VPN-ek alapvető biztonsági eszközök, de soha nem úgy tervezték őket, hogy megállítsanak egy elszánt társadalmi manipulátort, aki rávesz valakit a hozzáférés önkéntes jóváhagyására. Az MFA ellenőrzi, hogy egy kérés legitim eszközről vagy hitelesítő adatról érkezik-e. Semmit nem tesz annak ellenőrzésére, hogy a push-értesítést jóváhagyó személy valóban érti-e, mit hagy jóvá, különösen, ha egy hívó épp azt mondta neki, hogy rutin IT-ellenőrzésről van szó.

Hasonlóképpen, a VPN titkosítja a forgalmat, és korlátozhatja a hálózati hozzáférést az engedélyezett felhasználókra, de nem tud különbséget tenni egy engedélyezett munkavállaló és egy engedélyezett munkavállaló között, akit épp manipuláltak hitelesítő adatai átadására. Amint egy támadó érvényes hozzáféréssel rendelkezik – akár ellopott jelszóval, jóváhagyott MFA-kéréssel vagy átirányított telefonszámon keresztül –, a VPN legitimként kezeli őket.

Ez a Jack Henry-incsident fő tanulsága: a rétegzett technikai védelem számít, de nem tudja teljesen ellensúlyozni azt a hiányosságot, hogy a munkavállalókat hogyan képzik ki a váratlan kérések ellenőrzésére, különösen azokéra, amelyek telefonon érkeznek és sürgősségérzetet keltenek.

Tanulságok fogyasztók és pénzügyi intézmények számára az emberi réteg védelméről

A pénzügyi intézmények és bármely, érzékeny adatot kezelő szervezet számára a tanulság nem az, hogy hagyjanak fel az MFA vagy VPN használatával. Hanem az, hogy az emberi réteget saját biztonsági területként kezeljék, amely folyamatos figyelmet igényel. Ez magában foglalja a munkatársak képzését arra, hogy a hívókat függetlenül, egy külön, ismert csatornán keresztül ellenőrizzék, mielőtt bármilyen, hitelesítő adatokra, hozzáférés-változtatásokra vagy érzékeny adatokra vonatkozó kérésre reagálnának. Azt is jelenti, hogy olyan belső folyamatokat építsenek ki, amelyek nem kizárólag a munkavállaló pillanatnyi ítélőképességére hagyatkoznak, például másodlagos jóváhagyást írnak elő a magas kockázatú fiókváltoztatásokhoz.

A fogyasztók számára ugyanez az elv kisebb léptékben érvényesül. Legyen szkeptikus a váratlan hívásokkal szemben, amelyek bankjától, mobilszolgáltatójától vagy bármely szolgáltatótól állítják magukat, különösen, ha arra kérik, hogy olvasson vissza egy ellenőrző kódot vagy hagyjon jóvá egy bejelentkezést. A legitim szervezeteknek ritkán van szükségük erre telefonon.

Mit jelent ez Önnek

Ha olyan bank vagy hitelszövetkezet ügyfele, amely a Jack Henry technológiájára támaszkodik, a jelenlegi jelentésekben nincs arra utaló jel, hogy egyéni fiókhitelesítő adatok kompromittálódtak volna, de ez ésszerű alkalom arra, hogy áttekintse saját fiókbiztonságát. Ha bármilyen méretű szervezetnél dolgozik, ez az incidens hasznos esettanulmány arra, hogy a biztonsági tudatossági képzésnek miért kell kifejezetten a hangalapú társadalmi manipulációra összpontosítania, nem csak az e-mailes adathalászatra.

Hasznos tanácsok

• A váratlan telefonos kéréseket egy külön, ismert kapcsolati csatornán keresztül ellenőrizze, mielőtt bármilyen lépést tenne.
• Soha ne osszon meg egyszeri jelszavakat, és ne hagyjon jóvá MFA-kéréseket olyan bejelentkezésekhez, amelyeket Ön nem kezdeményezett.
• Szorgalmazza az olyan szervezeti szabályzatokat, amelyek másodlagos ellenőrzést írnak elő érzékeny fiók- vagy hozzáférés-változtatásokhoz.
• Ismerje meg a kapcsolódó társadalmi manipulációs taktikákat, mint a SIM-csere, hogy megértse, hogyan kerülik meg a támadók a hitelesítést titkosítás feltörése nélkül.

A Jack Henry zsarolóvírus-támadás emlékeztető arra, hogy egy hangos adathalászaton alapuló zsarolóvírus-támadásnak nem kell legyőznie a biztonsági szoftvert. Csak meg kell győznie egyetlen embert, hogy megbízzon a vonal másik végén lévő rossz hangban.