เกิดอะไรขึ้นในการโจมตีของ Jack Henry

Jack Henry บริษัทเทคโนโลยีทางการเงินที่ระบบของบริษัทรองรับธนาคารและสหกรณ์เครดิต เพิ่งยืนยันเหตุการณ์แรนซัมแวร์ที่ไม่ได้เริ่มต้นจากการโจมตีทางเทคนิค แต่เริ่มจากสายโทรศัพท์ ตามรายงานที่มีอยู่ ผู้โจมตีใช้การหลอกลวงทางเสียง หรือที่รู้จักกันในชื่อ vishing เพื่อชักใยพนักงานให้อนุญาตการเข้าถึงซึ่งในท้ายที่สุดทำให้ข้อมูลจำนวนจำกัดถูกขโมยออกไป ตั้งแต่นั้นบริษัทได้เริ่มกระบวนการรับมือเหตุการณ์แล้ว แม้ว่ารายละเอียดที่เปิดเผยต่อสาธารณะเกี่ยวกับขอบเขตของการละเมิดและข้อมูลเฉพาะที่เกี่ยวข้องจะยังคงมีจำกัดก็ตาม

สิ่งที่ทำให้เหตุการณ์นี้โดดเด่นไม่ใช่แรนซัมแวร์ที่ใช้โจมตี แต่เป็นจุดเริ่มต้นของการโจมตี แทนที่จะเจาะช่องโหว่ของซอฟต์แวร์หรือถอดรหัสการเข้าสู่ระบบแบบเดาสุ่ม ผู้โจมตีรายงานว่าเลือกโจมตีจุดอ่อนที่สุดในสถาปัตยกรรมความปลอดภัยส่วนใหญ่โดยตรง: คนที่รับโทรศัพท์

การหลอกลวงทางเสียงหลบเลี่ยงการตรวจสอบความปลอดภัยของพนักงานได้อย่างไร

การหลอกลวงทางเสียงทำงานโดยการแอบอ้างเป็นแหล่งข้อมูลที่เชื่อถือได้ เช่น ฝ่ายช่วยเหลือด้านไอที ผู้จำหน่าย หรือแผนกภายใน และกดดันให้พนักงานดำเนินการบางอย่างที่ปกติแล้วพวกเขาจะไม่ทำ อาจเป็นการรีเซ็ตรหัสผ่าน อนุมัติพร้อมท์เข้าสู่ระบบ หรือแชร์รหัสแบบใช้ครั้งเดียว ในกรณีของ Jack Henry รายงานที่ระบุว่ามีการใช้การหลอกลวงทางเสียงเพื่อกำหนดเป้าหมาย "ความไว้วางใจของพนักงาน" ชี้ให้เห็นว่าผู้โจมตีอาศัยวิศวกรรมสังคมที่น่าเชื่อถือมากกว่าข้อบกพร่องใดๆ ในการป้องกันเครือข่ายของบริษัท

กลวิธีนี้เริ่มแพร่หลายมากขึ้นเพราะมันเลี่ยงการควบคุมทางเทคนิคที่องค์กรใช้เงินมากที่สุด ไฟร์วอลล์ไม่สามารถหยุดสายโทรศัพท์ได้ ระบบตรวจจับการบุกรุกไม่สามารถแจ้งเตือนการสนทนาได้ เมื่อผู้โจมตีฟังดูน่าเชื่อถือ เร่งด่วน และคุ้นเคยกับกระบวนการภายใน แม้แต่พนักงานที่ผ่านการฝึกอบรมก็อาจถูกชักจูงให้ข้ามขั้นตอนที่ปกติแล้วพวกเขาจะปฏิบัติตาม

กลไกพื้นฐานคล้ายคลึงกับวิธีการวิศวกรรมสังคมอื่นๆ ที่สร้างปัญหาให้กับภาคโทรคมนาคมและการเงิน เช่น การสลับซิม ซึ่งผู้โจมตีโน้มน้าวให้ผู้ให้บริการเครือข่ายมือถือโอนหมายเลขโทรศัพท์ของเหยื่อไปยังอุปกรณ์ที่พวกเขาควบคุม ในทั้งสองกรณี ผู้โจมตีไม่ได้เจาะการเข้ารหัสหรือหาประโยชน์จากโค้ด พวกเขากำลังหาประโยชน์จากกระบวนการตัดสินใจของมนุษย์ ใช้ความมั่นใจและแรงกดดันทางสังคมเพื่อให้คนอื่นทำงานแทนพวกเขา

ทำไม MFA และ VPN ถึงไม่สามารถหยุดวิศวกรรมสังคมได้

ควรพูดตรงๆ ว่า: การยืนยันตัวตนแบบหลายปัจจัย (MFA) และ VPN เป็นเครื่องมือความปลอดภัยที่จำเป็น แต่พวกมันไม่ถูกออกแบบมาเพื่อหยุดวิศวกรสังคมที่มุ่งมั่นซึ่งโน้มน้าวให้ใครสักคนอนุญาตการเข้าถึงโดยสมัครใจ MFA ยืนยันว่าคำขอมาจากอุปกรณ์หรือข้อมูลประจำตัวที่ถูกต้องตามกฎหมาย มันไม่ได้ยืนยันว่าคนที่อนุมัติการแจ้งเตือนแบบพุชเข้าใจจริงๆ ว่าพวกเขากำลังอนุมัติอะไร โดยเฉพาะอย่างยิ่งเมื่อผู้โทรเพิ่งบอกพวกเขาว่าเป็นการตรวจสอบไอทีตามปกติ

ในทำนองเดียวกัน VPN เข้ารหัสการรับส่งข้อมูลและสามารถจำกัดการเข้าถึงเครือข่ายให้เฉพาะผู้ใช้ที่ได้รับอนุญาต แต่มันไม่สามารถแยกแยะระหว่างพนักงานที่ได้รับอนุญาตกับพนักงานที่ได้รับอนุญาตซึ่งเพิ่งถูกชักใยให้มอบข้อมูลประจำตัวของพวกเขาไป เมื่อผู้โจมตีมีการเข้าถึงที่ถูกต้อง ไม่ว่าจะผ่านรหัสผ่านที่ถูกขโมย การอนุมัติพรอมต์ MFA หรือหมายเลขโทรศัพท์ที่ถูกเปลี่ยนเส้นทาง VPN จะถือว่าพวกเขาเป็นผู้ใช้ที่ถูกต้องตามกฎหมาย

นี่คือบทเรียนสำคัญของเหตุการณ์ Jack Henry: การป้องกันทางเทคนิคแบบหลายชั้นมีความสำคัญ แต่มันไม่สามารถชดเชยช่องว่างในการฝึกอบรมพนักงานเกี่ยวกับวิธีตรวจสอบคำขอที่ไม่คาดคิดได้อย่างเต็มที่ โดยเฉพาะคำขอที่มาจากทางโทรศัพท์และสร้างความรู้สึกเร่งด่วน

บทเรียนสำหรับผู้บริโภคและสถาบันการเงินเกี่ยวกับการป้องกันในชั้นมนุษย์

สำหรับสถาบันการเงินและองค์กรใดๆ ที่จัดการกับข้อมูลที่ละเอียดอ่อน ข้อสรุปไม่ใช่การละทิ้งการใช้งาน MFA หรือ VPN แต่คือการปฏิบัติต่อชั้นมนุษย์เป็นโดเมนความปลอดภัยของตัวเองที่ต้องการการดูแลอย่างต่อเนื่อง ซึ่งรวมถึงการฝึกอบรมพนักงานให้ตรวจสอบผู้โทรอย่างอิสระผ่านช่องทางที่รู้จักและแยกต่างหากก่อนดำเนินการใดๆ ที่เกี่ยวข้องกับข้อมูลประจำตัว การเปลี่ยนแปลงการเข้าถึง หรือข้อมูลที่ละเอียดอ่อน นอกจากนี้ยังหมายถึงการสร้างกระบวนการภายในที่ไม่พึ่งพาการตัดสินใจของพนักงานในขณะนั้นเพียงอย่างเดียว เช่น การกำหนดให้มีการอนุมัติรองสำหรับการเปลี่ยนแปลงบัญชีที่มีความเสี่ยงสูง

สำหรับผู้บริโภค หลักการเดียวกันนี้ใช้ได้ในระดับที่เล็กลง จงระแวงโทรศัพท์ที่ไม่คาดคิดซึ่งอ้างว่ามาจากธนาคาร ผู้ให้บริการมือถือ หรือผู้ให้บริการใดๆ ของคุณ โดยเฉพาะอย่างยิ่งหากพวกเขาขอให้คุณอ่านรหัสยืนยันกลับหรืออนุมัติการเข้าสู่ระบบ องค์กรที่ถูกต้องตามกฎหมายแทบไม่มีความจำเป็นต้องขอให้คุณทำสิ่งนี้ทางโทรศัพท์

ความหมายสำหรับคุณ

หากคุณเป็นลูกค้าของธนาคารหรือสหกรณ์เครดิตที่พึ่งพาเทคโนโลยีของ Jack Henry ไม่มีข้อบ่งชี้ในรายงานปัจจุบันว่าข้อมูลประจำตัวบัญชีส่วนบุคคลถูกบุกรุก แต่นี่เป็นช่วงเวลาที่เหมาะสมในการทบทวนความปลอดภัยของบัญชีของคุณเอง หากคุณทำงานในองค์กรไม่ว่าจะขนาดใด เหตุการณ์นี้เป็นกรณีศึกษาที่มีประโยชน์ว่าทำไมการฝึกอบรมความตระหนักรู้ด้านความปลอดภัยจึงต้องพูดถึงวิศวกรรมสังคมทางเสียงโดยเฉพาะ ไม่ใช่แค่ฟิชชิงทางอีเมล

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ตรวจสอบคำขอทางโทรศัพท์ที่ไม่คาดคิดผ่านช่องทางการติดต่อที่รู้จักและแยกต่างหากก่อนดำเนินการใดๆ
  • อย่าแชร์รหัสผ่านแบบใช้ครั้งเดียวหรืออนุมัติพรอมต์ MFA สำหรับการเข้าสู่ระบบที่คุณไม่ได้เป็นผู้เริ่มต้น
  • ผลักดันนโยบายองค์กรที่กำหนดให้มีการยืนยันรองสำหรับการเปลี่ยนแปลงบัญชีหรือการเข้าถึงที่ละเอียดอ่อน
  • เรียนรู้เกี่ยวกับกลวิธีวิศวกรรมสังคมที่เกี่ยวข้องเช่น การสลับซิม เพื่อเข้าใจว่าผู้โจมตีเลี่ยงการยืนยันตัวตนโดยไม่ต้องเจาะการเข้ารหัสได้อย่างไร

การโจมตีแรนซัมแวร์ของ Jack Henry เป็นเครื่องเตือนใจว่าการโจมตีแรนซัมแวร์ผ่านการหลอกลวงทางเสียงไม่จำเป็นต้องเอาชนะซอฟต์แวร์ความปลอดภัยของคุณ มันเพียงแค่ต้องโน้มน้าวคนคนหนึ่งให้ไว้วางใจเสียงที่ผิดอีกฝั่งของสายโทรศัพท์