Менеджери тепер стали пріоритетною точкою входу для програм-вимагачів
Новий аналіз однієї кампанії програм-вимагачів показав, що майже дві третини цільових осіб обіймали керівні посади або вище. Ця статистика, оприлюднена ZDNET, свідчить про помітний зсув у тому, як оператори програм-вимагачів обирають своїх жертв. Замість того, щоб розкидати широку сітку на всю робочу силу, зловмисники, схоже, навмисно виокремлюють людей із розширеним доступом, повноваженнями ухвалювати рішення або ж і тим, і іншим.
Це не просто цікавинка для команд безпеки. Це має реальні наслідки для приватності працівників, чутливості даних, які контролюють ці менеджери, і того, як організації визначають, кого насправді потрібно навчати та захищати найтерміновіше.
Чому менеджери стали головними цілями
Логіка цього зсуву стає очевидною, якщо врахувати, до чого зазвичай має доступ менеджер. Менеджери часто перебувають на перетині операційних даних, кадрових записів, фінансових погоджень та адміністративних дозволів у багатьох системах. Компрометація одного облікового запису може дати зловмиснику значно ширшу точку опори, ніж компрометація облікового запису рядового працівника.
Це віддзеркалює закономірність, яку дослідники безпеки вже фіксували в інших місцях. Як висвітлювалося в пов'язаному звіті про те, як банди програм-вимагачів тепер націлюються на ІТ-менеджерів, а не на генеральних директорів, зловмисники відійшли від припущення, що найбільший викуп дає полювання на самий верх організаційної структури. Натомість менеджери середньої ланки, особливо в ІТ, операційній діяльності чи фінансах, часто мають практичні ключі до критичних систем без такого ж рівня перевірки чи ресурсів безпеки, які зазвичай зарезервовані для керівників вищої ланки.
Менеджери також привабливі тим, що перебувають у комунікаційній "золотій точці". Вони отримують великий обсяг електронних листів як від підлеглих, так і від вищого керівництва, що робить фішингові спроби, які імітують будь-який із цих напрямків, правдоподібними. Повідомлення, яке виглядає як запит на погодження від безпосереднього підлеглого або як вимога термінової дії від керівника — це саме той тип соціальної інженерії, який експлуатує щоденну рутину менеджера.
Наслідки для приватності, про які ніхто не говорить
У висвітленні програм-вимагачів часто губиться те, наскільки ці атаки пов'язані з витоком особистої приватної інформації. Менеджери часто мають доступ до конфіденційної інформації про працівників: оцінок ефективності, даних про зарплату, дисциплінарних записів, а іноді й відомостей про здоров'я чи сімейні обставини, якими діляться під час розмов віч-на-віч. Коли обліковий запис або пристрій менеджера скомпрометовано, ці особисті дані, що належать членам його команди, також стають вразливими, а не лише інтелектуальна власність чи фінансові записи компанії.
Це створює ефект доміно. Атака, яка починається як інцидент із програмою-вимагачем, націленою на одного менеджера, може непомітно перетворитися на інцидент із витоком персональних даних, що зачіпає десятки працівників, які самі ніколи не натискали шкідливого посилання. Організації, які зважують свої засоби захисту від програм-вимагачів, повинні враховувати цей вторинний рівень вразливості, особливо згідно з нормами захисту даних, які покладають на компанії відповідальність за збереження інформації про працівників незалежно від того, як стався витік.
Шість практичних кроків для зниження ризику
Спираючись на закономірності цієї кампанії, кілька конкретних заходів вирізняються як справді корисні, а не просто загальні поради:
- Застосовуйте принцип найменших привілеїв до управлінських облікових записів. Менеджери повинні мати доступ лише до тих систем і даних, які їм дійсно потрібні для виконання їхньої ролі, а не загальний доступ, успадкований від назви посади.
- Використовуйте окремі облікові дані для адміністративних завдань. Якщо менеджеру час від часу потрібен розширений доступ, цей доступ повинен вимагати окремого логіна, а не використання його повсякденного облікового запису електронної пошти.
- Приділіть пріоритетну увагу тренінгам з імітації фішингу саме для управлінської ланки. Загальні тренінги для всього персоналу корисні, але менеджери стикаються з більш цілеспрямованими та переконливими приманками, і їхнє навчання повинно це відображати.
- Запровадьте багатофакторну автентифікацію всюди, без винятків для зручності. Зловмисники, націлені на менеджерів, розраховують на швидші погодження та менше перешкод; багатофакторна автентифікація усуває цю прогалину.
- Сегментуйте мережі так, щоб один скомпрометований обліковий запис не міг дістатися до всього. Обмеження горизонтального переміщення зменшує обсяг шкоди, яку може завдати один викрадений обліковий запис.
- Підтримуйте протестовані, офлайн-резервні копії критичних даних. Навіть якщо атака буде успішною, надійний план відновлення зменшує вплив, який мають оператори програм-вимагачів під час переговорів.
Що це означає для вас
Якщо ви менеджер, цей звіт є прямим сигналом того, що ваша поштова скринька та ваші облікові записи несуть більший ризик, ніж ви могли припускати. Варто запитати вашу ІТ-команду або команду безпеки, чи відповідають ваші привілеї доступу тому, що ви фактично використовуєте щодня, і чи отримуєте ви навчання, адаптоване до тих видів цілеспрямованих фішингових спроб, з якими стикаються саме менеджери.
Якщо ви відповідаєте за політику безпеки, це привід переглянути, кого навчають найінтенсивніше і як розподіляються привілеї облікових записів на управлінському рівні вашої організації. Дані свідчать, що програми-вимагачі націлюються на менеджерів не випадково, а через те, до чого їхня роль надає їм доступ.
Підсумок
Той факт, що програми-вимагачі тепер настільки непропорційно націлені на менеджерів, повинен змінити те, як організації пріоритезують навчання з безпеки та контроль доступу. Це не про припущення, що кожен менеджер є слабкою ланкою, а про визнання того, що їхнє становище в організаційній структурі робить їх цінною ціллю незалежно від намірів чи обізнаності. Перегляд привілеїв доступу, посилення вимог до автентифікації та проведення навчання, специфічного для ролі, — це практичні кроки, які будь-яка організація може зробити вже зараз, не чекаючи, поки інцидент змусить вирішувати це питання.
