Como um funcionário pode destruir sua empresa: 7 exemplos de analfabetismo digital

Novos tipos de ameaças cibernéticas estão surgindo todos os dias. Pode parecer que os hackers e golpistas estão atrás apenas dos gigantes do mercado. Mas este não é o caso. 63% de todos os ataques são direcionados RELATÓRIO DE AMEAÇA DE CIBERNÉTICA pequenas empresas e 60% das pequenas empresas estão fechando após um ataque cibernético. Além disso, as vítimas dos ataques não são necessariamente startups do Vale do Silício. O Gabinete do Procurador-Geral da Federação Russa registrou Ameaça à informação: como proteger você e sua empresa contra cibercriminosos 180.153 cibercrimes nos primeiros seis meses de 2019. E isso é 70% a mais do que em 2018.

Mesmo que você tenha um departamento de TI inteiro e antivírus instalados em todos os computadores, isso não é suficiente para uma proteção confiável. Além disso, há sempre um fator humano: as ações erradas dos funcionários podem levar a um desastre digital. Portanto, é importante conversar com sua equipe sobre ameaças cibernéticas e explicar como se proteger. Reunimos sete situações em que a indiscrição de uma pessoa pode custar caro à sua empresa.

1. Seguindo um link malicioso

• Situação: um e-mail é enviado para a correspondência do funcionário, que se parece com uma correspondência normal de um destinatário familiar. A carta contém um botão que leva a um site que não levanta suspeitas em ninguém. O funcionário segue o link e é redirecionado para o site de golpes.

O mecanismo descrito é o chamado ataque de phishing. Pesquisa da Microsoft diz Pesquisa da Microsoft: Ataques de phishing crescem 350% em 2018que este é um dos esquemas fraudulentos mais comuns. Em 2018, o número desses ataques aumentou 350%. O phishing é perigoso porque inclui elementos de engenharia social: os invasores enviam emails por email em nome de uma empresa ou de uma pessoa em quem a vítima certamente confia.

Os esquemas fraudulentos estão se tornando cada vez mais complexos: os ataques ocorrem em vários estágios, os e-mails são enviados de diferentes endereços IP. Um e-mail de phishing pode até mesmo ser disfarçado como uma mensagem de um executivo da empresa.

Para não ser pego, você precisa ler atentamente todas as cartas, perceber discrepâncias em uma letra ou símbolo no endereço e, em caso de alguma suspeita, entre em contato com o remetente antes de fazer algo.

Artyom Sinitsyn

Diretor de Programas de Segurança da Informação na Europa Central e Oriental, Microsoft.

Além do analfabetismo regular em segurança da informação, também é necessário realizar "exercícios de campo" - para realizar envios de phishing controlados e registre quantas pessoas leram mensagens, se elas seguem os links dentro da carta e abrem o anexo documentos. Por exemplo, o Microsoft Office 365 inclui a ferramenta Attack Simulator. Ele permite que você faça esse envio com alguns cliques do mouse e obtenha um relatório com dados precisos.

2. Baixando um arquivo infectado

• Situação: o funcionário precisa de um novo software para trabalhar. Ele decide baixar o programa em domínio público e acaba em um site onde o malware finge ser um software útil.

Os vírus na Internet costumam ser disfarçados como software funcional. Isso é chamado de spoofing - falsificar o propósito de um programa para prejudicar o usuário. Assim que o funcionário abre o arquivo baixado, seu computador cai na zona de risco. Além disso, alguns sites baixam automaticamente códigos maliciosos para o seu computador - mesmo sem você tentar baixar algo. Esses ataques são chamados de downloads drive-by.

Outras consequências dependem do tipo de vírus. O ransomware costumava ser comum: bloqueava o computador e exigia um resgate do usuário para voltar à operação normal. Agora, outra opção é mais comum - os invasores usam os computadores de outras pessoas para minerar criptomoedas. Ao mesmo tempo, outros processos ficam lentos e o desempenho do sistema diminui. Além disso, tendo acesso a um computador, os fraudadores podem obter dados confidenciais a qualquer momento.

Artyom Sinitsyn

Diretor de Programas de Segurança da Informação na Europa Central e Oriental, Microsoft.

É por causa desses cenários que é importante integrar o site automático e as verificações de reputação baixadas aos fluxos de trabalho. Por exemplo, os produtos da Microsoft conduzem análises de reputação por meio do serviço SmartScreen. Ele usa os dados de inteligência cibernética que recebemos de quase 8 trilhões de sinais processados ​​na nuvem da Microsoft todos os dias.

Os funcionários da empresa devem estar cientes de que o software de trabalho não pode ser baixado da Internet. Pessoas que postam programas na Web não têm qualquer responsabilidade pela segurança de seus dados e dispositivos.

3. Transferência de arquivos em canais não seguros

• Situação: o funcionário precisa compartilhar um relatório de trabalho com informações confidenciais com um colega. Para torná-lo mais rápido, ele carrega o arquivo nas redes sociais.

Quando os funcionários acham desconfortável usar bate-papos corporativos ou outro software de escritório, eles procuram soluções alternativas. Não para prejudicar intencionalmente, mas simplesmente porque é mais fácil assim. Este problema é tão comum que existe até um termo especial para ele - shadow IT (shadow IT). É assim que eles descrevem uma situação em que os funcionários criam seus sistemas de informação contrários aos prescritos pela política de TI da empresa.

É óbvio que a transferência de informações e arquivos confidenciais por meio de redes ou canais sociais sem criptografia acarreta um alto risco de vazamento de dados. Explique aos funcionários porque é importante aderir a protocolos controlados pelo departamento de TI para que, em caso de problemas, os funcionários não sejam pessoalmente responsáveis ​​pela perda de informações.

Artyom Sinitsyn

Diretor de Programas de Segurança da Informação na Europa Central e Oriental, Microsoft.

Transferir um arquivo em um messenger ou redes sociais, depois recebê-lo com comentários de vários colegas e manter todas essas cópias atualizadas não só é inseguro, mas também ineficaz. É muito mais fácil colocar o arquivo na nuvem, dar a todos os participantes um nível de acesso apropriado para suas funções e trabalhar no documento online. Além disso, você pode definir a duração do documento e revogar automaticamente os direitos de acesso dos coautores quando o tempo acabar.

4. Software desatualizado e falta de atualizações

• Situação: o funcionário recebe uma notificação sobre o lançamento de uma nova versão do software, mas a todo momento adia a atualização do sistema e trabalha na antiga, pois não há "tempo" e "muito trabalho".

Novas versões de software não são apenas correções de bugs e lindas interfaces. É também a adaptação do sistema às ameaças emergentes, bem como o bloqueio dos canais de fuga de informação. Relatório Flexera mostrouque você pode reduzir a vulnerabilidade do sistema em 86%, simplesmente instalando as atualizações de software mais recentes.

Os cibercriminosos regularmente encontram maneiras mais sofisticadas de invadir os sistemas de outras pessoas. Por exemplo, em 2020, a inteligência artificial é usada para ataques cibernéticos e o número de hackers de armazenamento em nuvem está crescendo. É impossível fornecer proteção contra um risco que não existia quando o programa foi encerrado. Portanto, a única chance de melhorar a segurança é trabalhar com a versão mais recente o tempo todo.

A situação é semelhante com software não licenciado. Esse software pode não ter uma parte importante das funções e ninguém é responsável por seu correto funcionamento. É muito mais fácil pagar por software licenciado e com suporte do que arriscar informações corporativas importantes e comprometer a operação de toda a empresa.

5. Usando redes Wi-Fi públicas para o trabalho

• Situação: empregado trabalha com laptop em um café ou aeroporto. Ele se conecta à rede pública.

Se seus funcionários trabalham remotamente, instrua-os sobre os perigos que o público Wi-fi. A própria rede pode ser falsa, por meio da qual golpistas roubam dados de computadores quando tentam conexões. Mas mesmo que a rede seja real, outros problemas podem surgir.

Andrey Beshkov

Chefe de Desenvolvimento de Negócios da Softline.

As principais ameaças ao uso de Wi-Fi público são a escuta do tráfego entre um usuário e um site. Por exemplo, uma rede social ou aplicativo corporativo. A segunda ameaça é quando um invasor executa um ataque man in the middle e redireciona o tráfego do usuário (por exemplo, para sua cópia de um site que simula um recurso legítimo).

Como resultado de tal ataque, informações importantes, logins e senhas podem ser roubados. Os golpistas podem começar a enviar mensagens em seu nome e comprometer sua empresa. Conecte-se apenas a redes confiáveis ​​e não trabalhe com informações confidenciais em redes Wi-Fi públicas.

6. Copiar informações importantes para serviços públicos

• Situação: o funcionário recebe uma carta de um colega estrangeiro. Para entender tudo exatamente, ele copia a carta para o tradutor no navegador. A carta contém informações confidenciais.

Grandes empresas desenvolvem seus próprios editores e tradutores de texto corporativo e instruem os funcionários a usá-los apenas. A razão é simples: os serviços públicos online têm suas próprias regras para armazenar e processar informações. Eles não são responsáveis ​​pela privacidade dos seus dados e podem transferi-los para terceiros.

Você não deve carregar documentos importantes ou fragmentos de correspondência corporativa para recursos públicos. Isso também se aplica a serviços de teste de alfabetização. Casos de vazamento de informações por meio desses recursos já estavam. Não é necessário criar seu próprio software, basta instalar programas confiáveis ​​nos computadores de trabalho e explicar aos funcionários porque é importante usá-los apenas.

7. Ignorando a autenticação multifator

• Situação: o sistema solicita que o funcionário associe uma senha a um dispositivo e uma impressão digital. O funcionário pula esta etapa e usa apenas a senha.

Se seus funcionários não armazenam suas senhas em um adesivo colado no monitor, ótimo. Mas não o suficiente para eliminar o risco de perda. Os pacotes "senha - login" não são suficientes para uma proteção confiável, especialmente se uma senha fraca ou insuficientemente longa for usada. De acordo com a Microsoft, se uma conta cair nas mãos de cibercriminosos, em 30% dos casos eles precisarão de cerca de dez tentativas para adivinhar a senha de outras contas humanas.

Use a autenticação multifator, que adiciona outras verificações ao par de login / senha. Por exemplo, uma impressão digital, ID facial ou um dispositivo adicional que confirma o login. A autenticação multifator protege Uma ação simples que você pode realizar para evitar 99,9 por cento dos ataques às suas contas de 99% dos ataques com o objetivo de roubar dados ou usar seu dispositivo para mineração.

Artyom Sinitsyn

Diretor de Programas de Segurança da Informação na Europa Central e Oriental, Microsoft.

Senhas longas e complexas são especialmente inconvenientes para inserir em smartphones. É aqui que a autenticação multifator pode ajudar a tornar o acesso muito mais fácil. Se você usa aplicativos de autenticador especiais (por exemplo, Microsoft Authenticator), não precisa usar uma senha em seu smartphone. Mas, ao mesmo tempo, se necessário, deixe a entrada de senha obrigatória para laptops e PCs.