Nem titok, hogy a társadalom gyors digitalizációja mélyrehatóan átalakította a személyes és üzleti kapcsolatokat. Tanulmányok azt mutatják, hogy 2024-ben az online csalások által okozott pénzügyi veszteségek elérték a 10,1 milliárd R$-t, ami 17% növekedést jelent az előző évhez képest.
Ez az átalakulás azonban kiszélesítette a támadási felületet a kiberbűnözők számára is, akik egyre inkább a szociális tervezésre támaszkodnak kifinomult csalási rendszerek működtetésében.
A leggyakoribbak közé tartoznak az adathalászat, a smishing és a visishing ' GYAKORLATOK, amelyek bár az alkalmazott módszerek eltérőek, ugyanazt a célt szolgálják: megtéveszteni az áldozatokat, hogy bizalmas információkat lopjanak el, különösen a hitelesítő adatokhoz való hozzáférést. Bár hagyományosan a fogyasztók elleni csalásokhoz kötik, a szociális tervezés ezen formái a vállalati környezetben is rendkívül hatékonyak. A csalók a vállalatokat célozzák meg, hogy hozzáférjenek a belső rendszerekhez, veszélyeztessék az ellátási láncokat és nagyszabású pénzügyi csalásokat hajtsanak végre.
Az adathalászat, a smishing és a vising ugyanaz a fenyegetés?
Először is fontos megérteni, hogy a szociális tervezés kifejezés a csalók által az áldozatok érzelmi és társadalmi manipulálására használt technikák összességére utal, ami arra készteti őket, hogy saját érdekeik ellen cselekedjenek, és veszélyeztessék biztonságukat.
Az adathalászat a legismertebb típusa az ilyen típusú átveréseknek Az e-mailben küldött adathalászkészletek megtalálhatók a sötét weben. Azok a csalók, akik nem szakértők a témában, vannak olyanok, akik a szolgáltatást futtatják számukra Általában olyan e-mailek vagy üzenetek küldését jelenti, amelyek megbízható intézményeknek, például bankoknak, kiskereskedőknek vagy online szolgáltatásoknak adják ki magukat.
A cél az, hogy a címzettet rávegyék arra, hogy rosszindulatú linkekre kattintsanak, amelyek hamis webhelyekhez vezetnek, nagyon hasonlóak az eredetiekhez, hogy jelszavakat és más érzékeny információkat, például dokumentumszámokat vagy hitelkártyaadatokat rögzítsenek. A Serpro adatai szerint az adathalászat továbbra is az egyik leggyakoribb csalástípus Brazíliában, és a bűnözők mesterséges intelligencia (AI) és mélyhamisítások segítségével javítják stratégiájukat, hogy még meggyőzőbb és személyre szabottabb tartalmat hozzanak létre. A közelmúltban egy férfi letartóztatása volt egy bűnözői csoportban való részvétel miatt, amely mélyhamisítással manipulált videókat alkalmazott, Marcos Mion műsorvezető képével és hangjával.
A csalók olyan csalásokat is végrehajtanak, mint a Business Email Compromise (BEC) és a hamis vezérigazgatói csalás, és az e-mailek vezetőknek adják ki magukat, hogy rávegyék az alkalmazottakat pénzátutalásra vagy hitelesítő adatok megadására.
Másrészt a smishing (az SMS és az adathalászat kombinálása) szöveges üzeneteket használ az áldozatok megtévesztésére. Az üzenetküldő alkalmazások, például a WhatsApp és a Telegram népszerűsítésével ez a módszer megerősödött, kihasználva az emberek azon tendenciáját, hogy gyorsan reagáljanak a sürgősnek tűnő üzenetekre, ill. fontos.
A vising (hangos adathalászat) telefonhívások útján történik, amelyben a csaló egy vállalat vagy intézmény képviselőjének adja ki magát. A meggyőző hangnem, a korábban kiszivárogtatásokban szerzett adatok felhasználásával kombinálva, az áldozatokat nagyobb valószínűséggel osztja meg bizalmas információkat telefonon keresztül Ez a fajta átverés egyre inkább sújtja a brazil vállalatokat, különösen a nagyvállalatokat.
A régi számlák a legértékesebb eszközök a bűnözők számára
Ezeknek a csalásoknak a növekedése közvetlenül összefügg azzal az értékkel, amelyet a számlaalapú ökoszisztémák képviselnek. Egy régi, megbízható számla értékesebb a bűnözők számára, mint a közvetlen pénzlopás. Ennek az az oka, hogy a törvényes tevékenységet folytató számlákat kevésbé valószínű, hogy a hagyományos csalásfelderítő rendszerek automatikusan észlelik.
A csalók az adathalászatot és annak változatait együttesen használják, hogy hozzáférjenek ezekhez a fiókokhoz, amelyeknek több éves kapcsolata és tranzakciója lehet, amelyek igazolják hírnevüket. A bűnöző bejutva tanulmányozhatja a vásárlási előzményeket, a viselkedési mintákat, és bizonyos esetekben akár az ügyfélszolgálattal is kapcsolatba léphet úgy, hogy úgy tesz, mintha törvényes számlatulajdonos.
Ahogy arra egy Nethone-jelentés is rámutatott, egyes csalók még a támogató ügynökökkel is kapcsolatokat építenek ki, és ráveszik őket, hogy olyan változtatásokat hajtsanak végre a fiókon, amelyek megkönnyítik a puccs végrehajtását (számlaátvétel). Ez a fajta támadás nemcsak közvetlen pénzügyi veszteségeket okoz, hanem veszélyezteti a digitális platformokba és szolgáltatásokba vetett bizalmat is.
A mesterséges intelligencia és az automatizálás hatása a csalásra
Történelmileg a social engineering kampányok tervezést, időt és bizonyos fokú kézi testreszabást igényeltek. A generatív nyelvi modellek (LLM) nagyarányú átvétele azonban teljesen megváltoztatta ezt a tájat.
Ma a generatív MI-n alapuló automatizált eszközökkel a bűnözők percek alatt létrehozhatnak és elindíthatnak adathalász kampányokat, amelyek megfogalmazásához egykor folyékonyan vagy időre volt szükség, ma már automatikusan, nagyfokú kifinomultsággal generálódnak, ennek következtében riasztóan megnőtt ezeknek a támadásoknak a mennyisége és gyakorisága.
Ez a növekedés nemcsak a csalárd kampányok nagyobb hatókörét tükrözi, hanem az új mesterséges intelligencia-alapú technikák és automatizálás hatékonyságát is.
Aki azt gondolja, hogy az adathalászat, a smishing és a vishing kizárólag az egyéni fogyasztókra nézve jelent kockázatot, az téved. A vállalatok is gyakori áldozatai ezeknek a csalásoknak, különösen akkor, ha a vállalati hitelesítő adatok a sötét weben kerülnek nyilvánosságra. A Nethone elemzése szerint a csalók kiszivárgott munkavállalói adatokat szerezhetnek, kiváltságos hozzáférést nyerve a belső rendszerekhez és az érzékeny adatbázisokhoz.
Innentől finom mozgásokat hajtanak végre: tanulmányozzák a vállalat vásárlási vagy működési viselkedését, interakciókat hoznak létre a műszaki vagy kereskedelmi támogatással, és fokozatosan manipulálják a belső folyamatokat, hogy csalárd tranzakciókat hajtsanak végre anélkül, hogy azonnali gyanút keltenének. Ez a gyakorlat nemcsak a szervezet biztonságát veszélyezteti, hanem az ügyfelekkel és partnerekkel való bizalmi kapcsolatot is.
Hogyan védheti meg magát ezektől a fenyegetésektől?
Az adathalászat, a smishing és a vishing elleni védelem a technológia, a folyamatok és a tudatosság kombinációját foglalja magában.
Oktatás és tudatosság: mind a vállalkozásokat, mind a felhasználókat fel kell oktatni arra, hogy felismerjék e csalások gyakori jeleit, például az elírásokat, az üzenetek túlzott sürgősségét, az érzékeny információkéréseket és a szokatlan kommunikációs csatornákat.
Többtényezős hitelesítés (MFA): még ha a hitelesítő adatok sérülnek is, a hitelesítés több rétegének használata megnehezíti a jogosulatlan hozzáférést.
Hiteles megfigyelés: a hitelesítési adatok sötét weben való megjelenésének figyelését végző eszközök elengedhetetlenek ahhoz, hogy a vállalkozások és az egyének gyorsan figyelmeztetést kapjanak a szivárgásokra.
AI-alapú csalásfelderítő rendszerek: csakúgy, mint a bűnözőknek, a vállalatoknak is a mesterséges intelligenciához kell fordulniuk, hogy észleljék a rendellenes viselkedési mintákat, amelyek az esetleges behatolásokra vagy csalási kísérletekre utalnak.
Azokban az időkben, amikor a bizalom értékes pénznem, a hitelesítő adatok védelme és az éber testtartás fenntartása elengedhetetlen az egyének és a vállalkozások digitális integritásának megőrzéséhez.
