W obliczu zbliżającego się Czarnego Piątku i Cyberponiedziałku, sprzedawcy detaliczni stacjonarni i internetowi spieszą się z rozbudową infrastruktury, konfiguracją nowych serwerów, dostosowywaniem integracji i aktualizacją systemów, aby sprostać szczytowemu popytowi. W tym scenariuszu niemal wyłączna koncentracja na dostępności i wydajności może kryć w sobie narastający problem: ciche rozszerzanie się luk w zabezpieczeniach w zasobach IT, OT, chmurze i aplikacjach internetowych, które mogą zostać wykorzystane przez złośliwe grupy w najbardziej krytycznym dla handlu okresie roku.

Według Scotta Cavezy, starszego inżyniera ds. badań w Tenable, przestępcy nie robią sobie przerwy. W przeciwieństwie do konsumentów planujących wakacje i podróże, atakujący monitorują wzrost liczby transakcji i szukają słabych punktów w zabezpieczeniach organizacji. Z ponad 300 000 powszechnych luk i zagrożeń (CVE) zarejestrowanych na CVE.org, zespoły ds. bezpieczeństwa codziennie stają przed wyzwaniem priorytetyzacji tego, co naprawdę ważne. Błędne decyzje w tej selekcji narażają systemy, informacje o klientach i inne dane na ryzyko.

W tym kontekście platformy zarządzania zagrożeniami zyskują na znaczeniu, oferując kompleksowy wgląd w zasoby, czyli wszystkie internetowe punkty styku firm. Technologia ta pomaga zidentyfikować systemy wspierające działalność biznesową i pokazuje, jak konkretne luki w zabezpieczeniach mogą na nie wpływać. Zamiast traktować wszystkie luki jako równe, celem jest zrozumienie, które zagrożenia, w połączeniu ze słabymi tożsamościami i błędnymi konfiguracjami, zwiększają realne ryzyko ataku.

Pośpiech w uruchamianiu promocji, dostosowywaniu stron internetowych i integrowaniu nowych metod płatności również zwiększa powierzchnię ataku. Dedykowane aplikacje internetowe i systemy CMS (Content Management Systems) wymagają ciągłego skanowania i audytów w celu wykrycia błędnych konfiguracji, luk w zabezpieczeniach i słabych punktów, które mogłyby zagrozić transakcjom finansowym i wrażliwym danym. Niezabezpieczone tożsamości lub nadmierne uprawnienia pozwalają na przeprowadzenie skutecznego ataku w zaledwie kilku krokach, dokładnie wtedy, gdy operacji nie da się przerwać.

„Podczas gdy wielu czeka na koniec świąt, hakerzy robią dokładnie odwrotnie: intensyfikują swoje działania w poszukiwaniu luk w zabezpieczeniach, które można wykorzystać” – mówi Caveza. „Aby ograniczyć ryzyko, organizacje potrzebują wglądu i praktycznych informacji na temat zagrożeń, które rzeczywiście narażają ich aktywa na ryzyko”.

W okresie świątecznym liczba wdrożeń, aktualizacji i integracji rośnie wykładniczo, zwiększając prawdopodobieństwo naruszeń bezpieczeństwa. Środowiska obejmujące zasoby IT, OT, chmurę, tożsamość i aplikacje internetowe wymagają wzmożonej uwagi. Identyfikacja pojedynczych luk w zabezpieczeniach to za mało; konieczne jest zrozumienie kontekstu narażenia w całej infrastrukturze.

Rekomendacje Tenable obejmują proaktywne podejście do identyfikacji istotnych zagrożeń, ciągłą analizę zasobów krytycznych i ograniczanie ryzyka, zanim zostanie ono wykorzystane. Tylko w ten sposób firmy mogą odejść od postawy reaktywnej, powstrzymać intruzów i utrzymać bezpieczeństwo operacji w najbardziej intensywnym okresie w roku dla handlu detalicznego.

Tydzień Czarnego Piątku to czas, w którym warto zwracać uwagę na oferty i zachować szczególną ostrożność w przypadku oszustw. Ten dzień przyciąga nie tylko klientów, ale także oszustów działających w środowisku cyfrowym, którzy wykorzystują bardziej zaawansowane techniki i nowe zasoby, takie jak sztuczna inteligencja. To, co zaczyna się jako proste poszukiwanie rabatów, może szybko przerodzić się w ból głowy, straty finansowe i wyciek danych osobowych.

Według Marcosa Leite, profesora informatyki na Uniwersytecie Unijorge i stratega cyfrowego, wraz ze wzrostem dostępu do technologii, oszustwa stały się bardziej wyrafinowane i przekonujące. Wyjaśnia on ważne środki ostrożności, takie jak unikanie klikania w linki wysyłane w wiadomościach i e-mailach oraz nieudostępnianie poufnych informacji. Informacje te mogą być wykorzystywane do oszustw takich jak phishing , które polegają na zbieraniu danych osobowych i bankowych, takich jak hasła i numery kart kredytowych.

„Linki mogą być również wykorzystywane do instalowania wirusów lub programów służących do kradzieży informacji, kradzieży tożsamości i składania fałszywych ofert produktów, które nigdy nie zostaną dostarczone” – dodaje.

Inne rodzaje oszustw obejmują korzystanie z witryn lustrzanych z fałszywymi certyfikatami, gdzie oszuści wizualnie kopiują legalne sklepy i używają niemal identycznych adresów URL. W wielu przypadkach umieszczają nawet fałszywe certyfikaty HTTPS, wprowadzając w błąd osoby, które sprawdzają tylko, czy witryna ma ikonę kłódki.

Dochodzi również do klonowania sponsorowanych reklam w serwisach takich jak Google i mediach społecznościowych, gdzie fałszywe reklamy pojawiają się przed prawdziwymi. „Wiele osób klika, myśląc, że to właściwy sklep, i trafia na fałszywe strony” – mówi Leite. Coraz powszechniejsze staje się również wykorzystywanie deepfake’ów i reklam z nierealnymi ofertami, a także wykorzystywanie filmów zmanipulowanych przez sztuczną inteligencję do symulowania influencerów lub marek ogłaszających nieistniejące promocje.

Inne rodzaje oszustw, które zyskują na popularności, to te związane z „czasowymi” płatnościami Pix. W takich przypadkach fałszywe linki generują kody QR, które przekierowują na konta przestępcze, symulując zniżki, które pojawiają się tylko „przez ograniczony czas”. Występuje również „przechwytywanie sesji” w publicznych sieciach Wi-Fi, gdzie podczas uzyskiwania dostępu do sklepów za pośrednictwem otwartej sieci, na przykład centrów handlowych, autobusów lub restauracji, dane użytkownika mogą zostać przechwycone, a jego sesja zakupowa może zostać zakłócona.

Prosta pielęgnacja, która robi różnicę.

Nawet w obliczu tak skomplikowanych oszustw, praktyczne działania pozostają skuteczne. Konsumenci powinni wchodzić na strony internetowe, wpisując adres ręcznie i unikać klikania w linki wysyłane przez osoby trzecie, ponieważ jest to najczęstszy sposób padnięcia ofiarą oszustwa. Należy zachować ostrożność w przypadku ofert znacznie poniżej wartości rynkowej. 

Do płatności zawsze korzystaj z wirtualnej karty kredytowej, ponieważ jej ważność jest krótka i zmniejsza ryzyko wycieku danych. Płacąc kartą, unikaj zapisywania danych na stronach internetowych, nawet w znanych sklepach. Unikaj również płatności z góry za pośrednictwem Pix (brazylijskiego systemu płatności natychmiastowych) w mniej znanych sklepach. Klienci powinni również aktywować uwierzytelnianie dwuetapowe na platformach zakupowych, ponieważ stanowi ono dodatkową warstwę zabezpieczeń, która utrudnia dostęp do systemu osobom trzecim. 

Przed dokonaniem zakupu zawsze pamiętaj o tym, aby zapoznać się ze stronami takimi jak Reclame Aqui (brazylijska strona z opiniami konsumentów) i mediami społecznościowymi, a także zwróć uwagę na takie problemy, jak opóźnione dostawy, niedostarczone produkty i brak wsparcia technicznego, które są wyraźnymi sygnałami ostrzegawczymi.

Korzystając z urządzeń mobilnych należy zachować szczególną ostrożność.

Większość zakupów w Czarny Piątek dokonywana jest na telefonach komórkowych, co również zwiększa ryzyko. Fałszywe aplikacje w Play Store i App Store, klawiatury szpiegujące i zmanipulowane powiadomienia push to najnowsze strategie wykorzystywane do kradzieży danych podczas zakupów.

„Dzięki uważności i staranności można skorzystać z atrakcyjnych okazji. Najważniejsze to nigdy nie działać impulsywnie. Sprawdzanie, porównywanie i unikanie przesady zapobiegają utracie pieniędzy przez konsumentów lub narażeniu ich danych na jeszcze bardziej złożone oszustwa” – podkreśla profesor.