Znatno veći broj ljudi radi od kuće, kako cyber napadači to iskorištavaju?

Divertov izvještaj o sigurnosti: “Ukupno 27 % primatelja u Hrvatskoj nije prepoznalo lažne poruke!”

Biste li za sebe ili svoju tvrtku rekli da ste sigurni na internetu ili mislite da ste uvijek ranjivi? Možda nešto između?

Mislim da na početku ovog teksta o internetskoj sigurnosti ne moram ni govoriti koliko smo zapravo svi izloženi rizicima na internetu. Od onih jednostavnih, poput hakiranja Steam računa – pa do krađe podataka i sigurnosnih propusta velikih tvrtki i sustava. Kako izgleda stanje domaće sigurnosti najbolje znaju stručnjaci iz domaće IT security tvrtke Diverto, čiji izvještaj o stanju informacijske sigurnosti je i povod ovog teksta.

Izvještaj je rezultat aktivnosti i projekata koje Divertovi timovi realiziraju u suradnji s klijentima i korisnicima. U njemu su obuhvaćene teme testiranja sigurnosti, zaštite korisnika u obliku sigurnosno-operativnog centra te analiza sustava za upravljanje sigurnošću.

Sa mnom danas tako razgovaraju Vlatko Košturjak, Ivona Loparić, Bojan Alikavazović i Mario Blažević, stručnjaci za informacijsku sigurnost koji stoje i iza ovog spomenutog izvještaja. I on je, kao i gotovo sve vijesti u posljednjih godinu dana, obilježen pandemijom stoga je moje prvo pitanje bilo kako je COVID-19 utjecao na sigurnosne sustave.

Bojan kaže kako je primjetan porast ugroza jer se velik broj tvrtki u žurbi prebacivao na rad od doma, a zanemarili su postavljanje kvalitetne infrastrukture koja to omogućava:

Pandemija je nedvojbeno utjecala na razinu sigurnosti. U prvim mjesecima zatvaranja tijekom 2020. godine znatno veći broj ljudi radi od kuće. Tada smo uočili da velik broj kompanija pristup svojim resursima osigurava kroz udaljeno spajanje.

Kako je često taj pristup omogućen i konfiguriran u velikoj brzini, učinjene su mnogobrojne sigurnosne pogreške: izložen je ranjivi RDP protokol prema internetu; direktno bez spajanja kroz VPN su izloženi i drugi servisi prema internetu koji nisu prethodno ojačani. Napadači su to iskoristili.

Kako sada veći broj ljudi radi od kuće, iznošenje poslovnog računala iz radne organizacije najčešće umanjuje sigurnosnu razinu na računalu, pojašnjavaju iz Diverta. U izvještaju također stoji da je 43 posto svih incidenata bilo ransomware, odnosno tip napada koji zaključa računalo dok korisnik ne plati “otkupninu”.

30% više mailova, i više phishinga

Ne radi se ovdje samo o manjoj sigurnosti računala koje nosimo doma, već i o nama samima. U izvještaju stoji da se u 2020. uvelike povećao broj tzv. phishing napada, odnosno napada koji od korisnika na prijevaru nastoje dobiti tajne podatke. Ivona kaže kako se u prošloj godini poslalo oko 34% više email poruka, a uz legitimni promet nesumnjivo su tu i mnoge poruke ne tako plemenitih namjera:

Oslanjanje ne razne kanale elektroničke komunikacije i stav da moraju biti stalno “online” potaknuo je dodatno kod korisnika FOMO (Fear Of Missing Out) – tjeskobu da drugi možda u danom trenutku rade nešto zanimljivo ili se zabavljaju. Takvo stanje zlonamjernim akterima daje puno više prilika nego inače. Svi su doma, svi čitaju mailove, svima nedostaje socijalne interakcije.

Osim toga, kada se nalazite u situaciji u kojoj od “šefa” dobijete mail, a kod kuće ste – ljudi se uplaše i naprave što im se kaže ne preispitujući previše što se od njih traži. Najbolji savjet je da to ne radite i prvo provjerite odakle stižu mailovi. Uvijek radije provjerite i pitajte dva puta – nego da budete prevareni jednom.

Ako vam ni to nije dosta, sjetite se da u izvještaju stoji kako je Diverto tim bio prisutan u rješavanju više desetaka incidenata s klijentima koji ne koriste Diverto SOC (sigurnosni operativni centar) usluge. Porast je iznosio oko 400 posto u odnosu na 2019.

Iako broj ljudi koji prepoznaju phishing raste, broj emailova raste. Diverto

No, ljudi i jesu uvijek najslabiji dio IT sustava

Danas i govorimo o ovome jer dobar dio ljudi ne koristi dvofaktorsku zaštitu na mailu i za sve koriste jednake lozinke, što su dvije greške najgoreg tipa. Mario kaže kako je izazov u današnjem svijetu podjednako na korisnicima i pružateljima usluga, jer korisnici nisu dovoljno osviješteni o izazovima. Na pružatelju usluga stoji obveza da korisniku objasni koji mu rizici prijete. Na žalost, svi znamo da ne volimo baš restrikcije i promjene u rutinama stoga je ovo uvijek vrlo izazovno područje.

Mario kaže kako bi i tvrtke i pružatelji usluga trebali raditi na podizanju svijesti. Ako žele koristiti blagodati modernih tehnologija poput umreženosti, stalne dostupnosti i trenutne komunikacije, informacijska sigurnost je vrlo važan aspekt kojeg ne smijemo zanemariti, pojašnjava Mario i dodaje:

Zanemarivanjem informacijske sigurnosti, nepažnjom koliko i kojih podataka ostavljamo na pojedinim digitalnim servisima izlažemo sebe, a potencijalno i tvrtke za koje radimo, rizicima koji mogu imati dalekosežne, a ponekad i trajne posljedice, kako po pojedinca, tako i po cijelu tvrtku.

Tri savjeta za svaku tvrtku

Stručnjaci iz Diverta su mi također spomenuli i tri savjeta koja bi preporučili svakoj kompaniji ako žele odmah učiniti nešto za svoju sigurnost.

Prvi savjet je relativno jednostavan – redovito nadograđujte sve komponente sustava i sigurnosno ih ojačajte. Bojan pojašnjava:

Redovna nadogradnja svih komponenti sustava i sigurnosno ojačavanje: operacijski sustavi na radnim stanicama i poslužiteljima; operacijski sustavi na vatrozidima, VPN koncentratorima, IPS uređajima i dr. Sigurnosno ojačavanje postojećih komponenti i maksimalno iskorištavanje njihovih obrambenih mehanizama sve je to iznimno bitno.

Točnije, tehnologiju koju već posjedujete pametno zaštitite. Npr. da bi ste sigurnosno ojačali Windows operacijski sustav upišite u Google “CIS Benchmark Windows OS” i popratite upute koje vas vode kroz konfiguraciju. Isto možete učiniti i s drugim operacijskim sustavima, servisima i uređajima.

Drugi savjet je da u sigurnost ulažete kao i u svaki drugi integralni dio IT-a, što znači i edukaciju zaposlenika o svim bitnim stavkama sigurnosti.

Treći savjet je da koristite snažne mehanizme potvrde identiteta. Ovo znači spomenutu višefaktorsku autentifikaciju gdje god je moguće, ali i redovite promjene lozinki. Na njih trebate gledati kao na ključeve za pristup vašim podacima i nemojte koristiti uvijek iste lozinke za različite servise ili razine pristupa, predlaže Bojan.

Vlatko dodaje kako je informacijska sigurnost odgovornost svakog pojedinca, a ne samo dediciranog tima. Manje kompanije i startupi imaju tu prednost da sigurnost mogu “usaditi” u svoj DNA kompanije od samog početka. Čak i ako nemate dovoljno kapaciteta i znanja za informacijsku sigurnost, postoje dobra rješenja otvorenog koda, kao i hibridna i cloud rješenja koja mogu pružiti dostatnu zaštitu.

U 2020. nešto više od jedne trećine napada bilo je stvarno, a jedna trećina bili su lažni pozitivni rezultati. Diverto

Izvještaj kao širenje svijesti o sigurnosti

Velik izazov kod internetske sigurnosti je i percepcija u javnosti. Većina prosječnih osoba razumije što je virus ili hakiranje, ali ne učine važne korake predostrožnosti jer misle da nikada njih nitko neće dirati. U stvarnosti, izvještaji o kojima danas govorimo, kao i više govora o sigurnosti u medijima, mogu biti vrlo korisni za podizanje svijesti, ističe Vlatko:

Kriminalci i napadači (jer ne volim reći hakeri), kao i svi ostali, isto tako moraju poštovati zakone i pravila fizike i matematike. Oni ih samo iskoriste na inovativan način. Upoznavanjem na koji način se to iskorištava, možemo bolje planirati i implementirati sigurnosne kontrole i na kraju svi podići ljestvicu sigurnosti.

Reakcije na Divertov polugodišji i godišnji izvještaj su pozitivne, dodaju moji sugovornici. Ipak, napominju kako dosta rade na poboljšavanju metodologija i kvaliteti podataka, a svakako im je želja izvještaj raditi redovito kako bi dali dobar doprinos zajednici informacijske sigurnosti u Hrvatskoj.

Za kraj vjerujem da bi se svi moji sugovornici složili kada bih rekao da je najbolja stvar koju možete napraviti za svoju sigurnost jednostavno to da više osvijestite da prijetnje postoje i da se ne događaju “samo nekom drugome”. Prođite kroz svoje lozinke, koristite dvofaktorsko potvrđivanje identiteta i nemojte vjerovati baš svakome emailu – time ćete već učiniti prve korake za sigurniji boravak na internetu.

Pravila ponašanja

Na Netokraciji za vas stvaramo kvalitetan, autorski potpisan sadržaj i zaista se veselimo vašim kvalitetnim, kontruktivnim komentarima. Poštujmo stoga jedni druge prilikom komentiranja držeći se sljedećih pravila ponašanja:

  • Ne budite 💩: Nema vrijeđanja, diskriminiranja, ni psovanja (osim ako nije osobni izričaj, ali onda neka psovka bude općenita, a ne usmjerena prema nekome)
  • Samo kvalitetna rasprava, manje trolanja: Ne morate se ni sa kim slagati, ali budite konstruktivni i doprinesite raspravi! Svako trolanje, flameanje, koliko god "plesalo" na granici, leti van.
  • Imenom i prezimenom, nismo Anonymous 👤: Autor sadržaja stoji iza svog sadržaja, stoga stojite i vi iza svog komentara. Koristimo ime i prezime (Hrvoje Lončar) ili barem ime i inicijala (Hrvoje L.) te pravu email adresu. Kako koristimo podatke koje tamo ostavljate? Bacite oko na našu izjavu o privatnosti.

Sve ostale komentare ćemo s guštom spaliti, jer ne zaslužuju svoje mjesto na internetu.

Odgovori

Tvoja e-mail adresa neće biti objavljena.

Popularno

Digitalni mediji

Kroz 3 godine hrvatski mediji morat će odlučiti: Više oglašavanja ili naplata sadržaja!

2020. pamtit ćemo po mnogo toga, ali i po činjenici da je naplaćivanje online sadržaja u Hrvatskoj napokon ozbiljno krenulo, a kakva su iskustva nakon prvog razdoblja provođenja - otkrivamo u razgovoru s 24sata, Telegramom te Večernjim i Jutarnjim listom.

Startupi i poslovanje

Je li primjer Gamechucka, koji hvali Radnička fronta, socijalizam ili klasični startuperski model?

Ako ti Radnička fronta hvali firmu, to je znak da s firmom nešto ne štima! - jedan je od komentara iz burne i zanimljive rasprave koju je u Facebook grupi Developers Hrvatska Relaxed pokrenuo članak objavljen na web stranici Radničke fronte, a u kojem se kao pozitivan primjer hvali poslovanje i organizacija zagrebačkog gejmerskog studija Gamechuck.

Startupi i poslovanje

Vedran Tolić, Q agency: “Zajedno s klijentima radimo na strategiji treba li im određeni proizvod, a ne samo kako ćemo ga napraviti”

Kakve su poslovne strategije i mindset lansirale agenciju Q da od pozicije gdje su značajno usmjereni na turističke projekte dođu do medtecha i fintecha pa i novog konzultantskog tima te dva nova ureda u inozemstvu, otkrivamo u novoj epizodi.

Što ste propustili

Startupi i poslovanje

Hrvatski AdScanner osigurao investiciju od 18 milijuna kuna uz South Central i J&T Ventures

Hrvatski AdScanner, startup posvećen razvoju data-driven sustava za optimizaciju TV oglasa, nastavlja rasti s novom investicijom. U razgovoru s Kristianom Ćurkovićem, Managing Partnerom i su-osnivačem, otkrivamo i koji su planovi za novu rundu.

Startupi i poslovanje

Dok vi druge stvarnosti zamišljate, oni ih žive u Delta Realityju – gdje game dev upoznaje klasičan IT

Delta Reality jedinstvena je tvrtka na hrvatskoj IT sceni. Njihova rješenja temelje se na tehnologijama i kreativnosti jednog game dev studija, dok se pristup projektima i zavidni radni uvjeti mjere s uspješnim IT agencijama. Stručnjaci koji tamo danas rade i sami dolaze iz obe strane industrije, kako rade i zašto biste im se i vi možda htjeli pridružiti - otkrivamo.

Društvene mreže

YouTube Shorts, hoće li novi alat hrvatskim YouTuberima zamijeniti TikTok i Instagram Reels?

Kratke video forme sve su popularnije pa ne čudi što je i YouTube, kako bi ostao u korak s TikTokom i Instagram Reelsima, pokrenuo novi alat.

Digitalni mediji

Kroz 3 godine hrvatski mediji morat će odlučiti: Više oglašavanja ili naplata sadržaja!

2020. pamtit ćemo po mnogo toga, ali i po činjenici da je naplaćivanje online sadržaja u Hrvatskoj napokon ozbiljno krenulo, a kakva su iskustva nakon prvog razdoblja provođenja - otkrivamo u razgovoru s 24sata, Telegramom te Večernjim i Jutarnjim listom.

Startupi i poslovanje

Za svoj low-code alat, hrvatski startup SpectreXR osigurao 200.000 eura od Fil Rouge Capitala

SpectreXR bavi se razvojem softvera i aplikacija u industriji virtualne i mješovite stvarnosti, a posebno se fokusirao na razvoj jedinstvenog alata za Unity 3D platformu koji bi omogućio brži razvoj AR, VR ili MR aplikacija i rješenja.

Digitalni mediji

EU priprema 2 akta koji bi mogli promijeniti kako koristite digitalne platforme – privatno i poslovno

Došlo je vrijeme za ažuriranje starih direktiva koje već dugo nisu u skladu sa stanjem tržišta i potrebama građana. Zbog toga je Europska komisija predložila dva akta o kojima Europski parlament još raspravlja. Evo što se želi mijenjati i kako to može utjecati na građane, ali i tvrtke.