CyberLaka

защити свои данные, управляй безопасностью с умом

Рубрика: Психология и безопасность

Как не стать жертвой мошенников
Социальная инженерия: как это работает
Привычки для безопасного использования интернета

  • Сотрудник всё равно нажмёт

    Можно проводить учения, рассылать памятки и ежегодно обучать персонал.

    Но в организации из тысячи человек всегда найдётся тот, кто откроет письмо, введёт пароль или запустит вложение.

    И это нормально.

    Ненормально другое: когда одна ошибка обычного сотрудника позволяет злоумышленнику пройти путь от почты до контроллера домена, резервных копий и всей инфраструктуры.

    Фишинг нельзя победить обучением.

    Можно лишь построить инфраструктуру, в которой один клик не становится приговором для всего предприятия.

    Если безопасность держится на том, что никто никогда не ошибётся, — безопасности уже нет.

  • Инфраструктуру ломают не уязвимости

    Её ломают исключения.

    Антивирус есть — но на этом сервере отключили.

    MFA есть — но для этой учётной записи неудобно.

    Сегментация есть — но подрядчику открыли доступ «временно».

    Пароли меняются — кроме сервисных.

    Резервные копии изолированы — но сервер бэкапов всё-таки в домене.

    У каждого исключения всегда есть нормальное объяснение.

    А потом злоумышленник собирает все эти «нормальные объяснения» в один маршрут до контроллера домена.

    ИБ строит защиту по правилам.

    А атакующий идёт по исключениям.

    И если в вашей организации исключений больше, чем правил, то у вас не система безопасности.

    У вас инструкция по обходу собственной защиты.

  • Пароль уже не спасает

    Пароль уже не спасает

    Одним из самых частых способов взлома остаётся банальное использование украденных учётных данных.

    Дополнительный фактор аутентификации призван решить эту проблему. Даже если злоумышленник узнал ваш пароль, двухфакторная аутентификация (2FA) ставит перед ним новый барьер, который непросто обойти. Сегодня внедрение 2FA уже воспринимается как стандарт кибербезопасности, обязательный минимум для защиты доступа. Среди специалистов по информационной безопасности это давно не вопрос «нужна ли 2FA?»: консенсус ясен – нужна.

    Решений полно, но сложность – интеграция

    Рынок предлагает достаточно вариантов 2FA на любой вкус. От аппаратных токенов и смс‑кодов до мобильных приложений‑генераторов – выбрать есть из чего.… Читать далее…

  • IT и безопасность: работаем вместе, а не мешаем друг другу

    IT и безопасность: работаем вместе, а не мешаем друг другу

    В любой компании незаметно раскручивается старая пластинка: админы жалуются, что защитники «глушат» сервера агентами, безопасники парируют обвинением «вы сами открыли дверь в инфраструктуру». При этом обе команды, если смотреть сверху, строят один и тот же продукт — живой сервис, который должен и работать быстро, и не превращаться в точку входа для чужих рук. Просто исторически их мерили разными линейками.

    Интересно наблюдать, как вопросы меняют краску, когда речь идёт о проекте «с нуля». Стоит архитектору позвать безопасника за стол на этапе выбора стеков, и большинство конфликтов исчезает ещё до того, как успели родиться.… Читать далее…

  • Осведомлённость сотрудников: где проходит граница между техникой и человеком?

    Осведомлённость сотрудников: где проходит граница между техникой и человеком?

    В корпоративной безопасности давно звучит образ «человеческого фаервола». Идея проста: пока письмо-приманка или заражённая флешка не пересекли барьер в виде внимательного человека, технические системы остаются в стороне. Но насколько реалистично рассчитывать на эту линию обороны — и как вообще формировать у людей рефлекс «сначала подумай»?

    Любопытно, что любая попытка «натаскать» сотрудников на конкретные примеры фишинга быстро теряет актуальность. Шаблоны меняются быстрее учебных слайдов, а злоумышленники давно обращаются к тем же генераторам дизайна, что и легальные маркетологи. Получается, что избыточная детализация — ловушка: запомнить все варианты невозможно, а ощущение «я знаю, как выглядит фейк-письмо» создаёт ложную уверенность.… Читать далее…

  • Процесс построения информационной безопасности в организации

    Некоторое время системно выстраиваю этапы и подход к построению информационной безопасности с нуля в условиях ограниченных людских ресурсов и организационных ограничений, которые в той или иной степени присутствуют в большинстве компаний. На практике приходится учитывать не только технические аспекты, но и нормативные требования законодательства Российской Федерации, а также особенности внутренней бюрократии, мешающей оперативному внедрению даже базовых мер. Несмотря на это, безопасность должна разворачиваться как непрерывный управляемый процесс, а не как разовая история.

    Практика показывает: самое большое заблуждение — пытаться “сразу всё защитить”. Без чёткого плана, понимания бизнес-процессов и реальных рисков любые попытки могут превратиться в хаотичное внедрение “железа и коробок”, которые не дают реальной устойчивости.… Читать далее…

  • Как фишинговое письмо почти убедило сотрудника, что у нас проблемы с налоговой

    Как фишинговое письмо почти убедило сотрудника, что у нас проблемы с налоговой

    Недавно в нашей организации произошёл интересный и поучительный инцидент — один из сотрудников получил письмо якобы от налоговой службы, в котором утверждалось, что в отношении нашей компании выявлены признаки теневой занятости, и нужно срочно предоставить документы. Письмо выглядело достаточно убедительно, чтобы вызвать беспокойство.

    Вот что было внутри:

    Отправитель: почта_пользователя@mail.ru

    Тема письма: Требование по документации

    Содержимое: Обширный текст с упоминаниями “Межведомственной комиссии”, “ФНС”, “Минтруда”, закона №565-ФЗ и постановления №571.

    Приложение: PDF-файл с описанием “проблемы”, требованием отправить документы и QR-кодом для “получения оригиналов” через CDEK.

    Почему это фишинг?

    Несмотря на внешний антураж и грамотную стилистику, письмо оказалось поддельным.… Читать далее…

  • Пароль на стикере

    Пароль на стикере

    Вечер. Тихий офис.
    Ты заходишь к пользователю по заявке. Он уходит налить чай.
    Ты случайно опускаешь взгляд — и видишь под клавиатурой стикер.
    На нём гордо написано:
    Login: admin
    Password: 123qwe

    Ты не знаешь — смеяться или плакать. Но понимаешь: ты снова в реальности корпоративной безопасности.

    Почему общие пароли — это плохо

    — «Ну мы же одни и те же пароли используем, чтобы не забыть…»
    — «Ну я всем дал admin123, чтобы быстрее входили…»
    — «Это только внутри офиса, снаружи никто не узнает…»

    Угу. А потом кто-то увольняется, и ты даже не знаешь, кто ещё может зайти на этот комп, в почту, в CRM, в 1С и в твой разум.… Читать далее…

  • Кто такой инсайдер в информационной безопасности и чем он опасен

    Инсайдер — это человек, который имеет легальный доступ к внутренним системам компании, но может использовать этот доступ во вред. Это может быть сотрудник, подрядчик, партнёр или даже бывший работник, у которого остались учётные данные.

    Инсайдеры могут:

    • украсть или слить конфиденциальные данные (например, коммерческую тайну или персональные данные клиентов);

    • саботировать работу систем (удалить файлы, внедрить вредоносный код);

    • использовать ресурсы компании в своих целях (например, майнинг крипты на серверах).

    Почему от инсайдеров нужно защищаться

    Даже самые крутые внешние фаерволы и антивирусы бесполезны, если угроза внутри. Инсайдер уже “внутри крепости”, и его не нужно взламывать.… Читать далее…

  • Фишинг: как не клюнуть на цифровую удочку мошенников

    Фишинг: как не клюнуть на цифровую удочку мошенников

    «Представьте, что фишинг — это озеро, где вместо рыбы плавают крючки с надписью “Выиграй iPhone!”. Каждый день хакеры забрасывают миллионы таких “удочек” в виде писем, сообщений и сайтов. В этой статье я расскажу, как отличить легальный сайт от подделки, почему даже умные люди попадаются на фейковые “подарки”, и как не стать добычей в цифровом океане. Spoiler: ваша внимательность — лучшая наживка для мошенников!»

    1. Фишинг 2024: нейросети, TikTok и голосовые deepfake

    • Тренды:
      — AI-фишинг: Мошенники генерируют письма с идеальной грамматикой и стилем вашего начальника. Пример: «Срочно переведи $5000 на этот счёт, это конфиденциально!».
    … Читать далее…