Andmepüük – lihtne lõks, ohtlikud tagajärjed

Tänapäeva digitaalses maailmas on üks levinumaid ja salakavalaimaid küberturvalisuse ohte andmepüük. Seda kasutatakse nii üksikisikute kui ka organisatsioonide vastu ning see võib viia identiteedivarguseni, raha kaotuseni või kogu ettevõtte IT-süsteemi halvamiseni.

Andmepüük on pettus, mille eesmärk on meelitada kasutajaid avaldama tundlikku infot, nagu paroolid, krediitkaardinumbrid või isiklikud andmed. Tihti toimub see e-kirja või sõnumi kaudu, mis näeb välja justkui pärit usaldusväärsest allikast – näiteks pangast, kolleegilt või mõnelt veebiteenuselt. Sellised rünnakud ei vaja häkkimist – nad kasutavad usaldust. Just see muudab andmepüügi eriti ohtlikuks ja laialt levinuks. Seetõttu on äärmiselt oluline õppida ära tundma ka kõige peenemaid märke, mis viitavad võimalikule andmepüügi katsele. See on nagu digitaalne õhuke jää, millele inimesed pidevalt astuvad, kui nad ei ole valvsad ega teadlikud. [1]

Kuidas siis maandada andmepüügiga seotud riske? Siin tuleb appi Kevin Mitnicki valem, mis ütleb, et turvalisus põhineb kolmele sambale: tehnoloogia, koolitus ja reeglid. Esimene samm on kasutada tehnoloogiat, mis aitab kahtlasi e-kirju ja veebilehti tuvastada. Rämpsposti- ja andmepüügifiltrid suudavad blokeerida kahtlased sõnumid enne, kui need jõuavad kasutajani. Lisaks on kahefaktoriline autentimine (2FA) aidanud tugevdada süsteemide kaitset - isegi kui parool lekib, ei pääse ründaja süsteemi juurde ilma teise autentimisvõtmeta. Paraku aga tänapäeval suudetakse ka sellest mööda pääseda (Muraena ja Necrobrowser) [3] Kuigi 2FA pakub täiendavat turvakihti, ei ole see immuunne rünnakute suhtes. Kurjategijad loovad autentimisprotsessist täpseid koopiaid, sealhulgas võltsitud sisselogimislehti, mis koguvad kasutajaandmeid ja 2FA koode reaalajas. Paljud platvormid kasutavad nüüd juba biomeetrilisi andmeid (nt sõrmejälg, näotuvastus) osana mitmeastmelisest autentimisest, mis on turvalisem kui SMS-põhine 2FA. Lisaks kasutatakse ka näiteks U2F-võtmeid (Universal 2nd Factor), mis on riistvarapõhised autentimisvahendid ning ei ole haavatavad andmepüügi suhtes, kuna kinnitamine toimub seadmes endas. [2] [4]

Teine oluline samm on koolitus. Kasutajad peavad olema teadlikud, kuidas andmepüüki ära tunda. Koolitus võiks sisaldada näiteks selle õpetamist, kuidas märgata e-kirjas kahtlaseid aadresse või grammatikavigu, mis on sageli andmepüügi tunnused. Samuti on oluline, et töötajad saaksid harjutada simulatsioonidega, kus nad kohtuvad päriselu andmepüügikampaaniatega, et õppida neid ära tundma. Täiendav teadlikkus näiteks sellest, et pank või ettevõtte IT-osakond ei küsi kunagi parooli meili teel, on oluline, et vältida petuskeemidesse langemist. [5]

Lõpuks on tähtis, et organisatsioonil oleksid selged reeglid. Turvapoliitika, mis keelab paroolide jagamise ja julgustab kahtlastest kirjadest teavitama, on üks olulisemaid samme, et tagada ettevõtte küberturvalisus. Samuti aitab reegel, et kui kahtled, ära kliki, vältida paljusid pahandusi. Lisaks aitavad selged ja ühtsed protseduurid, näiteks kuidas kinnitada e-kirjade autentsust või kuidas käituda, kui kahtlased sõnumid saabuvad, hoida organisatsiooni töötajaid kaitstuna.

Andmepüük on lihtne ja efektiivne rünnak, kuna ta manipuleerib mitte süsteemiga, vaid inimestega. Õnneks saame end selle vastu kaitsta, kui rakendame Mitnicki valemi kolme sammast: tehnoloogia, koolitus ja reeglid. Need sammud aitavad meil tuvastada ja vältida andmepüüki, olles valvsad ja teadlikud küberohtudest.

Viidatud kirjandus:

1. https://www.imperva.com/learn/application-security/phishing-attack-scam/

2. https://portal.abuad.edu.ng/lecturer/documents/1585589655The_Art_of_Deception_by_Kelvin_Mitnick.pdf

3. https://doubleoctopus.com/blog/threats-and-attacks/bypassing-2fa/

4. https://www.itsolutions-inc.com/articles/new-phishing-attacks-make-2fa-useless-updated/

5. https://www.cisa.gov/secure-our-world/teach-employees-avoid-phishing