Bezpieczeństwo dla pracownika

Phishing to wiadomość podszywająca się pod zaufane źródło (bank, dostawcę, dział IT, przełożonego), której celem jest skłonienie odbiorcy do kliknięcia w link, otwarcia załącznika albo podania danych logowania. Działa, bo odwołuje się do emocji: pośpiechu, strachu przed konsekwencją, ciekawości albo chęci szybkiego załatwienia sprawy, a nie do racjonalnej analizy.

• Presja czasu: "masz 2 godziny", "działaj natychmiast", "konto zostanie zablokowane dziś"
• Adres nadawcy niezgodny z oficjalną domeną firmy, choćby o jedną literę
• Link w tekście prowadzący pod inny adres niż ten wyświetlany
• Nieoczekiwany załącznik, zwłaszcza faktura, wezwanie albo dokument "do pilnego podpisu"
• Prośba o podanie hasła, kodu MFA albo danych karty płatniczej
• Literówki, nietypowa gramatyka lub styl niepasujący do nadawcy
• Nietypowa prośba niezgodna ze zwykłym trybem pracy (np. dział IT nigdy wcześniej nie prosił o hasło mailem)

1. 1 Nie klikaj od razu Zatrzymaj się na chwilę, zanim zareagujesz na presję zawartą w wiadomości.
2. 2 Najedź kursorem na link bez klikania Sprawdź rzeczywisty adres docelowy w pasku stanu przeglądarki lub w podglądzie linku (na telefonie: przytrzymaj link palcem).
3. 3 Porównaj domenę z oficjalną Zwróć uwagę na literówki i podstawienia znaków, np. paypa1.com albo microsft-support.net zamiast oryginalnej domeny.
4. 4 Sprawdź nadawcę w pełnym adresie e-mail Nazwa wyświetlana (np. "Dział IT") nic nie znaczy, liczy się adres po znaku @.
5. 5 W razie wątpliwości zapytaj niezależnym kanałem Zadzwoń do nadawcy na znany wcześniej numer albo zapytaj w firmowym komunikatorze, nigdy nie korzystaj z danych kontaktowych podanych w podejrzanej wiadomości.

Od: "Dział IT - Wsparcie" <it-helpdesk@secure-support-portal.net>
Temat: PILNE: Twoje hasło wygasa za 2 godziny
Treść: Kliknij poniższy link i zaloguj się, aby uniknąć utraty dostępu:
http://portal-firma-logowanie.net/reset

Uwaga: domena "secure-support-portal.net" nie jest domeną firmową.

• Nie klikaj w link ani nie otwieraj załącznika
• Nie odpowiadaj nadawcy i nie przekazuj wiadomości dalej do współpracowników
• Zgłoś wiadomość do IT lub działu bezpieczeństwa zgodnie z firmową procedurą
• Jeśli klient poczty na to pozwala, oznacz wiadomość jako phishing/spam
• Jeśli zdążyłeś kliknąć, przejdź od razu do procedury reagowania na incydent

Hasło jest zwykle jedyną rzeczą oddzielającą atakującego od konta firmowego, dlatego pozostaje najczęściej atakowanym elementem bezpieczeństwa. Problemem nie jest brak wiedzy, że hasło ma być "silne", tylko powszechne powtarzanie tego samego hasła w wielu miejscach i tworzenie haseł według przewidywalnych, łatwych do odgadnięcia wzorców.

• Długość ma większe znaczenie niż komplikacja: fraza z kilku losowych słów jest silniejsza niż krótkie hasło pełne znaków specjalnych
• Unikalne hasło dla każdego serwisu, bez wyjątków
• Brak danych osobowych w haśle: imion, dat urodzenia, nazwy firmy
• Generowanie haseł przez menedżer haseł zamiast wymyślania ich samodzielnie
• Zmiana hasła natychmiast po informacji o wycieku danego serwisu, nie "przy okazji"

1. 1 Włącz MFA w ustawieniach konta firmowego Zrób to dla poczty, VPN i wszystkich systemów, które na to pozwalają.
2. 2 Wybierz aplikację uwierzytelniającą zamiast SMS, jeśli to możliwe Kod SMS można przechwycić poprzez przejęcie numeru telefonu, aplikacja jest bezpieczniejsza.
3. 3 Zapisz kody zapasowe w bezpiecznym miejscu Nie w pliku tekstowym na pulpicie, najlepiej w menedżerze haseł lub wydrukowane i schowane pod klucz.
4. 4 Nigdy nie podawaj kodu MFA nikomu przez telefon Nawet jeśli rozmówca przedstawia się jako dział IT, prawdziwy dział IT nigdy o to nie prosi.

Ataki telefoniczne i mailowe wykorzystujące podszywanie się pod autorytet (przełożonego, dział IT, dostawcę) są skuteczne, bo grają na naturalnych odruchach: chęci pomocy, respekcie wobec hierarchii i strachu przed konsekwencją niewykonania polecenia na czas. Atakujący nie musi łamać żadnego zabezpieczenia technicznego, wystarczy mu przekonujący scenariusz i odrobina presji.

1. 1 Zatrzymaj się Presja czasu i prośba o dyskrecję to sygnał ostrzegawczy, nie powód do przyspieszenia działania.
2. 2 Zweryfikuj tożsamość osobnym kanałem Zadzwoń na znany wcześniej numer telefonu, nigdy na numer podany w podejrzanej wiadomości.
3. 3 Zastosuj zasadę dwóch osób przy dużych przelewach Żaden pojedynczy pracownik nie powinien samodzielnie akceptować nietypowego, pilnego przelewu bez drugiej weryfikacji.
4. 4 Nigdy nie podawaj hasła ani kodu MFA przez telefon Dotyczy to również sytuacji, gdy rozmówca zna wewnętrzne nazwy systemów firmowych.
5. 5 Zgłoś próbę, nawet nieudaną Zgłoszenie każdej próby pomaga ostrzec innych pracowników i ocenić skalę kampanii.

• Nagła zmiana danych do przelewu w stosunku do wcześniejszych ustaleń
• Żądanie zachowania sprawy w tajemnicy, "nie mów nikomu, nawet mojemu asystentowi"
• Silna presja czasu, "musi być zrobione dziś, jestem na spotkaniu i nie mogę rozmawiać"
• Komunikacja wyłącznie mailowa lub SMS-owa, nigdy telefonicznie ani osobiście
• Drobne niezgodności stylu językowego w stosunku do zwykłej komunikacji danej osoby

Nośnik wymienny albo prywatne urządzenie podłączone do sieci firmowej omija wiele zabezpieczeń, które chronią pocztę i przeglądarkę. Ciekawość wobec znalezionego pendrive'a albo wygoda pracy na własnym telefonie potrafią otworzyć furtkę, której żaden firewall nie widzi.

• Używaj wyłącznie nośników firmowych lub jawnie zatwierdzonych przez IT
• Skanuj nośnik antywirusem przed pierwszym użyciem, nawet firmowy
• Szyfruj nośniki przenoszące dane poufne
• Nigdy nie podłączaj znalezionego lub nieznanego nośnika do komputera
• Znaleziony nośnik zgłoś do IT lub ochrony zamiast go samodzielnie sprawdzać

1. 1 Sprawdź politykę BYOD firmy przed użyciem prywatnego urządzenia Nie każda firma dopuszcza pracę służbową na prywatnym sprzęcie.
2. 2 Zainstaluj wymagane zabezpieczenia Blokadę ekranu, aktualizacje, ewentualnie oprogramowanie MDM, jeśli firma tego wymaga.
3. 3 Oddziel dane firmowe od prywatnych Osobny profil, osobna aplikacja poczty, unikaj mieszania kont.
4. 4 Zgłoś natychmiast zgubienie lub kradzież urządzenia Im szybciej IT zareaguje, tym mniejsze ryzyko wycieku danych z urządzenia.
5. 5 Nie synchronizuj poczty firmowej bez zgody IT Dotyczy zwłaszcza urządzeń bez blokady ekranem lub bez aktualnego systemu.

Praca poza biurem przenosi całą odpowiedzialność za bezpieczeństwo sieci na pracownika: nie ma tu firmowego firewalla ani administratora patrolującego sieć. Równie ważne jak higiena samej pracy zdalnej jest to, co robisz w pierwszych minutach po podejrzeniu, że kliknąłeś w coś złośliwego, bo ta reakcja decyduje o skali szkody.

1. 1 Zmień domyślne hasło routera domowego Zarówno hasło administracyjne panelu routera, jak i hasło samej sieci Wi-Fi.
2. 2 Włącz aktualne szyfrowanie sieci WPA2 lub WPA3, nigdy starsze, przestarzałe standardy.
3. 3 Oddziel sieć gościnną od sieci roboczej Jeśli router na to pozwala, urządzenia gości i smart-home nie powinny dzielić sieci ze sprzętem służbowym.
4. 4 Aktualizuj oprogramowanie routera Regularnie sprawdzaj dostępność aktualizacji firmware.
5. 5 Nie pracuj na publicznym Wi-Fi bez VPN Połącz się z firmowym VPN zanim uzyskasz dostęp do zasobów firmowych spoza biura lub domu.

1. 1 Odłącz urządzenie od sieci Wyłącz Wi-Fi lub odłącz kabel sieciowy, ale nie wyłączaj samego komputera.
2. 2 Zgłoś natychmiast do IT lub działu bezpieczeństwa Zgodnie z obowiązującą w firmie procedurą zgłaszania incydentów.
3. 3 Zapisz, co się wydarzyło Jaki link lub załącznik, o której godzinie, jakie dane mogły zostać podane.
4. 4 Zmień hasło do konta, którego mogło dotyczyć zdarzenie Wyłącznie jeśli IT tak zaleci, aby nie zatrzeć śladów potrzebnych do analizy.
5. 5 Nie próbuj naprawiać tego samodzielnie ani ukrywać zdarzenia Samodzielne działania (formatowanie dysku, usuwanie plików) mogą zniszczyć dowody potrzebne do oceny skali incydentu.

• Im szybciej IT zareaguje, tym mniejszy realny zasięg szkody
• Firma może mieć prawny obowiązek zgłoszenia naruszenia danych osobowych w krótkim, ustawowym terminie
• Uczciwe i szybkie zgłoszenie własnego błędu zwykle nie wiąże się z konsekwencjami dyscyplinarnymi
• Konsekwencje dotyczą ukrywania zdarzenia, nie samej pomyłki