Phishing i socijalni inženjering: kako prepoznati i spriječiti napad

Phishing je napad u kojem se napadač lažno predstavlja kao osoba ili organizacija od povjerenja kako bi vas naveo da otkrijete lozinku, kliknete na zlonamjernu poveznicu ili izvršite uplatu. To je najčešći oblik socijalnog inženjeringa, šireg pojma koji obuhvaća sve tehnike manipulacije ljudima umjesto izravnog napada na tehnologiju. Većina ozbiljnih proboja danas ne počinje sofisticiranom ranjivošću u kodu, nego porukom koja je nekoga uvjerila da učini nešto što nije trebao. Prema procjeni prijetnji agencije ENISA, phishing i socijalni inženjering ostaju među vodećim načinima početnog pristupa napadača u mrežu.¹

Razlog je jednostavan. Tehničke obrane, vatrozidi, enkripcija i sustavi za detekciju, posljednjih su godina znatno ojačale. Ljudi se nisu promijenili jednakim tempom. Napadač koji bi morao uložiti tjedne da probije dobro osiguranu mrežu često u nekoliko minuta uvjerljivom porukom dobije pristup koji mu treba. Za regulirane tvrtke u financijama, zdravstvu, kritičnoj infrastrukturi i SaaS-u, gdje jedan kompromitirani račun može pokrenuti prijavu povrede podataka i nadzor regulatora, razumijevanje socijalnog inženjeringa jednako je važno kao i tehnička zaštita. Ovaj tekst objašnjava zašto ti napadi ciljaju ljude, kako izgledaju, kako ih prepoznati i kako izgraditi otpornost koja se može izmjeriti.

Što je socijalni inženjering i zašto cilja ljude

Socijalni inženjering je manipulacija ljudima s ciljem da otkriju povjerljive informacije ili izvrše radnju koja koristi napadaču. Umjesto da traži tehničku slabost u sustavu, napadač iskorištava ljudske sklonosti: povjerenje, želju da se pomogne, strah od posljedica i automatsku reakciju na autoritet i hitnost. Phishing je njegov najpoznatiji oblik, ali ne i jedini.

Napadači ciljaju ljude jer je to jeftinije i pouzdanije od probijanja tehnologije. Probiti zakrpani sustav s višefaktorskom autentikacijom zahtijeva vrijeme, vještinu i sreću. Uvjeriti zaposlenika pod pritiskom roka da klikne poveznicu ili odobri uplatu često traje nekoliko minuta. Ljudi su izloženi i izvan ureda, na privatnim uređajima i društvenim mrežama, gdje nema tehničkih kontrola tvrtke. Zato je čovjek najnapadanija točka, a ne najslabija karika koju treba kriviti.

Napadi gotovo uvijek slijede sličan obrazac. Napadač prvo prikuplja informacije o meti, često s javno dostupnih izvora poput LinkedIna, web stranice tvrtke i medijskih objava. Zatim gradi uvjerljiv izgovor, uspostavlja kontakt i stvara osjećaj hitnosti koji žrtvi ne ostavlja vremena za promišljanje. Razumijevanje ovog obrasca temelj je svake obrane jer pokazuje gdje se napad može prekinuti.

Psihološki principi koje napadači iskorištavaju

Socijalni inženjering djeluje jer cilja predvidljive obrasce ljudskog ponašanja. Napadač rijetko izmišlja nešto novo, češće slaže poznate okidače u uvjerljiv scenarij. Poznavanje tih principa pomaže zaposlenicima da prepoznaju trenutak u kojem ih netko pokušava požuriti ili uplašiti.

• Autoritet: poruka koja se predstavlja kao direktor, banka ili nadležno tijelo dobiva poslušnost jer ljudi rijetko propituju nekoga za koga vjeruju da ima moć.
• Hitnost: kratak rok i prijetnja gubitkom isključuju promišljanje, primjerice zahtjev da se uplata izvrši prije kraja radnog dana.
• Strah: poruka o blokadi računa, kazni ili sigurnosnom incidentu izaziva paniku koja navodi na brzu, nepromišljenu radnju.
• Povjerenje: napadač oponaša poznatog kolegu, dobavljača ili brend kako bi iskoristio postojeći odnos i preskočio provjeru.
• Znatiželja i pohlepa: obećanje nagrade, povrata novca ili zanimljivog dokumenta navodi žrtvu da klikne prije nego razmisli.

Ovi principi rijetko djeluju pojedinačno. Tipična kompromitacija poslovne e-pošte kombinira autoritet lažnog direktora s hitnošću roka i povjerenjem koje proizlazi iz poznatog imena. Što više okidača poruka koristi, to je manje vremena za razumno prosuđivanje.

Vrste phishinga i socijalnog inženjeringa

Napadi se razlikuju po kanalu kojim stižu i po tome koliko su ciljani. Što je napad ciljaniji, to je uvjerljiviji i opasniji jer izgleda osobno i očekivano. Tablica niže prikazuje glavne oblike s kojima se tvrtke susreću.

Najveću financijsku štetu redovito nanosi BEC jer cilja izravno novac i koristi autoritet uprave. O tom obliku detaljnije pišemo u tekstu o BEC prijevari poslovne e-pošte. Širi pregled prijetnji s kojima se tvrtke susreću dajemo u tekstu o vrstama kibernetičkih napada.

Kako prepoznati napad

Iako napadi postaju sve uvjerljiviji, većina poruka i dalje nosi prepoznatljive znakove. Vrijedi ih znati i naučiti zaposlenike da zastanu kad ih primijete, jer kratka pauza prije klika presudno mijenja ishod.

• Osjećaj hitnosti ili prijetnje, poput poruke da će račun biti blokiran ako odmah ne reagirate.
• Adresa pošiljatelja koja na prvi pogled djeluje ispravno, ali sadrži sitnu razliku u domeni ili nazivu.
• Generički pozdrav umjesto vašeg imena, iako pošiljatelj tvrdi da vas poznaje.
• Poveznice koje vode na adresu različitu od prikazane, što se vidi kad pokazivač zadržite iznad poveznice.
• Neočekivani privici, posebno dokumenti koji traže omogućavanje makronaredbi.
• Zahtjev za lozinkom, kodom ili uplatom koji stiže izvan uobičajenog postupka ili kanala.
• Telefonski poziv koji odvraća od provjere i traži da radnju obavite odmah, dok ste na liniji.

Jezične pogreške nekad su bile pouzdan znak prijevare, no danas su gotovo nestale. Napadači koriste iste alate za pisanje kao i svi ostali, pa su poruke gramatički besprijekorne, prilagođene meti i napisane uvjerljivim poslovnim tonom. Zato se obrana ne smije oslanjati na to da loše napisana poruka odaje napad.

Zašto tehnička obrana sama nije dovoljna

Filtri e-pošte, antivirusni alati i detekcija zaustavljaju velik dio napada, ali ne sve. Ciljani spear phishing često prolazi jer ne sadrži poznati zlonamjerni privitak ni poveznicu s crne liste, nego samo tekst koji navodi na radnju. Vishing telefonom uopće ne prolazi kroz sustave e-pošte. Napadi koji koriste legitimne servise za dijeljenje datoteka i besprijekorno oponašaju brendove izmiču automatskim pravilima.

Tehnologija mijenja vjerojatnost, čovjek mijenja ishod. Kad poruka prođe sve filtre, jedina preostala obrana je zaposlenik koji prepozna napad i postupak koji ga zaustavi. Zato obrana mora spojiti tehničke kontrole s ljudima i procesima. Sustav koji se oslanja samo na tehnologiju ostaje slijep za upravo one napade koji su najuvjerljiviji i najskuplji.

Slojevita obrana

Obrana od phishinga i socijalnog inženjeringa kombinira ljude, postupke i tehnologiju. Snaga je u tome što jedan probijeni sloj ne znači uspjeh napada, jer ga zaustavi sljedeći. Cilj je da pojedinačna pogreška nikad ne bude dovoljna.

• Edukacija i simulirani phishing, jer informiran i uvježban zaposlenik prepoznaje napad i zna kako reagirati.
• Višefaktorska autentikacija, koja ukradenu lozinku čini znatno manje korisnom napadaču; više o tome u tekstu o dvofaktorskoj autentifikaciji.
• Postupci verifikacije plaćanja, gdje se svaka promjena podataka i svaka neuobičajena uplata potvrđuje drugim kanalom, na unaprijed poznati broj.
• Tehničke kontrole na razini domene, prije svega SPF, DKIM i DMARC, koje otežavaju lažiranje vaše domene i zaustavljaju velik dio poruka prije korisnika.
• Kultura prijavljivanja, jednostavan i bezbolan način da zaposlenik prijavi sumnjivu poruku bez straha od posljedica ako pogriješi.

SPF, DKIM i DMARC zajedno provjeravaju šalje li poruku ovlašteni poslužitelj i je li u prijenosu izmijenjena, te govore primateljskim sustavima što učiniti s porukom koja ne prođe provjeru. Pravilno postavljen DMARC u načinu odbijanja znatno smanjuje mogućnost da napadač lažira vašu domenu prema vašim klijentima i zaposlenicima. To je tehnička osnova bez koje ostatak obrane radi s vezanim rukama.

Napadač ne mora probiti vaš vatrozid ako ga zaposlenik pusti kroz vrata. Socijalni inženjering cilja povjerenje, a povjerenje nema zakrpu.

Kako mjeriti otpornost

Edukacija bez provjere ostaje pretpostavka. Simulirani phishing je kontrolirana vježba u kojoj sigurnosni tim šalje zaposlenicima bezopasne poruke koje oponašaju stvarni napad, a zatim mjeri ponašanje. Tri brojke pokazuju stvarno stanje. Stopa klikanja govori koliko je ljudi nasjelo na poveznicu ili privitak. Stopa prijave govori koliko ih je poruku prepoznalo i prijavilo. Vrijeme do prve prijave pokazuje koliko brzo sigurnosni tim dobije signal da je kampanja u tijeku.

Zdrav cilj nije nula klikova, jer ga je nemoguće trajno održati, nego visoka i rastuća stopa prijave. Organizacija u kojoj polovica zaposlenika prijavi sumnjivu poruku unutar nekoliko minuta otpornija je od one u kojoj nitko ne klikne, ali ni ne prijavi, jer prijava daje obrani priliku da zaustavi pravi napad. Mjerenje kroz vrijeme pokazuje napreduje li edukacija ili samo postoji na papiru.

Program edukacije korak po korak

Jednokratno predavanje ne mijenja ponašanje. Otpornost gradi program koji se ponavlja, mjeri i prilagođava. Niže je okvir koji koristimo, a stvarni opseg i tempo prilagođavaju se veličini i rizičnom profilu organizacije.

1. 01
   Postavite polazno mjerenje

   Provedite prvu simuliranu kampanju da utvrdite početne stope klikanja i prijave. Bez polazne točke ne možete dokazati napredak ni opravdati ulaganje.
2. 02
   Educirajte ciljano

   Kratke i konkretne lekcije, vezane uz stvarne napade na vašu industriju, djeluju bolje od dugih općenitih treninga. Posebnu pažnju posvetite timovima koji rukuju novcem i podacima.
3. 03
   Ponavljajte simulacije

   Provodite kampanje redovito i s promjenjivim scenarijima, od klasičnog phishinga do BEC-a i vishinga, kako zaposlenici ne bi pamtili samo jedan obrazac.
4. 04
   Pojednostavnite prijavu

   Ugradite gumb ili jasan postupak za prijavu sumnjive poruke jednim klikom i pobrinite se da svaka prijava dobije povratnu informaciju.
5. 05
   Mjerite i izvještavajte

   Pratite stope klikanja i prijave kroz vrijeme i izvještavajte upravu. Trend, a ne pojedinačan rezultat, pokazuje gradi li se otpornost.
6. 06
   Zatvorite petlju

   Tko nasjedne ne dobiva kaznu, nego dodatnu, podržavajuću edukaciju. Sramoćenje gasi prijave i čini organizaciju slabijom.

Veza s BEC-om i krađom identiteta

Phishing rijetko ostaje sam za sebe. Ukradeni podaci za prijavu vode do preuzimanja računa, a preuzeti račun e-pošte postaje polazište za kompromitaciju poslovne e-pošte, gdje napadač iznutra šalje uvjerljive zahtjeve za uplatom. Detaljnije o tom lancu pišemo u tekstu o BEC prijevari poslovne e-pošte.

Drugi čest ishod je krađa identiteta, gdje napadač prikupljene podatke koristi za otvaranje računa, prijevare ili daljnje napade na zaposlenika i tvrtku. Kako se taj rizik prepoznaje i ograničava, opisujemo u tekstu o krađi identiteta. Phishing je u oba slučaja ulazna točka, pa zaustavljanje na toj razini sprječava niz kasnijih šteta. Ako je do proboja došlo, presudna je brzina reakcije, koju gradimo kroz usluge detekcije i odgovora na incidente.

Česta greška: jednokratna edukacija i sramoćenje

Dvije pogreške opetovano slabe inače dobre programe. Prva je jednokratna edukacija, predavanje na koje se zaboravi za nekoliko tjedana. Ponašanje mijenja samo redovito ponavljanje i mjerenje, jer napadači stalno mijenjaju scenarije, a ljudi se vraćaju starim navikama. Sigurnosna svjesnost je proces, ne događaj.

Druga pogreška je sramoćenje zaposlenika koji nasjednu. Javno isticanje pogrešaka stvara strah, a strah gasi prijave, jer ljudi radije šute nego priznaju klik. Time organizacija gubi upravo signal koji joj najviše treba. Cilj nije pronaći krivca, nego izmjeriti i podići otpornost. Zaposlenik koji se ne boji prijaviti vlastitu pogrešku najvrjedniji je dio obrane.

Kako Raptoric pomaže

Raptoric gradi mjerljivu otpornost na phishing i socijalni inženjering. Kroz edukaciju o sigurnosnoj svjesnosti provodimo realne simulirane kampanje, mjerimo stope klikanja i prijave te dajemo konkretne preporuke umjesto općenitih savjeta. Cilj nije osramotiti zaposlenike, nego izmjeriti kako se organizacija ponaša pod stvarnim pritiskom. Kao neovisna i vendor neutralna tvrtka ne prodajemo vam alat, nego rješavamo rizik. Ako želite saznati koliko je vaša organizacija otporna na stvaran napad, dogovorite uvodni razgovor.