Whaling
je tzv. lovem velryb, tedy forma phishingového útoku na vrcholové manažery a majitele firem. Útoku předchází precizní příprava a pečlivý výběr své oběti.
Dostat se dnes ke konkrétním osobám napomáhají sociální sítě jako LinkedIn nebo Twitter a je velmi lehké získat informace k samotným ředitelům společností.
Tento typ e-mailového útoku používá často chytrou taktiku pro upoutání pozornosti a využívá sociálního inženýrství i umělé inteligence. Útočníci se vydávají za důvěryhodné osoby nebo instituce.
Typickým příkladem je kliknutí na falešný link plánované Zoom konference s důležitým obchodním partnerem, který následně spustí instalaci malware a přes získané údaje osoby s podpisovým právem provede útočník nevratné finanční a reputační operace (např. na bankovním účtu organizace, či při transferu vysoce důvěrných dokumentů neoprávněným příjemcům).
Mnohokrát hackerské skupiny útočí s úmyslem poskytnout citlivá data za úplatu vládě a konkurenčním soukromým společnostem apod. Tyto komerčně citlivé informace se pak využívají pro různé špionážní činy, manipulace s akciemi na burze a další.
Doporučujeme pravidelně školit nejen běžné zaměstnance, ale vzdělávat v tomto směru i management a majitele firem. Pokud patříte mezi lukrativní společnosti s vysoce citlivými informacemi a potenciálem jejich budoucího zneužití, sofistikované bezpečnostní architektuře sítě se nevyhnete.
Konkrétní doporučení:
- před kliknutím na zaslaný odkaz si ověřte i telefonicky původ zaslaného mailu a odesílatele
- odlište efektivně maily, které nepochází z firemní komunikace
- segmentujte vaši síť a k přístupu ke kritickým datům (HR, provoz, výroba, finanční oddělení) využívejte výhradně dvoufaktorové ověření
- čas od času požádejte specialisty, aby vašim zaměstnancům zaslali cvičné whalingové e-maily, ať již v rámci samostatného testu sociálního inženýrství, či specifických penetračních testů
