Что утечка данных Uber говорит о социальной инженерии
Немногие методы так популярны среди киберпреступников, как социальная инженерия. Исследования показывают, что ИТ-персонал получает в среднем 40 целевых фишинговых атак в год. Многие организации пытаются пресечь их, пока не стало слишком поздно. Недавно компания Uber пополнила длинный список компаний, потерпевших поражение от социальной инженерии. Злоумышленнику удалось получить доступ к внутренним ИТ-системам организации, панели электронной почты, серверу Slack, конечным точкам, домену Windows и консоли Amazon Web Services.
Читайте также: Uber взломал 18-летний хакер.
Опасность социальной инженерии
По сообщениям СМИ, 18-летний хакер отправил SMS-сообщение сотруднику Uber. Он выдал себя за сотрудника службы поддержки. Хакер обманом заставил сотрудника передать свой пароль. Затем хакер использовал его для получения контроля над учетной записью Slack. Позже он получил доступ к другим важным системам.
Эта утечка данных проливает свет на эффективность методов социальной инженерии. Она говорит о том, что предприятиям следует переоценить использование многофакторной аутентификации для защиты учетных записей своих сотрудников в Интернете.
Социальная инженерия: низкобарьерный способ взлома
Во многих отношениях утечка данных Uber еще раз иллюстрирует проблему, связанную с использованием аутентификации на основе паролей для контроля доступа к учетным записям. Пароли легко украсть с помощью перебора и социальной инженерии. В то же время, независимо от того, насколько хороша защита компании, если она полагается на пароли для защиты учетных записей, достаточно одному сотруднику поделиться своими учетными данными, чтобы произошла утечка информации.
«Uber» – последняя в череде жертв атак социальной инженерии. Сотрудники – всего лишь люди, и в конечном итоге будут допущены ошибки с тяжелыми последствиями», – сказал Арти Раман, генеральный директор и основатель компании Titaniam. «Как показал этот инцидент, доступ к информации может быть получен с использованием привилегированных учетных данных. Это позволяет хакерам украсть основные данные и поделиться ими со всем миром». Хотя такие меры, как включение многофакторной аутентификации, могут помочь снизить вероятность попыток захвата учетных записей, они не смогут полностью предотвратить их.
Переосмысление безопасности учетных записей
Как правило, информированность пользователей является лучшей защитой организации от угроз социальной инженерии. Использование тренингов по повышению осведомленности о безопасности для обучения сотрудников тому, как распознавать попытки манипулирования в виде фишинговых электронных писем или SMS-сообщений, может снизить вероятность того, что их обманом заставят передать конфиденциальную информацию.
Организации просто не могут позволить себе совершить ошибку. Руководители думают, что многофакторной аутентификации достаточно для предотвращения несанкционированного доступа к онлайн-аккаунтам. Вместо этого руководителям компаний необходимо оценить уровень риска на основе вариантов аутентификации, поддерживаемых поставщиком учетных записей, и соответственно внедрить дополнительные средства контроля.
Читайте также:
- Хакеры взломали сеть отелей IHG ради развлечения
- Как защитить компьютер от взлома
- Подогрев сидений в BMW: хакеры взломали подписку
Читайте также:
Обсуждение
Самые последние новости
