Inimfaktor kui rünnakute peamine algpõhjus
Urmo Keskel selgitab, miks on just inimene sageli küberrünnakute esimene sihtmärk. Kurjategijatel on lihtsam manipuleerida inimese käitumise ja emotsioonidega kui murda tehnilisi kaitsemeetmeid. Ta toob välja, et õngitsus on enamiku rünnakute esimene samm. See ei ole nii, et pettus lõppeb õngitsusega – vastupidi, see on alles esimene samm, mille peale ehitatakse järgmised.
Saates käsitletakse ka statistikat, mis näitab pettuste ja õngitsuste kiiret kasvu. Näiteks tõi Riigi Infosüsteemi Amet (RIA) viimase aasta kohta välja üle 4500 mõjuga intsidendi, millest ligi 2800 olid õngitsused. Politsei- ja Piirivalveamet (PPA) ütles, et arvutikelmuseid jooksis neilt möödunud aastal läbi 3400 korral. Andmekaitse Inspektsiooni teavitati eelmisel aastal 36 küberrünnakust millest 1/3 olid õngitsused või pettused.
Pettused muutuvad – tehnoloogia aitab kurjategijaid
Arutelu keskmes on ka pettuste uus tase: eestikeelsed petukõned, realistlikud kirjad ja tehisintellekti abil loodud sisu. Kui varem reedeti pettusi vigase keele või ebaloogilise loo järgi, siis nüüd on need professionaalsed ja isikupärastatud. Keskel toob näiteid, kuidas petukõned ehitavad usaldust, kasutades isegi „küberhügieeni õpetamist“ ohvri rahustamiseks. Samuti kirjeldab ta, kuidas sotsiaalmeedias levivad petulehed matkivad tuntud brände ja meediakanaleid.
Miks töötajaid testida?
Phishbite viib läbi õngitsusteste ja koolitusi, mis aitavad töötajatel turvalises keskkonnas oma eksimustest õppida. Keskel rõhutab, et testimise eesmärk ei ole karistamine, vaid õppimine: „Me pakume võimalust töötajal näha, et ka tema on ekslik – ja seda turvalises keskkonnas.“
Aastase koolitusprogrammi jooksul on 59% töötajatest vähemalt korra eksinud, kuid eksimiste arv väheneb ajas märgatavalt – keskmiselt 22% klikimäärast langeb see aasta jooksul 4–5% juurde.
Kuidas reageerida kahtlasele olukorrale?
- pöörduda kohe ettevõtte IT-tugiisiku või partneri poole
- vajadusel teavitada CERT-EE-d
- mitte karta juhtumist teada anda, sh rikkumise puhul 72 tunni jooksul ka Andmekaitse Inspektsiooni
- säilitada tõendid ja logid
- finantspettuse korral võtta viivitamatult ühendust pangaga
- vajadusel isoleerida seade võrgust
Kuus soovitust väikesele ettevõttele enda kaitsmiseks
- Kahefaktoriline autentimine - eriti meilikontodele.
- Töötajate regulaarne koolitamine - baashügieen ja õngitsustestid. Iga töötaja teadlikkus loeb!
- Varuplaan äritegevuse jätkamiseks - mis juhtub siis, kui IT-süsteemid ei tööta? Kuidas saab äri jätkata?
- Kuidas hoiad isikuandmeid - Kui töötled isikuandmeid, mõtle läbi ka käitumine andmelekke puhul.
- Ole natuke paranoiline - ära usu kõike, mida näed.
- Kui kahtled, siis tee eelnevalt topeltkontrolli - keegi saadab kirja, aga pole kindel kas saatja ikka õige? Küsi üle, nt helista.
Episoodi aitas salvestada Euroopa Liidu CERV (Citizens, Equality, Rights and Values) programm, mis toetab privaatsuse ja andmekaitseteadlikkuse arendamist Eestis.
