Cyber Security Hub's Relatório Semestral do Mercado 2022 descobriram que 75% dos inquiridos citaram a engenharia social e o phishing como a principal ameaça à sua organização. Estes resultados surgem na sequência de advertências de investigadores tais como Pesquisa de pontos de verificação sobre como as tecnologias habilitadas para IA, tais como o ChatGPT, podem ser utilizadas para criar e-mails de phishing convincentes.
A engenharia social é uma técnica de fraude insidiosa utilizada porque funciona. Ser socialmente concebido deve ser explorado usando o comportamento exacto que se usa diariamente. Como os hackers compreendem como manipular pessoas a um nível básico, pode ser difícil identificar ataques. Aqui, a MetaCompliance passa pelo processo necessário para garantir que os seus empregados não se tornem vítimas de um ataque de engenharia social.
Três Passos para Evitar Ataques de Engenharia Social
Ataque de engenharia social A prevenção, em todas as suas formas, requer processos e ferramentas e deve ser considerada uma abordagem multi-facetada. Há três elementos centrais que são utilizados em conjunto ajudam a assegurar que a sua organização e os seus empregados estão prontos para enfrentar qualquer forma de engenharia social utilizada para realizar um ataque de segurança cibernética:
- Estratégias: construir a engenharia social na sua estratégia de segurança.
- Personalizar: formar os empregados em ameaças de engenharia social que eles têm maior probabilidade de experimentar.
- Relatório: Encoraje a comunicação de incidentes para melhorar a sua resposta a um ataque que envolva engenharia social.
Estrategize: Assegurar que a sua estratégia de segurança reflicta ataques no mundo real
Os ataques de engenharia social cobrem muitos cenários, desde o phishing à manipulação de relações até versões físicas de engenharia social, tais como 'tailgating‘. Muitas vezes, os hackers usam uma mistura de truques reais e digitais como parte de um ataque de segurança sofisticado.
Os e-mails de phishing Spear, por exemplo, podem ser muito difíceis de detectar e são frequentemente utilizados como uma forma popular de obter acesso a credenciais de senha ou informações pessoais. Muitas vezes, estes ataques em várias fases podem envolver transferências de malware e criar um sentido de urgência para encorajar o destinatário a agir sem pensar.
Para assegurar que a sua organização cobre todos estes cenários, construa uma estratégia de segurança que inclua medidas de detecção, procedimentos de notificação de incidentes de segurança, planos de resposta a incidentes, e como realizar auditorias de segurança e privacidade.
O seu planeamento estratégico deve incluir a forma de mitigar o impacto da engenharia social; isto consistirá na Formação de Sensibilização para a Segurança que envolve o papel da engenharia social. Uma vez em vigor, a sua estratégia de segurança e planos de resposta devem ser regularmente revistos e actualizados de acordo com a evolução do panorama de ameaças e novas oportunidades oferecidas pela tecnologia e padrões de trabalho, tais como o trabalho à distância.
Personalizar a Formação de Sensibilização para a Segurança
Realizar sessões de Formação de Sensibilização para a Segurança com funcionários que se baseiam em ameaças específicas. Isto significa que essas sessões de formação são realizadas com base no papel de um empregado; diferentes papéis de empregados atraem tipicamente diferentes tipos de ataques de engenharia social.
Por exemplo, os esquemas do Business Email Compromise (BEC) tendem a utilizar a engenharia social para visar o pessoal que trabalha em contas a pagar ou executivos de nível C, porque estas funções controlam as finanças da empresa.
Um relatório recente de Segurança anormal que analisou as ameaças por correio electrónico descobriu que cerca de 28% dos empregados visados abririam uma mensagem de texto BEC; dos que abriam estas mensagens relacionadas com BEC, 15% continuaram a responder-lhes, envolvendo-se assim com o fraudador e abrindo a porta a mais engenharia social.
Personalize a sua Formação de Sensibilização para a Segurança para realizar uma formação baseada em papéis centrada nas principais ameaças. Utilize uma plataforma que oferece modelos baseados em papéis para utilização com exercícios de simulação de phishing. Criar simulações de phishing e sessões de formação centradas no tipo de ameaças que um funcionário ou departamento irá provavelmente experimentar.
Incentivar a Comunicação de Incidentes de Segurança
O relatório de Segurança Anormal também constatou que apenas 2,1% dos incidentes de segurança foram comunicados à equipa de segurança da organização. Isto deixa uma lacuna na capacidade de responder rapidamente a um ataque em curso.
Como a engenharia social faz frequentemente parte de uma cadeia de eventos que conduzem a resultados tais como roubo financeiro ou infecção por resgate, ter um alerta precoce de um incidente em curso pode fornecer a inteligência necessária para parar o ataque nos seus rastos e mitigar os danos do ataque.
É essencial proporcionar uma forma de comunicar incidentes facilmente e cultivar um ambiente sem culpas para encorajar a comunicação de incidentes pelos empregados. As organizações não devem confiar apenas em firewalls ou filtros de spam para evitar este tipo de ataques.
Em vez disso, dê aos seus empregados a capacidade de denunciar um incidente cibernético. A denúncia de um incidente pode ajudar a aliviar o impacto, aumentando a sua resposta a um empregado conhecedor. É importante oferecer aos funcionários um local seguro para registar os detalhes do incidente, tal como um portal dedicado à comunicação de incidentes de segurança.
Utilizando as informações do incidente introduzidas pelo funcionário, a equipa de segurança pode triar o incidente, estabelecer prioridades de resposta e iniciar protocolos de segurança. Por exemplo, a equipa de segurança MetaCompliance MetaIncidente é um sistema de gestão de incidentes do ciclo de vida que inclui um registo de incidentes para gerir questões. A capacidade de auditar relatórios de incidentes e respostas e gerar relatórios utilizando os dados de um incidente de segurança é também útil para a prova de conformidade com os regulamentos.
A engenharia social é susceptível de continuar a desafiar uma organização. Novas tecnologias, tais como interfaces activadas por IA, permitirão aos autores de fraudes construir ferramentas de engenharia social ainda mais sofisticadas. No entanto, uma empresa pode deter esta ameaça insidiosa desenvolvendo programas de educação focalizados e integrando a comunicação de incidentes no trabalho quotidiano.
