O Relatório de Mercado Semestral 2022 do Cyber Security Hub revelou que 75% dos inquiridos citaram a engenharia social e o phishing como a principal ameaça para a sua organização. Estes resultados surgem na sequência de avisos de investigadores como a Check Point Research sobre a forma como as tecnologias activadas por IA, como o ChatGPT, podem ser utilizadas para criar e-mails de phishing convincentes.

A engenharia social é uma técnica de burla insidiosa utilizada porque funciona. Ser alvo de engenharia social é ser explorado utilizando exatamente o mesmo comportamento que usas diariamente. Como os hackers sabem como manipular as pessoas a um nível básico, pode ser difícil identificar os ataques. Aqui, a MetaCompliance analisa o processo necessário para garantir que os seus empregados não são vítimas de um ataque de engenharia social.

Três passos para evitar ataques de engenharia social

A prevenção de ataques de engenharia social, em todas as suas formas, requer processos e ferramentas e deve ser considerada uma abordagem multifacetada. Há três elementos fundamentais que, utilizados em conjunto, ajudam a garantir que a tua organização e os teus empregados estão preparados para enfrentar qualquer forma de engenharia social utilizada para levar a cabo um ataque à cibersegurança:

  1. Estratégias: integrar a engenharia social na tua estratégia de segurança.
  2. Personalizar: dá formação aos empregados sobre as ameaças de engenharia social que é mais provável que sofram.
  3. Relata: Incentiva a comunicação de incidentes para melhorar a tua resposta a um ataque que envolva engenharia social.

Estratégia: Certifica-te de que a tua estratégia de segurança reflecte os ataques do mundo real

Os ataques de engenharia social abrangem muitos cenários, desde o phishing à manipulação de relações e às versões físicas da engenharia social, como o“tailgating“. Muitas vezes, os hackers utilizam uma mistura de truques reais e digitais como parte de um ataque sofisticado à segurança.

Os e-mails de Spear phishing, por exemplo, podem ser muito difíceis de detetar e são frequentemente utilizados como uma forma popular de obter acesso a credenciais de palavra-passe ou informações pessoais. Muitas vezes, estes ataques em várias fases podem envolver descarregamentos de malware e criar uma sensação de urgência para encorajar o destinatário a agir sem pensar.

Para garantir que a tua organização cobre todos estes cenários, constrói uma estratégia de segurança que inclua medidas de deteção, procedimentos de comunicação de incidentes de segurança, planos de resposta a incidentes e como realizar auditorias de segurança e privacidade.

O teu planeamento estratégico deve incluir a forma de atenuar o impacto da engenharia social, o que consistirá numa formação de sensibilização para a segurança que envolva a dramatização da engenharia social. Uma vez implementados, a sua estratégia de segurança e os seus planos de resposta devem ser regularmente revistos e actualizados de acordo com a evolução do cenário de ameaças e as novas oportunidades oferecidas pela tecnologia e pelos padrões de trabalho, como o trabalho remoto.

Personaliza a formação de sensibilização para a segurança

Realiza sessões de formação de sensibilização para a segurança com os empregados, com base em ameaças específicas. Isto significa que essas sessões de formação são realizadas com base na função de um funcionário; diferentes funções de funcionários atraem normalmente diferentes tipos de ataques de engenharia social.

Por exemplo, os esquemas de Business Email Compromise (BEC) tendem a utilizar a engenharia social para visar o pessoal que trabalha em contas a pagar ou executivos de nível C, porque estas funções controlam as finanças da empresa.

Um relatório recente da Abnormal Security, que analisou as ameaças por correio eletrónico, concluiu que cerca de 28% dos empregados visados abriam uma mensagem de texto BEC; dos que abriam estas mensagens relacionadas com BEC, 15% respondiam às mesmas, envolvendo-se assim com o fraudador e abrindo a porta a mais engenharia social.

Adapta a tua Formação de Sensibilização para a Segurança para realizar uma formação baseada em funções centrada nas principais ameaças. Utiliza uma plataforma que oferece modelos baseados em funções para utilização com exercícios de simulação de phishing. Cria simulações de phishing e sessões de formação centradas no tipo de ameaças que um funcionário ou departamento individual irá provavelmente enfrentar.

Incentiva a comunicação de incidentes de segurança

O relatório Abnormal Security também concluiu que apenas 2,1% dos incidentes de segurança foram comunicados à equipa de segurança da organização. Isto deixa um buraco na capacidade de responder rapidamente a um ataque em curso.

Uma vez que a engenharia social faz frequentemente parte de uma cadeia de eventos que conduzem a resultados como o roubo financeiro ou a infeção por ransomware, ter um alerta precoce de um incidente em curso pode fornecer a informação necessária para travar o ataque e mitigar os seus danos.

É essencial proporcionar uma forma fácil de comunicar incidentes e cultivar um ambiente de não culpabilização para encorajar a comunicação de incidentes pelos empregados. As organizações não devem confiar apenas nas firewalls ou nos filtros de spam para evitar este tipo de ataques.

Em vez disso, dá aos teus funcionários a possibilidade de comunicarem um incidente cibernético. A comunicação de um incidente pode ajudar a aliviar o impacto, ao fazer com que a resposta seja dada por um funcionário experiente. É importante que ofereças aos funcionários um local seguro para registar os detalhes do incidente, como um portal dedicado à comunicação de incidentes de segurança.

Utilizando a informação do incidente introduzida pelo empregado, a equipa de segurança pode fazer a triagem do incidente, definir prioridades de resposta e iniciar protocolos de segurança. Por exemplo, a consola MetaCompliance MetaIncident é um sistema de gestão de incidentes de ciclo de vida que inclui um registo de incidentes para gerir os problemas. A capacidade de auditar os relatórios e as respostas a incidentes e de gerar relatórios utilizando os dados de um incidente de segurança também é útil para comprovar a conformidade com os regulamentos.

É provável que a engenharia social continue a ser um desafio para as organizações. As novas tecnologias, como as interfaces com IA, permitirão que os autores de fraudes criem ferramentas de engenharia social ainda mais sofisticadas. No entanto, uma empresa pode travar esta ameaça insidiosa desenvolvendo programas educativos específicos e integrando a comunicação de incidentes no trabalho quotidiano.

Risco de ransomware