Небезпека смартфонів

Смартфони та корпоративна інформація: основні ризики та як їм запобігти

  • Перегляди: 1149
Поради
Кібербезпека

Нещодавно опублікований звіт Verizon Mobile Security Index за 2019 рік (видається раз на рік) показав, що більшість організацій у світі виявились непідготовленими до відбиття атак, які призвели до втрати (крадіжки) даних або простою роботи бізнесу. Найбільш уразливими з точки зору кібербезпеки та інформаційної безпеки є особисті мобільні пристрої, які співробітники приносять з собою на роботу.

Мобільні пристрої та небезпека для бізнесу

Смартфони все частіше використовуються для роботи. За їх допомогою користувачі передають бізнес-інформацію через незахищені канали зв'язку. Все більше співробітників переглядають декілька поштових скриньок (організації та власних) з одного слабозахищеного мобільного пристрою. У зв'язку з цим все більше кіберзлочинців переходять на онлайн-шахрайство, включаючи здирництво та шантаж. Отримавши навіть віддалений (а не прямий, за допомогою крадіжки) доступ до мобільного пристрою, зловмисник зможе дізнатися не тільки особисті, а й банківські або корпоративні доступи. Крім цього, існують інші загрози для мобільних пристроїв, здатні відкрити хакерам доступ до смартфону.

Як зловмисники змушують користувачів переходити по зараженому посиланню

Для атак зловмисники використовують фішинг та методи соціальної інженерії, які змушують співробітників натискати на заражені посилання. Їх надсилають електронною поштою або у повідомленнях месенджерів.
Обіцянка особистої вигоди, наприклад, акції
Випадковість
Примус або шантаж
Провокація емоції
Шпигунство
Ідеологія

Проблема 1. Соціальна інженерія

Згідно зі звітом FireEye, 91% кіберзлочинів розпочинають атаку з електронної пошти. Цей вид атаки розрахований на те, що жертва натисне на посилання і цим надасть зловмисникам доступ до свого пристрою.

Користувачі смартфонів піддаються найбільшому ризику, адже багатьом клієнтам мобільної пошти будуть відображуватися імена відправників, які легко підробити — й обманом змусити людину думати, що лист прийшов від того, кого він знає. Користувачі частіше реагують на фішингову атаку на мобільному пристрої, ніж на комп'ютері, адже маленький екран не дозволяє побачити деталі, які видають зловмисника.

Уразливими є месенджери, соціальні мережі та ігри. Згідно зі звітом Wandera, 83% фішингових атак за останній рік прийшли у вигляді текстових повідомлень у Facebook Messenger та WhatsApp. Ті, хто вже натискав на фішингове посилання, з величезною ймовірністю, повторять свою дію у майбутньому.

До соціальної інженерії можна віднести також і «погану гігієну паролів», через що зловмисникові дуже легко отримати доступ до смартфона. Згідно з аналізом LastPass, половина фахівців використовують однакові паролі для організацій та приватних облікових записів. Як наслідок, вкрадені паролі стають причиною злому корпоративної мережі.

Проблема 2. Мобільне шахрайство з рекламою

Шахрайство з рекламою може мати декілька форм, однак найбільш поширеною є використання шкідливих програм для кліків по оголошеннях, які нібито робить реальний користувач, що використовує вебсайт або додаток.

Наприклад, користувач завантажив гру або неперевірений месенджер — небезпечні додатки у фоновому генерують шахрайські кліки на законних оголошеннях. Таким чином, шахраї обкрадають бізнес. Для користувачів це небезпечно тим, що працюючі у фоновому режимі програми сповільнюють роботу смартфона, розряджають акумулятор або навіть викликають перегрів.

Проблема 3. Використання незахищених Wi-Fi з'єднань

Мобільний пристрій знаходиться в тій же мережі, в якій працюють і комп'ютери компанії.  Користувачі постійно підключаються до загальнодоступних мереж Wi-Fi, а вони не завжди безпечні. Зловмисники можуть заразити смартфон у найближчому кафе, куди співробітник компанії зайшов випити кави та під'єднався до "безкоштовного wi-fi", а потім за допомогою пристрою, отримати доступ до корпоративної мережі.

Проблема 4. Витік даних після кібератак

Витік даних — одна з найбільших і частих погроз для організацій. Абсолютно кожна компанія може зіткнутися з витоком даних. Співробітники можуть ненавмисно переглянути посилання, додаток або відвідати сайт і, тим самим, відкрити доступ для зловмисників у мережу. Основна причина витоків — це помилки користувачів, наприклад, неправильне ведення електронного листування, ненавмисна вставка конфіденційної або службової інформації тощо. Більшість кібератак спрямовані на отримання конфіденційної інформації або доступу до фінансів. Ретельний підбір мобільних пристроїв і дотримання політики безпеки дозволить уберегти корпоративні даних від витоків.

Проблема 5. Людський фактор

Втрачений мобільний пристрій може представляти серйозну загрозу безпеці. Більшість людей досі не користується пін-кодами або біометричним захистом, ще більше - не використовує шифрування. У разі пошкодження або при втраті пристрою, користувачі стають легкою здобиччю зловмисника.

У звіті Wandera вказано, що 43% користувачів мають принаймні один смартфон без будь-якого захисту екрану блокування. А паролі використовують 4-символьні або дуже прості.

Ще одна проблема полягає в несвоєчасному оновленні програмного забезпечення (ПЗ). Смартфони являють особливий ризик для корпоративної безпеки. Більшість виробників мобільних пристроїв неефективно підтримують продукт і рідко випускають оновлення системи, а також виправлення безпеки. Та й у разі наявності оновлень, не всі користувачі проводять апдейт пристрою.

Рекомендації від Softline та Intecracy Group:

  • Варто розглянути можливість використання для роботи лише корпоративних мобільних пристроїв — зі встановленим програмним забезпеченням для захисту від найбільш поширених загроз;
  • Потрібно регулярно оновлювати ПЗ і операційну систему мобільного пристрою;
  • Встановлюйте лише офіційні додатки з перевірених джерел, таких як Google Play. Перед установкою подивіться відгуки, інформацію про розробника та перелік дозволів, щоб переконатися, що усі вони відповідають заявленій меті;
  • Регулярно варто перевіряти додатки й видаляти будь-які, що поводять себе аномально, наприклад, занадто багато використовують енергії;
  • Перейти на апаратну аутентифікацію — це найбільш ефективний спосіб підвищення безпеки та зменшення ймовірності фішингу;
  • Варто використовувати шифрування й інструменти запобігання втрати даних (DLP), які допоможуть запобігти розкриттю конфіденційної інформації.

Наші послуги з інформаційної та кібербезпеки

Політики безпеки
Політики безпеки
Softline розробляє політики безпеки інформації в організації: набір правил та директиви, що визначають як в межах організації та її інформаційно-телекомунікаційних технологій управляти, захищати та розподіляти інформаційні активи. Особлива увага приділяється критично важливій інформації.
Тести на проникнення
Тести на проникнення
Проводимо на замовлення тести на стійкість до злому шляхом симуляції хакерської атаки. Метою є виявлення вразливих місць. Тест дозволяє отримати оцінку того, наскільки легко здійснити несанкціонований доступ до ресурсів корпоративної мережі та сайту, порушити роботу інфорсистеми.
Впровадження КСЗІ
Впровадження КСЗІ
Розробка і створення комплексних систем захисту інформації є одним з основних напрямків діяльності компанії Softline. КСЗІ — сукупність організаційних та інженерно-технічних заходів, які спрямовані на забезпечення захисту інформації від розголошення, витоку і несанкціонованого доступу.