Электронная почта как угроза информационной безопасности

Безопасности электронной почты угрожают изнутри и снаружи. Брешь, через которую потекут серьезные убытки, могут пробить мошенники с фишинговыми рассылками и инсайдеры. Аналитический центр Falcongaze рассказывает, почему важно контролировать персонал, учить сотрудников грамотно использовать электронную почту и как защитить компанию от спама и вредоносных рассылок.

Внешние угрозы. Фишинг

Фишинг (от английского «рыбалка») — это интернет-мошенничество с помощью спам-рассылки. Пользователь получает письмо, в котором его убеждают перейти на фейковый сайт и ввести конфиденциальные данные. Выделяют два вида «рыбной ловли»: массовым фишингом занимаются браконьеры с массивной потрепанной сетью, целевым — опытные рыбаки со спиннингом и кучей приманок.

Злоумышленники с сетью для массового фишинга засыпают людей сообщениями с мнимыми выигрышами или поддельными уведомлениями от провайдеров и банков. Жертва рассчитывает получить деньги или восстановить утерянные данные, но расстается с ними.

Пользователь попадает в сеть, если переходит на поддельную страницу и отдает конфиденциальную информацию: данные кошелька, пароли доступа и т.д. При нажатии на фишинговую ссылку можно также получить программу-шпиона, кейлоггер или троян.

Массовые рассылки отправляются всем без разбору. Обстоятельства сложатся так, что хотя бы один из сотен тысяч схватит наживку. Целевой, или spear-phishing, — более любопытный вариант.

Целевой фишинг работает направленно. Мошенники выделяют конкретную группу: компанию, отдел, секретаря или руководителя, детально продумывают общение, собирают в соцсетях информацию об образовании, местах работы, интересах и привычках.

Далее в ход идут инструменты социальной инженерии — работа на подсознание. Жертву пробуют напугать, придумывают срочную причину для выдачи информации. Однако угрожать не обязательно, в последнее время мошенники стараются снизить подозрительность пользователя обыденным содержанием.

Простые схемы — эффективны. На законах социальной инженерии и незнании пользователями основ сетевой безопасности сыграть легко. В итоге злоумышленники овладевают учетными данными или запускают вредоносное ПО в корпоративную сеть.

Внутренние нарушители. Инсайдер и растяпа

Бесконтрольный трафик входящих и исходящих сообщений внутри компании приведет к серьезным последствиям: навредить могут инсайдеры и невнимательные сотрудники.

Внутренний нарушитель имеет легитимный доступ к информации. Любой может оказаться инсайдером, крадущим закрытые данные для выгоды или мести. Так, сотрудница волгоградского банка продала знакомому мошеннику кодовые слова одиннадцати клиентов, который снял со счетов 4,3 миллиона рублей. Женщина предоставляла незаконные сведения в течение пяти месяцев.

Можно навредить и неумышленно. Утечки чаще всего происходят из-за беспечности и невнимательности. Даже если работник не хочет похитить информацию, он может стать источником утечки, отправляя закрытые данные не тому адресату.

Желает вам зла сотрудник или он просто растяпа, последствия могут быть значительными. Необходимо контролировать электронную почту от потери информации.

Технические меры. Фильтры и DLP-системы

В новые версии браузеров встроен «антифишинг», который оповещает о попадании на подложную страницу. Мошеннические сайты живут от силы дней пять — данные о них попадают в фильтр, а фишерам приходится создавать новые ресурсы снова и снова.

Большинство почтовых сайтов фильтрует и анализирует трафик. Они используют профилактические инструменты: антивирусную проверку всех входящих и исходящих сообщений, антиспам и антифишинг.

Реализовать корпоративную политику ИБ, в том числе для электронной почты, помогут DLP-системы. Такие решения уберегают от инсайдеров. Администраторы могут устанавливать настройки безопасности электронной почты и легко применять их для разных групп сотрудников.

Превентивные меры. Инструктаж и тренинги с имитацией фишинга

Несмотря на эффективность современных технологий, они не дают стопроцентную защиту от невнимательности, лени и любознательности. Обучайте пользователя, какой бы основательной не была система информационной обороны. Мошенники грамотно используют социальную инженерию для несанкционированного доступа в компьютерные сети любого уровня защиты. Технологии совершенствуются, а привычки людей остаются.

Повышайте осведомленность сотрудников о социотехнических атаках. Проводите инструктажи, информационные рассылки. Но лучший способ — обучение на собственных ошибках.

Существуют тренинги с имитацией фишинга. Для занятий можно воспользоваться автоматизированными системами, которые отправляют поддельные письма и собирают статистику откликов, такими как Gophish — фреймворк с открытым исходным кодом. Он позволяет просто и быстро выяснить реакцию сотрудников на мошенничество.

Внимательно относитесь к безопасности электронной почты. Если известные вам сервисы запрашивают персональную информацию, убедитесь, что они те, за кого себя выдают. Не забывайте, что банки не рассылают просьбы сообщить ваш пароль.

Иногда фишеры обещают бонусы или скидки. Не спешите нажимать на ссылку. Внимательно изучите входящее письмо: как выглядит логотип и написаны отдельные буквы. Зайдите на сайт компании и сравните URL-адрес с указанным в сообщении. Если ваш коллега или друг прислал поздравление с подозрительной ссылкой — не кликайте, пока не выясните, что отправитель настоящий.