Phishing-as-a-Company: Komersialisasi kejahatan dunia maya dan bahaya bagi organisasi Anda
Diterbitkan: 2022-01-19
Gerakan Software-as-a-Services (SaaS) telah sepenuhnya mengubah cara kita bekerja dan cara kita berinteraksi dalam kehidupan pribadi kita. Kami dapat bergabung dengan penjual baru dan menskalakan solusi perusahaan dengan biaya dan rentang waktu pra-SaaS yang sangat kecil. Kemungkinan juga bagi puluhan juta orang untuk bekerja dari jarak jauh selama pandemi COVID-19 berkat pergeseran dalam penyediaan dukungan ini. Dan di luar pekerjaan, kami berinteraksi dengan aplikasi SaaS hari demi hari, streaming di Spotify dan Netflix, dan memanggil tumpangan di Uber dan Lyft, dan tetap terhubung dengan teman dan keluarga melalui Zoom.
Itu tidak mencegah di sana. SaaSification sekarang mengubah cara penjahat dunia maya berperilaku, yang mengarah ke perubahan perubahan dalam cara mereka menyediakan dan memulai serangan mereka.
Dengan semua orang yang mengakses e-mail (dan, biasanya, pribadi) melalui laptop dan unit seluler yang terhubung ke jaringan organisasi Anda, perlu untuk mengetahui apa yang ditunjukkan oleh komersialisasi kejahatan dunia maya untuk Anda.
Apa itu Phishing-as-a-Support (PhaaS)?
PhaaS memungkinkan penjahat dunia maya untuk berinteraksi dalam interaksi 'vendor' dan 'pembeli', sehingga memungkinkan untuk memperoleh setiap aspek penting untuk serangan phishing.
Apa yang disebut 'kit phishing' dikompilasi oleh penjahat dunia maya yang berpengetahuan dan terorganisir, dan kemudian dibuat tersedia untuk pesanan online. Kit ini biasanya mencakup apa pun yang diperlukan pembeli untuk memulai serangan phishing, seperti templat email dan halaman web, malware, dan alamat email calon target. Mereka juga dapat berisi petunjuk pemasangan bertahap untuk pembeli, membuatnya secepat mungkin untuk diamati untuk memulai serangan mereka.
Mengapa PhaaS menjadi masalah?
PhaaS menurunkan batas keuangan dan khusus untuk masuk ke phishing.
Penyelidikan saat ini yang dicetak oleh Egress menemukan ilustrasi kit phishing di luar sana mulai dari $40. Kami juga menemukan solusi berlangganan – seperti orang yang memasarkan layanan keanggotaan berkualitas tinggi seharga $499 di muka dan biaya bulanan $199. Dengan keanggotaan mereka, calon pembeli dapat memasuki sistem online dengan lebih dari 20 kit phishing yang telah dimuat sebelumnya yang menargetkan lembaga keuangan dan produsen pembeli, serta mendapatkan tambahan 15 kit phishing baru setiap bulan.
Sama seperti penggunaan tujuan SaaS akan menyelamatkan organisasi asli dari memproduksi paket perangkat lunak pribadi mereka, PhaaS menunjukkan penjahat dunia maya dapat memulai serangan tambahan dalam jangka waktu yang ditentukan dan tanpa selalu memiliki semua kemampuan yang diperlukan secara pribadi. Misalnya, ini dapat membuatnya jauh lebih mudah bagi seseorang dengan sedikit keahlian HTML untuk mendapatkan email dan halaman web phishing yang dibuat dengan sangat baik dan meyakinkan. Meskipun mereka melakukan pekerjaan itu mungkin tidak menipu orang-orang Anda – mungkin karena kesalahan format, ejaan dan tata bahasa yang sangat buruk, dan ilustrasi atau foto berkualitas rendah – orang-orang yang kurang kompeten ini sekarang dapat membonceng dari mendapatkan pekerjaan yang dilakukan penjahat ekstra halus dan mulai serangan yang benar-benar meyakinkan.
Apa peluang untuk perusahaan Anda?
Setiap manusia yang bekerja di setiap perusahaan dikualifikasikan oleh email phishing. Saat ini, email phishing sayangnya hanya satu lagi biaya menjalankan bisnis. Dan serangan ini melewati pertahanan perimeter umum dari gerbang surat elektronik (SEG) yang aman dan mendarat di kotak masuk orang. Bagian berikut juga sayangnya tak terelakkan. Eksplorasi modern oleh Egress menemukan bahwa 73% perusahaan telah menjadi korban serangan phishing yang berhasil dalam 12 bulan terakhir.
Kita tidak bisa menyalahkan orang untuk mendapatkan manusia. Kesadaran keamanan siber telah meningkat secara dramatis dalam waktu yang lama dan orang-orang saat ini benar-benar merasa jauh lebih baik dalam mengenali email phishing. Tetapi mereka tidak ideal dan kami tidak dapat bergantung pada individu untuk mendeteksi setiap email phishing individu setiap saat – dan itulah yang diperlukan, terutama karena hanya seseorang yang salah langkah oleh seseorang yang mengklik url yang merusak atau membuka lampiran yang merusak , dan hanya itu yang dituntut peretas untuk membahayakan bisnis Anda.
Efek dari PhaaS adalah peningkatan jumlah serangan phishing spesifik yang ditujukan untuk pria dan wanita Anda, yang pada gilirannya meningkatkan risiko dan kemungkinan bahwa hanya satu pria atau wanita tertentu yang akan jatuh sasaran. Ini berarti organisasi Anda ingin melindungi terhadap volume serangan halus yang lebih baik, yang untuk sebagian besar, harus memiliki perubahan dalam solusi Anda untuk pertahanan anti-phishing dan kesadaran perlindungan Anda.
Bagaimana Anda bisa menjaga pria dan wanita Anda dan perusahaan Anda dari PhaaS?
Teknologi adalah cara terbaik untuk mengurangi peluang serangan phishing yang berhasil.
"Tapi bagaimana dengan instruksi pengenalan stabilitas?" Saya mendengarkan Anda menangis! Pertahankan aplikasi orang yang berjalan – tetapi akui mereka memiliki batas. Kami berkomitmen dalam pengajaran pengenalan keselamatan di Egress untuk mengelola akreditasi kepatuhan kami dan untuk membantu mengajar orang-orang kami hari ini.
Setiap aplikasi sekolah, meskipun demikian, memiliki batasannya sendiri. Anda harus memiliki individu Anda untuk diaktifkan dan aktif belajar dalam sekejap, dan kemudian dapat dengan jelas mengingat apa yang telah diajarkan kepada mereka berhari-hari, berbulan-bulan atau berbulan-bulan ke depan ketika mereka berada dalam situasi phishing gaya hidup yang sebenarnya. Dan kita tahu bahwa penjahat dunia maya secara sosial merekayasa serangan mereka untuk memindahkan orang dari gaya berpikir yang masuk akal, ketika mereka dapat mengingat dan menjalankan sekolah mereka, ke dalam pembuatan kesimpulan psikologis dan irasional.
Saat itulah mereka membutuhkan teknologi untuk masuk dan membantu mereka beroperasi dengan aman.
Kami telah menyentuh secara singkat tentang SEG sebelumnya. Ini adalah pertahanan keamanan klasik yang diterapkan di perimeter organisasi untuk memindai email masuk dan ancaman karantina. Ketika mereka sangat baik dalam menyaring spam dan memindai virus yang dianggap, ada proporsi tinggi serangan phishing yang melewati SEG dan mendarat di kotak masuk orang. Pertama-tama, SEG hanya dapat menemukan ancaman yang diakui dan bukan serangan yang muncul. Mereka menggunakan pengetahuan statis yang tidak mengetahui apa yang tidak diketahuinya, dan membuat Anda terkena serangan dan praktik baru. Dan penjahat dunia maya yang cerdik tahu itu – jadi mereka merekayasa serangan mereka untuk menghindari deteksi SEG. SEG memindai strain materi pelajaran dari serangan yang diketahui penjahat dunia maya membiarkan strain materi pelajaran kosong. SEG memindai URL perusak yang dikenali, penjahat dunia maya mempersenjatai pengiriman dan pengiriman artikel tautan masuk mereka. Daftar periksa terus berlanjut.
Oleh karena itu, bisnis perlu mencari alternatif keamanan e-mail cloud built-in yang cerdas yang dapat mendeteksi zero-working day dan meningkatnya serangan, dan dapat segera disebarkan ke kotak surat orang untuk mengamankannya.
Apa yang sebenarnya Anda cari dalam solusi anti-phishing yang cerdas?
Komponen pertama adalah bagaimana ia terlibat dengan orang-orang Anda. Ada waktu-waktu aktual yang dapat diajarkan setiap hari – termasuk saat email phishing masuk ke kotak masuk seseorang.
Dengan memberikan risiko yang dinetralkan ke pribadi dan menampilkan klarifikasi yang jelas tentang mengapa itu adalah email phishing, mereka dapat melihat sendiri ancamannya. Ini akan mengaktifkan pelatihan kesadaran stabilitas mereka setiap hari, membuatnya lebih berhasil untuk frasa yang lebih panjang. Mengkarantina email di gateway dan dalam keadaan apa pun tidak menunjukkan mereka ke target mereka menunjukkan bahwa ketika seseorang dihadapkan dengan ancaman dunia maya dalam kehidupan sehari-hari yang serius (misalnya, surat elektronik phishing yang dikirim ke email pribadi mereka yang mereka akses di mengoperasikan komputer laptop), mereka tidak akan tahu apa yang harus dilirik dan bisa jatuh korban.
Yang kedua adalah metode yang diambil untuk memperoleh aplikasi. Agar opsi anti-phishing benar-benar produktif, ia ingin dibuat menggunakan solusi tanpa ketergantungan, sehingga ia memeriksa setiap email masuk untuk memastikan apakah itu berisiko. Jawabannya harus menggunakan pencarian perangkat dan teknologi pemrosesan bahasa normal untuk memungkinkannya memiliki pemahaman tentang konteks dan materi konten ketika sampai pada keputusan akhir. Jawabannya juga tidak boleh menggunakan inovasi teknologi grafik sosial atau memperbarui algoritmenya sebagian besar berdasarkan komentar orang, yang menunjukkan bahwa guru non-cyber tidak dapat meracuni kemampuan deteksinya.
Strategi ini memungkinkan opsi anti-phishing untuk mendeteksi serangan paling halus dan meningkat, termasuk semua serangan yang diluncurkan menggunakan akun berantai yang telah disusupi dan telah dipercaya sebelumnya.
Pria dan wanita hanyalah manusia: mereka akan membuat masalah dan meluncur untuk serangan phishing – tetapi dengan pertahanan keamanan email yang tepat, Anda tidak hanya dapat melindungi grup Anda tetapi juga sepenuhnya mengubah orang-orang Anda hari ini menjadi garis perlindungan awal Anda.
Tony Pepper, Co-founder, Egress Computer software Technologies