Najčešće tehnike
| Tehnika | Kako izgleda |
|---|---|
| phishing | lažna e-poruka koja navodi na klik na poveznicu, unos lozinke ili otvaranje privitka |
| ciljani phishing (spear phishing) | poruka prilagođena određenoj osobi, s podacima prikupljenima s interneta i društvenih mreža |
| prijevara s lažnim direktorom (CEO prijevara) | napadač se predstavlja kao direktor i traži hitnu i povjerljivu uplatu |
| kompromitiranje poslovne e-pošte (BEC) | napadač preuzme ili oponaša adresu dobavljača i šalje račun s novim IBAN-om |
| vishing i smishing | prijevara telefonskim pozivom ili SMS-porukom, primjerice u ime IT-podrške ili banke |
| izmišljeni izgovor (pretexting) | napadač izmisli situaciju, primjerice reviziju ili kvar, kako bi dobio podatke |
| mamac (baiting) | ostavljen USB-ključić ili besplatan sadržaj koji instalira zlonamjerni softver |
| ulazak za zaposlenikom (tailgating) | neovlaštena osoba ulazi u prostorije za zaposlenikom koji joj pridrži vrata |
Znakovi upozorenja
- hitnost i pritisak da se nešto učini odmah
- traženje tajnosti ili zaobilaženja uobičajenog postupka
- promjena podataka za plaćanje
- traženje lozinke, koda za prijavu ili osobnih podataka
- neznatno izmijenjena adresa pošiljatelja ili naziv domene
Zaštita
- zahtjev za plaćanje ili promjenu podataka uvijek se provjerava drugim kanalom, primjerice pozivom na poznati broj
- dvofaktorska autentifikacija, da ukradena lozinka ne bude dovoljna za prijavu
- redovita edukacija zaposlenika i simulacije phishinga
- jednostavan postupak prijave sumnjivih poruka, bez kažnjavanja zaposlenika koji prijavi vlastitu pogrešku
Propisi
Uredba o kibernetičkoj sigurnosti od ključnih i važnih subjekata traži redovitu obuku svih zaposlenika o kibernetičkoj higijeni, uključujući prepoznavanje i prijavu najčešćih incidenata, a ovisno o procjeni rizika preporučuje i testiranje otpornosti zaposlenika na socijalni inženjering. Napad s ciljem pribavljanja protupravne imovinske koristi može ostvariti obilježja prijevare (čl. 236. Kaznenog zakona) ili računalne prijevare (čl. 271.).
Primjer
Zaposlenica u računovodstvu primi e-poruku koja izgleda kao da ju je poslao direktor dok je na putu: traži hitnu uplatu na novi račun za povjerljivo preuzimanje tvrtke i moli da o tome nikome ne govori. Prema internom pravilu nazove direktora na poznati broj i utvrdi da poruku nije poslao. Uplatu ne izvrši, a poruku prijavi osobi odgovornoj za informacijsku sigurnost.