Zosobnění: jak reagovat, když se útočník vydává za CEO

Zosobnění se definuje jako vydávání se za někoho jiného – v tomto případě za účelem získání informací nebo přístupu k osobě, společnosti nebo počítačovému systému. Útočníci mimo jiné používají telefonní hovory, e-maily nebo aplikace pro zasílání zpráv. V mnoha případech si vyberou jména nejvyššího vedení společnosti a nastaví si e-mail, který vypadá, jako by jej napsal manažer. 

Velké množství firemních informací je k dispozici na platformách jako je LinkedIn, které zveřejňují strukturu společnosti a jména jejích zaměstnanců. Útočník může pomocí těchto údajů zkusit kontaktovat několik zaměstnanců společnosti a požádat je, aby například provedli převody peněz, zaplatili faktury nebo odeslali důležitá data.

"Zosobnění je pro společnosti nebezpečné, protože útok může vést k narušení bezpečnosti dat a finančním ztrátám." 

Útoky se nevyhýbají žádné společnosti. V roce 2020 čelil ESET prostřednictvím zpráv v aplikaci WhatsApp pokusu o tzv. CEO fraud – tedy zosobnění, kdy se útočník vydává za generálního ředitele. Cílem tohoto útoku bylo přesvědčit zaměstnance o existenci jisté smlouvy, která vyžaduje složení zálohy. Záloha by samozřejmě putovala rovnou na účty útočníků. 

Adekvátní bezpečnostní řešení by mělo firmu před technickými útoky ochránit. Techniky zosobnění se ale více spoléhají na psychologii – využívají důvěru a kolegialitu lidí. Proto je stejně důležité školit zaměstnance v oblasti bezpečnostní hygieny. Níže najdete několik tipů, které by vám a vašim zaměstnancům mohly pomoci snížit riziko. 

Jak odvrátit útoky zosobněním? 

1. Naučte se rozeznat zosobňující vzkazy 

Znalosti jsou klíč k úspěchu. Čím více víme o zosobňujících útocích, tím lépe se jim můžeme ubránit. Mnozí útočníci se snaží ve svých cílech vzbudit pocit naléhavosti a strachu. Útočníci se pokoušejí všemi prostředky přimět oběť k provedení požadovaného úkolu. Často jde o nějaký neobvyklý či podezřelý požadavek, například nákupy, které nesouvisejí s vaší firmou, u klientů, které neznáte. Kyberzločinci se také obětem vnutit velmi krátký termín. 

Podvodné zprávy často obsahují gramatické chyby nebo nesprávně použité korporátní prvky (loga, fonty, slogany a podobně). To jsou však jen ty snadno rozpoznatelné. Pokročilí nebo pečliví útočníci mohou vytvořit e-mailovou zprávu, která vypadá velmi reálně, včetně oficiální fotografie zaměstnance nebo podpisu na konci e-mailu. Takže i když se šablona jeví jako legitimní, buďte opatrní, pokud se vám požadavek ve zprávě zdá zvláštní. 

2. Uvažte kontext

Někdy se ve stresu rozhodujeme bez velkého přemýšlení. Přesto byste měli vždy investovat pár vteřin a zvážit, zda dává e-mail smysl. Na co přesně potřebuje tento kolega požadované citlivé údaje? Cokoli neobvyklého, co se odchyluje od běžných procesů, by mělo být varovným signálem. 

I když e-mail pochází od důvěryhodné osoby, jako je generální ředitel, může jít o podvod. Zůstaňte ostražití a ověřte všechny žádosti s ostatními kolegy. Zločinci mohou mít informaci, že někdo není v kanceláři, a chovají se jako jeho zástup. V takovém případě ověřte příslušné informace u jejich nadřízených nebo spolupracovníků. 

3. Zkontrolujte e-mailovou adresu

Obdrželi jste pracovní e-mail ze soukromé adresy? Adresa může zdánlivě patřit osobě, kterou znáte, ale vždy raději odpovídejte na pracovní adresu, kterou standardně používáte. Na rovinu – kdo pracuje ze soukromého e-mailu? 

Útočníci také někdy používají e-mail, který na první pohled vypadá téměř jako oficiální firemní adresa. Názvy domén však mohou obsahovat mírné odchylky. Jaké jsou nejčastější chyby v e-mailových adresách? Výměna správných písmen za jiná, která vypadají podobně; například nahrazení „m“ znaky „rn.“ Případně mohou využívat homoglyfy – tedy podobné znaky z jiných sad (například z latinky a cyrilice). V případě homoglyfů ale pozornost uživateli moc nepomůže, jde o tak malé rozdíly, že k jejich rozlišení je potřeba bezpečnostní software. 

4. Ověřte si identitu osoby jiným komunikačním kanálem

Máte podezření, že nějaká zpráva je podvodná? Zavolejte odesílateli nebo použijte jiný komunikační kanál. Další možností je samozřejmě zeptat se osobně. 

Důležité je překonat pocit trapnosti, že někoho obtěžuji, obzvláště jde-li o vysoce postaveného člena vedení. Pokud je dotčená osoba na dovolené nebo mimo kancelář lze oslovit jeho zástupce nebo někoho kompetentního. Například naléhavá platba faktury po splatnosti by byla (nebo by měla) být známa finančnímu nebo provoznímu řediteli, proto se poraďte s nimi. Podle toho, jak je nastavena firemní kultura, můžete odesílatele kontaktovat i prostřednictvím soukromých profilů na sociálních sítích nebo na soukromém telefonu. 

Výše uvedená doporučení mohou zaberou nějaký čas. Patrně jen málokdo z nás je zvyklý každý e-mail či vzkaz důsledně prověřit. Útočníci se také mohou rozhodnout přimět vás, abyste klikli na škodlivou přílohu nebo odkaz, takže mějte připraveno komplexní řešení zabezpečení, které by mělo tuto hrozbu detekovat a blokovat.