Další zlatý důl pro hackery? Účty zaměstnanců na sociálních sítích

Ve světě ransomwarových hackerů je ve městě nový hráč. Skupina ransomwaru Lapsus$ dělá vlny díky veřejnému sdílení svých známých obětí, včetně gigantů jako je Microsoft.

Ale nejpozoruhodnější věcí na Lapsus$ není jeho úspěch; jde jen o to, jak konvenční jsou jejich způsoby útoku – a jak snadno se cílem může stát téměř každý podnik.

Lapsus$ používá phishingové podvody k získání přístupu k podnikovým systémům, aniž by musel prolomit hesla nebo proniknout do bezpečnostních sítí. K realizaci těchto phishingových útoků potřebují pouze osobní údaje o zaměstnanci.

Pokud si myslíte, že je vaše organizace před těmito hrozbami v bezpečí, zamyslete se znovu. Vaši zaměstnanci jsou ohroženi – a jsou ohroženi prostřednictvím svých účtů na sociálních sítích. Hackeři, jako je Lapsus$, mohou využít i ty nejnevinnější příspěvky na sociálních sítích ke spuštění phishingových útoků, které by mohly ohrozit celou síť vaší společnosti.

Používání sociálních sítí na pracovišti je na vzestupu, a to nejen proto, že podniky zlepšují své strategie sociálních médií. Pandemie způsobila, že více lidí trávilo více času na sociálních sítích, zejména vzdálení pracovníci. A jak se do pracovní síly připojuje stále více nejmladších generací, jako je Gen Z, přinášejí s sebou své intenzivní a časté zvyky na sociálních sítích.

Zde uvedené statistiky vykreslují přesvědčivý obrázek: 93% amerických pracovníků používá sociální média, aby mluvili o nových pracovních pozicích. Téměř třetina využívá sociální média ke sdílení informací o své práci a jen něco málo přes čtvrtinu zveřejňuje na sociálních sítích příspěvky o klientech nebo spolupracovnících. Kromě toho pracovníci během své práce produkují značné množství TikToků, Snapchatů a dalšího obsahu vlogů.

O co jde: hackeři a kyberzločinci milují tento proud obsahu, protože je to zlatý důl na informace. Někdy jsou tyto informace zjevně citlivé, například když zaměstnanec nahraje video ze svého pracovního stolu – včetně poznámek na papírkách s hesly nebo přihlašovacími údaji.

Ale často vše, co hacker potřebuje, je obyčejnější zdánlivý kus informací. Možná, že zaměstnanec zveřejní jméno někoho, kdo pracuje v IT nebo sdílí informace o nadcházející firemní akci, která se týká jejich manažera. Možná sdílejí na Facebooku příběh o služební cestě nebo probíhající spor s personalistou o parkovací místa.

Tato informace se může zdát bezpečná, ale není; hackeři ji mohou a budou používat více způsoby, než si dokážete představit. 83% respondentů průzkumu ve zprávě State of the Phish z roku 2022 uvedlo, že jejich organizace zažila v posledním roce úspěšný phishingový útok. Vysoká prevalence phishingových útoků je z velké části způsobena tím, jak snadné je tyto útoky spustit; v první fázi lze použít prakticky každou informaci zveřejněnou online.

Je tento e-mail, který váš zaměstnanec právě obdržel od HR s odkazem na přihlášení k registraci nového parkovacího místa, legitimní, nebo jde o skrytý podvod? Je toto bezpečnostní upozornění ve formě textové zprávy od nového IT manažera vaší společnosti, nebo od kyberzločince? Čím konkrétnější informace mají hackeři ze sociálních sítí, tím věrohodnější, přesvědčivější a úspěšnější budou jejich phishingové útoky.

Tyto hrozby jsou velmi reálné. Podniky trpěly v roce 2021 o 50% více kybernetických útoků týdně než v roce 2020 a tento nárůst kybernetické kriminality částečně podpořila rizika vytvořená sociálními médii. Příspěvky každého zaměstnance na sociálních sítích jsou potenciálním vektorem útoku; pokud vaše společnost nedělá nic pro ochranu soukromí informací, které vaši zaměstnanci zveřejňují na Twitteru, Facebooku a TikToku, hackeři nebudou váhat a zneužijí je ve svůj prospěch.

Společnosti musí chytře zvážit rizika sociálních médií a podniknout kroky k jejich řešení. Nebo toho mohou litovat, až bude příliš pozdě.

Autor původního článku: Tom Kelly
Překlad: Ondřej Strachota