Útok na sčítání lidu ve Spojeném království

6. dubna 2021 | Blog, Lepkavý

Jak mnozí vědí, Spojené státy uspořádaly v roce 2020 své desetileté sčítání lidu, které pomohlo určit a zaznamenat statistiky populace v celé zemi. Mezi mnoha dalšími demografickými údaji byly shromažďovány otázky týkající se rasy, pohlaví a velikosti domácností. Spojené království (UK) podobně provádí sčítání lidu každé deset let, ale tamní proběhlo začátkem roku 2021. Hlavní rozdíl mezi sčítáním lidu v USA a Spojeném království spočívá v tom, že v USA se občané mohou odmítnout účastnit, zatímco ve Spojeném království účast vyžaduje zákon. S jakýmkoli požadavkem jsou občané zralí na útok s phishingovými hrozbami, které jsou primární taktikou sociálního inženýrství. Čtěte dále a dozvíte se, co se stalo ve Spojeném království.

Sankce za sčítání lidu

V USA můžeme odmítnout vyplnit desetiletý průzkum bez postihu. Ve Spojeném království jsou však povinni dokument vyplnit a zaslat zpět, jinak jim hrozí pokuta 1 000 liber a záznam v trestním rejstříku. Naštěstí pro obyvatele Spojeného království to extrémně zjednodušili a zaslali 16místné kódy do každé rezidence, aby jej mohli během pandemie vyplnit online . Obyvatelé museli formulář vyplnit do 21. března 2021, jinak jim hrozí pokuta.

Věděli, že obyvatelé Spojeného království mají tyto sankce, zejména finanční, a tak se hackeři snažili zneužít uživatele pomocí mimořádných praktik sociálního inženýrství. Zde je návod.

Kouření Texty

Pokud patříte k těm, kteří ještě nedokončili odevzdání svých sčítacích formulářů, ujistěte se, že se nestanete obětí podvodných zpráv s „připomínkou sčítání lidu“ rozesílaných hackery. Kyberzločinci zneužívají skutečnosti, že sčítání lidu probíhá online, a snaží se uživatele phishingem obelstít o data, která by jinak neposkytli.

Zde je příklad podvodu se sčítáním lidu, který byl zaslán týmu kybernetické bezpečnosti – podvodná textová zpráva (SMS) s „upozorněním“ o dokončení vašeho sčítání lidu:

První tip – před kliknutím zkontrolujte URL adresy všech textových zpráv. Zde si všimnete, že URL adresa nekončí na „.gov.UK“, což je očekávaná doména webových stránek kontrolovaná britskou vládou. URL adresy, které končí na „.com“, se dají získat velmi snadno a často stojí několik dolarů měsíčně. Nákup domén , které končí na „.Gov.UK“, je velmi obtížný ( ale ne nemožný ), stejně jako u většiny vládních domén. Záludné je, že pokud nevěnujete pozornost URL adrese, můžete být snadno oklamáni, bez ohledu na to, jak technicky zdatní jste. Podívejte se na níže uvedené příklady:

Místo 16místného kódu falešný formulář požaduje poštovní směrovací číslo. Otázky, které vám hackeři položí, pokud zadáte poštovní směrovací číslo, vypadají na webu, který vypadá jako skutečný, stejně jako skutečné otázky ze sčítání lidu. Problém je v tom, že vše, co o sobě a své domácnosti prozradíte, jde přímo ke zlodějům, nikoli do Úřadu pro národní statistiku.

Zločinci ve svých formulářích udělali několik gramatických chyb, kterých by si rodilý mluvčí angličtiny mohl všimnout, a ty by byly dalším prozrazením, spolu s falešným názvem domény, ale podvodníci velmi věrohodně napodobili „vzhled a dojem“ britského Úřadu pro národní statistiku. Bohužel, pokud odpovíte na několik otázek dříve, než si uvědomíte, že se jedná o podvod, hackeři budou mít stále všechny odpovědi, které jste do té doby zadali. Než zadáte jakákoli data, vyplatí se věnovat více času kontrole svého online prostředí.

Co můžeš udělat?

Phishingové a Smishingové útoky jen tak nezmizí, je proto nezbytné zůstat v bezpečí jak v práci, tak v osobním životě. CyberHoot doporučuje, jak si zajistit bezpečnost v každodenním online životě:

Školte zaměstnance v základech kybernetické bezpečnosti a pomozte jim lépe si uvědomit hrozby, kterým čelí při online interakci.Phishing, Kouření, Sociální inženýrství)
Pravidelně Zaměstnanci testující phishing (alespoň ročně, ale nejlépe čtvrtletně nebo měsíčně)
Dávejte si pozor na veřejné, nezabezpečené Wi-Fi sítě (používejte VPN pokud se jedná o citlivé informace)
Provádět s zaměstnanci zásady kybernetické bezpečnosti v souladu s pokyny NIST (WISP, přijatelné použití, zásady pro hesla atd.).
Zaměstnávat a Password Manager, vyžadujte to ve svých zásadách pro hesla, požadujte silné heslo hygiena u vašich zaměstnanců a firem
umožnit Dvoufaktorové autentizace kdekoli je to možné, a zejména ve všech internetových službách, které používáte (O365, Salesforce, finanční aplikace atd.)
Spolupracujte se svým IT personálem nebo externími dodavateli, abyste zajistili ochranu vašich kritických dat. šifrováno v klidovém stavu a během přenosu (zajistěte, aby klíče byly silné a hesla dlouhá)
Pravidelně zálohujte důležitá data po Metodologie 3-2-1
Použijte princip nejmenší privilegium
Pravidelně opravujte své systémy a tříděte kritické zranitelnosti pomocí opakovatelného procesu se stanovenými časovými harmonogramy založenými na úrovních hrozeb.
Zůstaňte v obraze s neustále se měnícími kybernetickými hrozbami
Zvažte najmutí virtuálního ředitele pro informační bezpečnost (vCISO).

Zavedením těchto opatření ve vašem podnikání nebo osobním životě se stanete více vědomými a bezpečnějšími. Můžete se uklidnit vědomím, že jste na tyto útoky připraveni.