Một trang đăng nhập Google giả mạo chính xác một cách phi thường. Emma Williams, CC BY-NĐ

Các công ty bị bắn phá với lừa đảo hàng ngày. Trong một cuộc khảo sát gần đây của hơn các chuyên gia an ninh mạng 500 trên toàn thế giới, 76% báo cáo rằng tổ chức của họ trở thành nạn nhân của một cuộc tấn công lừa đảo trong 2016.

Những trò gian lận này có dạng email cố gắng thuyết phục nhân viên tải xuống các tệp đính kèm độc hại, nhấp vào liên kết tinh ranh hoặc cung cấp thông tin cá nhân hoặc dữ liệu nhạy cảm khác. Một chiến dịch email lừa đảo nhắm mục tiêu của Spear đã bị đổ lỗi vì đã xúi giục cuộc tấn công mạng gần đây gây ra một mất điện lớn ở Ukraine.

Đáng lo ngại hơn nữa, các cuộc tấn công lừa đảo hiện là cách phổ biến nhất để phân phối ransomware trên mạng của một tổ chức. Đây là một loại phần mềm thường mã hóa các tệp hoặc khóa màn hình máy tính cho đến khi tiền chuộc được trả. Số lượng yêu cầu là nói chung là khá nhỏ, có nghĩa là nhiều tổ chức sẽ trả tiền chuộc mà không cần đảm bảo rằng hệ thống của họ sẽ được mở khóa. Trước những cuộc tấn công lừa đảo này, nhân viên đã trở thành tiền tuyến của an ninh mạng. Do đó, việc giảm lỗ hổng của họ đối với các email lừa đảo đã trở thành một thách thức nghiêm trọng đối với các công ty.

Vấn đề kỷ luật

Khi các tổ chức đấu tranh để ngăn chặn mối đe dọa, một ý tưởng đang đạt được lực kéo là việc sử dụng tiềm năng của thủ tục kỷ luật chống lại nhân viên nhấp vào email lừa đảo. Điều này bao gồm từ việc hoàn thành khóa đào tạo tiếp theo đến hành động kỷ luật chính thức, đặc biệt đối với cái gọi là nhấp chuột lặp lại của Google Họ đại diện cho một điểm yếu đặc biệt trong an ninh mạng.

Điều này là không cần thiết - thực sự cũng không phải là một ý tưởng tốt. Để bắt đầu, chúng tôi vẫn không hiểu nguyên nhân khiến mọi người trả lời email lừa đảo ngay từ đầu. Nghiên cứu chỉ là vạch ra bề mặt tại sao mọi người có thể phản ứng với chúng. Thói quen email, nơi làm việc văn hóa và chuẩn mực, mức độ kiến ​​thức mà một cá nhân có, cho dù nhân viên bị phân tâm hay chịu áp lực cao - có hiểu biết khác nhau về rủi ro trực tuyến, tất cả đều có thể ảnh hưởng đến việc mọi người có thể xác định email lừa đảo tại một thời điểm cụ thể hay không.

Thật không may, điều này có nghĩa là vẫn còn nhiều câu hỏi hơn câu trả lời. Có phải một số vai trò công việc dễ bị tổn thương hơn do các loại nhiệm vụ mà họ tham gia? Đào tạo có hiệu quả trong việc giáo dục nhân viên về các rủi ro của các cuộc tấn công lừa đảo? Là nhân viên có thể ưu tiên bảo mật hơn các nhu cầu nơi làm việc khác khi cần thiết? Trong số những ẩn số này, tập trung vào một phương pháp kỷ luật có vẻ sớm và có nguy cơ ảnh hưởng đến những nỗ lực khác có thể hiệu quả hơn.

Các cuộc tấn công lừa đảo nhắm mục tiêu cũng ngày càng trở nên tinh vi và khó phát hiện, ngay cả đối với người dùng kỹ thuật. Các cuộc tấn công gần đây (trên PayPal và Google, ví dụ) chứng minh điều này.

Giờ đây thật dễ dàng để tạo ra một email lừa đảo trông rất giống nhau, nếu không gần như giống hệt với một email hợp pháp. Địa chỉ email giả mạo, việc kết hợp logo chính xác, bố cục chính xác và chữ ký email, tất cả đều có thể gây khó khăn cho việc phân biệt email lừa đảo với email chính hãng.

Giữ bình tĩnh và tiếp tục

Những kẻ lừa đảo cũng rất giỏi tạo kịch bản điều đó tối đa hóa khả năng mọi người sẽ đáp ứng. Họ tạo ra cảm giác hoảng loạn và khẩn cấp bởi những thứ như bắt chước các nhân vật có thẩm quyền trong một tổ chức để tạo cảm giác khủng hoảng. Hoặc họ tập trung vào tác động tiêu cực tiềm năng không trả lời. Khi chúng tôi thừa nhận sự tinh vi ngày càng tăng thể hiện trong kho vũ khí của kẻ lừa đảo, việc trừng phạt nhân viên đã trở thành nạn nhân của mánh khóe trở nên khó khăn hơn.

Các cuộc tấn công lừa đảo mô phỏng thường được sử dụng như một cách để tăng nhận thức trong nhân viên. Trong khi đã có đề xuất về tỷ lệ nhấp được cải thiện theo các chương trình như vậy, một đánh giá toàn diện về phạm vi tác động tiềm năng đối với nhân viên là thiếu. Và vài nghiên cứu chỉ ra tiềm năng mà các nhân viên chỉ từ bỏ khi cố gắng đối phó với mối đe dọa vì nó dường như là một trận thua.

Văn hóa đổ lỗi và nạn nhân cũng có thể khiến nhân viên không sẵn sàng thừa nhận sai lầm của họ. Một trong những kết quả này có khả năng làm hỏng mối quan hệ giữa nhân viên an ninh của tổ chức và các nhân viên khác. Đổi lại, điều này sẽ có tác động tiêu cực đến văn hóa an ninh của tổ chức. Nó cho thấy sự trở lại với vai trò độc đoán đối với an ninh, trong đó nghiên cứu cho thấy là một bước lùi nếu chúng ta tham gia đầy đủ vào nhân viên trong các sáng kiến ​​bảo mật.

Giảm thiểu sự tiếp xúc của một tổ chức đối với các cuộc tấn công lừa đảo thể hiện một thách thức phức tạp và đang phát triển. #AskOutLoud gần đây chiến dịch của chính phủ Úc để khuyến khích mọi người hỏi ý kiến ​​thứ hai khi họ nhận được email đáng ngờ cung cấp một ví dụ hay về cách thử thách này có thể bắt đầu được giải quyết. Nó khuyến khích cuộc trò chuyện và chia sẻ kinh nghiệm. Sử dụng phương pháp này có thể đảm bảo nhân viên cảm thấy được trao quyền và khuyến khích báo cáo những nghi ngờ, một yếu tố quan trọng trong việc duy trì an ninh mạng.

Nghiên cứu là trong sáng rằng an ninh mạng phụ thuộc vào đối thoại cởi mở, sự tham gia của nhân viên khi phát triển các giải pháp và niềm tin giữa nhân viên an ninh của một tổ chức và các nhân viên khác. Như những lời sáo rỗng cũ: bạn chỉ mạnh bằng liên kết yếu nhất của bạn. Do đó, tất cả các nhân viên đều được hỗ trợ để trở thành một chiến tuyến hiệu quả trong việc bảo vệ tổ chức của họ.

Giới thiệu về Tác giả

Emma Williams, Nghiên cứu viên, Đại học tắm và Debi Ashenden, Giáo sư An ninh mạng, Đại học Portsmouth

Bài viết này ban đầu được xuất bản vào Conversation. Đọc ban đầu bài viết.

Sách liên quan

at Thị trường InnerSelf và Amazon