אבטחת מידע פישינג
דיוג ממוקד (Spear phishing) הוא מהדרכים היעילות ביותר לפריצת רשתות מחשבים ארגוניות. מחקרים מהזמן האחרון מראים שקל מאוד להתל במועסקים באמצעות המדיה החברתית ולגרום להם לספק מידע שעוזר לפורצים לבצע מתקפה.
פישינג ממוקד יכול להתבצע כל עוד ההאקרים מסוגלים לאסוף אינפורמציה מקורבנות היעד שלהם, שהם אותם אנשים שאין סיכויים רבים שילחצו על קישור זדוני או יפתחו קבצים שצורפו להודעת דוא"ל שאינה נראית, כמו כזאת שהגיעה משולח שניתן לבטוח בו. כתוצאה מכך פושעי הסייבר נוטים לחפש את המטרות שלהם ברחבי האינטרנט.
לדוגמה, Websense Security Labs, חברה שעוסקת באיסוף ובעיבוד מידע על איומים קיברנטיים, גילתה פרופיל לינקדאין מזויף שאוגר אינפורמציה שעלולה לשמש את מי שיצר אותו במתקפות עתידיות. הפרופיל שייך לדמות שמכנה את עצמה Jessica Reinsch, מועסקת מפוברקת באתר אמיתי של היכרויות שמתמחה בקישור בין נשים צעירות לבין גברים מבוגרים ועשירים. החברה שמפעילה את האתר ממוקמת בשווייץ. אנשי Websense לא מצאו שום קוד מזיק באתר, אבל מפעיליו כן גילו דומיינים קשורים שמכילים "קוד חשוד."
הפרופיל המזויף של ג'סיקה מקושר ל-400 חברים חוקיים בלינקדאין. מעצם הקישור, אותם חברים סיפקו למי שעומד מאחורי הפרופיל גישה למעסיקיהם, להגדרות התפקידים שלהם ולקשרים שיש להם ברשתות המקצועיות, מה שכולל בסופו של דבר יותר מ-250 מיליון חברים. ב- Websenseאומרים שהמידע ש"ג'סיקה" הצליחה לאסוף יכול לשמש לבניית גרף חברתי של משתמשים בולטים שניתן לנצלם במתקפת דיוג ממוקד. חשוב לדעת שקיימים גופים שמוכנים לשלם הרבה מאוד כסף בתמורה למידע מהסוג הזה.
שיטות איסוף המידע על קורבנות פוטנציאליים הופך מתוחכם יותר ויותר, אבל נראה כאילו ארגונים אינם מכירים בחומרת הסיכון. כמעט 60% מתוך 300 מקצועני IT בארגונים בארצות הברית דירגו את הדיוג כאיום "מזערי", כך על פי סקר של ThreatSim, חברה שמספקת תוכנות וסימולציות שעוזרות לארגונים לבלום מתקפות פישינג.
על אף שבחברות מדרגים את הדיוג כאיום ברמה נמוכה, יותר מ-25% מהמגיבים לסקר דיווחו על מתקפות דיוג שהובילו לפריצות למידע במהלך השנה שחלפה. בכנס RSA Europe לאבטחת מידע שהתקיים באוקטובר באמסטרדם, מומחה להגנה קיברנטית תיאר ניסוי שהראה את היעילות שבשימוש בפרופילים מזויפים בפייסבוק ובלינקדאין לצורך מתקפה. למשל, הפרופיל המושך של המשתמשת המפוברקת אמילי וויליאמס גרם לעובדים באחת מסוכנויות ממשלת ארצות הברית ללחוץ על קישור שניתן היה להשתמש בו להתחלת מתקפת מאלוור (malware). על פי הפרופיל, אמילי היא עובדת חדשה בסוכנות, בת 28, בוגרת המכון הטכנולוגי של מסצ'וסטס MIT עם 10 שנות ניסיון. עורכי הניסוי, האנשים שהמציאו את אמילי, יצרו מידע נוסף עליה שהופיע באתרים אחרים וגרם לפרופיל שלה להיראות אמין יותר. בתוך 15 שעות מהשקת הפרופיל של אמילי, היו לה כבר 60 חברים בפייסבוק ו-55 מקושרים בלינקדאין, ביניהם מועסקים וספקים של ממשלת ארצות הברית. כעבור יממה היא כבר קיבלה שלוש הצעות עבודה מחברות אחרות.
הניסוי מראה שיש צורך בהכשרת האנשים המתאימים בארגונים להפחתת הסיכון שעובדים יהפכו לקורבנות דיוג.
