Megszemélyesítésről akkor beszélünk, ha egy bűnöző valaki másnak adja ki magát – ebben az esetben annak érdekében, hogy információt szerezzen vagy hozzáférhessen egy személyhez, céghez vagy számítógépes rendszerhez. Céljuk elérése érdekében a kiberbűnözők többek között telefonhívásokon, e-maileken vagy üzenetküldő alkalmazásokon keresztül lépnek kapcsolatba áldozataikkal. Sok esetben a támadók a kiszemelt vállalat felsővezetőinek nevével állítanak be e-mail-címet, így olyan levelet tudnak küldeni, mely teljesen úgy néz ki, mintha azt az adott vezető írta volna.

Az ESET szakértői figyelmeztetnek: szinte hihetetlen, hogy manapság mennyi vállalati információ érhető el az olyan platformokon, mint a LinkedIn. A vállalatok felépítése és az alkalmazottak névsora egyaránt összegyűjthető az "üzleti Facebookról". A kiberbűnözők az így megszerzett információkat felhasználhatják arra, hogy az egyik kolléga nevében megkérjék a vállalat egy másik alkalmazottját arra, hogy indítson el egy átutalást, fizessen ki egy számlát vagy küldjön el pár fontos adatot. Egy ilyen célzott és testreszabott támadás rendkívül veszélyes lehet a vállalatok számára, mivel adatlopásokat és pénzügyi veszteséget is okozhat.

A biztonsági megoldások ugyan megvédenek a technikai támadásoktól, de a megszemélyesítés módszerei inkább az emberi megtévesztésre, pszichológiai módszerekre támaszkodnak, és az emberek túlzott bizalmát használják ki. Ezért kiemelten fontos a munkavállalók ilyen irányú biztonságtudatossági képzése is.

Ennek érdekében az ESET kiberbiztonsági szakértői összegyűjtöttek néhány tanácsot, melyek segítségével csökkenthetjük a pszichológiai befolyásolások kockázatát, és kiszűrhetjük a rosszindulatú próbálkozásokat. A legfontosabb ezúttal is a tudatosság: minél többet tudunk a megszemélyesítés eszközeiről, annál könnyebben felismerhetjük és elkerülhetjük őket.

Megszemélyesítő e-mailek

Sok bűnöző a sürgősség és a félelem érzését próbálja kiváltani célpontjában, ami arra készteti az áldozatot, hogy gondolkodás nélkül elvégezze a kért feladatot. A bűnözők kívánsága sokszor tartalmaz valami szokatlant és gyanúsat. Hivatkozhatnak például olyan szerződésekre vagy tranzakciókra, amelyekről még nem hallottunk, vagy olyan ügyfelekre, akiket nem ismerünk. A kiberbűnözők általában nagyon rövid határidőt adnak a szükséges feladat elvégzésére és arra kérnek, kezeljük bizalmasan az adott utasítást.

Az üzenetek gyakran tartalmaznak nyelvtani hibákat és sokszor hibásan alkalmazzák a vállalat arculatát is. A megszemélyesítésekben igazán jártas támadók azonban nagyon valóságosnak tűnő e-maileket is készíthetnek, amelyek végén szerepel a levelet küldő alkalmazott hivatalos fényképe vagy aláírása is.

Tehát ha az üzenetben szereplő kérést furcsának találjuk, akkor legyünk gyanakvóak, még akkor is, ha az e-mail-sablon valódinak tűnik, és teljesítés előtt tájékozódjunk, vagy kérjük másik vezető jóváhagyását – tanácsolják a szakemberek.

Az ESET közleménye felidézi, hogy 2019 tavaszán egy meg nem nevezett angol energetikai cég vezérigazgatója 220 ezer eurót utalt át egy ismeretlen magyar beszállító számlájára, ahol a megtévesztésben a vállalat németországi vezetőjének hangját utánozták le sikerrel. A hanghamisításban a főnök azonnali átutalást rendelt el, és a hangját annyira jól utánozták le, hogy az akcentus, a beszéd szokásos hanglejtése, sebessége is meggyőző volt. A mintegy 72 millió forintnak megfelelő összeget a csalók a magyar számláról azonnal továbbutalták egy mexikói számlaszámra.

Ellenőrizzük az e-mail-címet!

Üzleti e-mailt kaptunk egy személyes fiókból? Még akkor is, ha az e-mail-cím látszólag olyan személyhez tartozik, akit ismerünk, inkább az illető hivatalos e-mail-címére válaszoljunk. A szakemberek szerint érdemes szem előtt tartani, hogy a hackerek olyan e-mail-címet is használhatnak, amely első látásra hivatalos vállalati e-mail-címnek tűnhet, de a domain neve tartalmaz kisebb eltéréseket. Melyek a leggyakoribb ilyen eltérések az e-mail-címekben? Gyakran kicserélnek egy betűt egy rá hasonlítóval; például az "m" helyett "rn"-t (RN) használnak, ezt a módszert hívják angol szakkifejezéssel typosquattingnak.

Gondoljuk át az összefüggéseket!

Néha túl elfoglaltak vagyunk és szinte gondolkodás nélkül hozunk döntéseket – az ESET szakemberei azt tanácsolják, inkább szánjunk rá néhány extra másodpercet, és mérlegeljük, hogy az adott üzenetnek van-e értelme. Miért éppen ez a kolléga kéri az összeg átutalását vagy épp ezeket az érzékeny adatokat? Minden olyan szokatlan dolgot, amely eltér a vállalat hagyományos üzleti folyamataitól, tekintsünk figyelmeztető jelnek. Még akkor is lehetünk csalás áldozatai, ha az e-mail egy olyan nyilvánvalóan megbízható egyéntől származik, mint a vezérigazgatónk. Legyünk éberek, és ellenőrizzük az esetleges kéréseket más kollégákkal is.

Előfordulhat, hogy az internetes bűnözők azt is tudják, hogy valaki épp szabadságon van, és úgy viselkednek, mintha helyettesítenék őt. Ilyen esetben ellenőrizzük a kérdéses információkat a felettesükkel vagy munkatársainkkal.

Ellenőrizzük az illetőt egy másik kommunikációs csatornán!

Ha gyanítja, hogy csaló üzenetet kapott, egyszerűen hívja fel telefonon a feladót, vagy vegye fel vele a kapcsolatot egy másik kommunikációs csatornán keresztül – például céges chatfelület, Teams, Zoom – és kérdezzen rá az adott üzenetre. Persze azt se felejtse el, hogy nem az e-mail az egyetlen kommunikációs csatorna, melyet a hackerek a megszemélyesítéshez használhatnak. Olyan népszerű üzenetkezelő alkalmazásokon keresztül is kapcsolatba léphetnek velünk, mint a WhatsApp. De a csatornaváltás itt is beválhat: ha WhatsAppon kap gyanús üzenetet, akkor ellenőrzésként jó lehet egy e-mailes kérdés is.

Alternatív megoldásként természetesen személyesen is megkérdezhetjük az illetőt – javasolják az ESET szakértői.

Ha szemtől szemben nem is léphetünk kapcsolatba a vezetőnkkel, beszélhetünk a helyettesével vagy másokkal, akik várhatóan tájékozottak lesznek az adott üggyel kapcsolatban. Például egy nagy összegű, sürgős határidejű számlafizetésről biztosan tud a pénzügyi igazgató vagy az ügyvezető igazgató is, így nyugodtan rákérdezhetünk náluk is.

A támadók azzal is próbálkozhatnak, hogy egy rosszindulatú mellékletre vagy linkre való kattintásra ösztönözzenek minket, ezért az sem árt, hogy egy olyan, átfogó biztonsági megoldás fut a számítógépen, amely képes észlelni és blokkolni is ezt a fajta veszélyt.

Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.