사회공학적 공격이 표적이 됩니다.범죄자는 일반적으로 사칭하거나 설득하려는 개인에 대한 일부 정보로 무장을 합니다.가장 정교한 공격자는 이제 단 몇 초의 온라인 오디오를 사용하여 개인의 음성을 합성하는 인공 지능 도구를 사용할 수 있습니다.그런 다음 은행원이나 헬프 데스크 등 계정 액세스 권한을 부여할 수 있는 사람에게 실시간으로 가짜 음성을 사용하여 전화를 걸어 계정 액세스 권한을 얻으려고 합니다.병원, 은행, 카지노, 통신사 등 고가치 표적이 되는 기업과 이러한 기업에 서비스를 제공하는 제3자 공급업체의 직원은 정교한 공격의 표적이 될 가능성이 가장 높습니다.잠재적인 지불금이 클수록 공격은 더욱 정교해 집니다.
다른 사회 공학 사기는 더 서투르며 즉각적인 위험 신호를 유발해야 합니다.누군가 공급업체나 IT 직원이라고 주장하면서 전화를 걸어 피해자에게 전화로 2단계 인증 코드를 읽어 달라고 요청할 수 있으며, 이로 인해 이 인증이 제공하는 보호 기능이 무력화될 수 있습니다.이와 같은 공격은 매우 흔하며 모든 기업의 모든 직원에게 발생할 수 있습니다.
Scattered Spider는 일부 범죄 조직이나 국가가 후원하는 해커만큼 정교하지 않습니다.그들은 돈에 의해 동기를 부여받고 주로 젊은이들로 구성되어 있으며, 한 보고에 따르면 그들이 잡히면 심각한 범죄 결과를 피하기 위해 의도적으로 어린 십대들을 모집한다고 합니다.사업주가 알아야 할 것은 Scattered Spider와 같은 그룹이 직원을 속여 액세스 권한을 제공하거나 정보를 공개하도록 할 수 있을 만큼 충분히 정교하다는 것입니다.
카지노 운영업체인 Ceasar's와 MGM을 대상으로 한 두 차례의 대규모 공격 뒤에는 사회 공학이 숨어 있을 수 있습니다.Ceasar's Entertainment는 증권거래위원회에 제출한 8-K 문서 에서 "회사가 사용하는 아웃소싱 IT 지원 공급업체에 대한 소셜 엔지니어링 공격"을 보고했습니다. 해커들은 9월 7일경 Ceasar의 로열티 데이터베이스에서 데이터를 훔쳐 알 수 없는 수의 운전 면허증과 사회 보장 번호를 노출시킬 수 있었습니다.월스트리트 저널은 Ceasar가 해커들이 시스템을 복원하고 훔친 정보를 삭제하도록 요구한 몸값 3천만 달러 중 약 절반을 지불했다고 보도했습니다.SEC 제출에서 Ceasar's는 범죄자들이 데이터를 삭제할 것이라는 보장은 없다고 지적을 했습니다.
라스베이거스의 다른 곳에서는 암호화된 방 열쇠, 예약 시스템, 슬롯머신을 포함한 MGM 시스템이 랜섬웨어 공격으로 인해 꺼졌습니다.Reuters는 이번 랜섬웨어 공격이 이전에 통신 및 비즈니스 아웃소싱 회사를 표적으로 삼았던 Scattered Spider라는 그룹에 의한 것이라고 보고했습니다.Scattered Spider는 또한 Ceasar의 공격 배후에 있다고 믿어집니다.
TechCrunch와의 인터뷰에서 Scattered Spider 대변인으로 추정되는 사람은 MGM 사회 공학 공격 에 대한 공로를 인정했지만 Ceasar의 해킹에는 관여하지 않았다고 부인을 했습니다.대변인은 LinkedIn을 통해 MGM IT 공급업체의 직원에 대한 정보를 찾은 다음 해당 공급업체의 헬프 데스크에 전화하여 해당 사람의 계정에 액세스했다고 주장을 했습니다.
사회 공학 공격 방지
사회 공학 공격이 더욱 정교해짐에 따라 기업 소유자는 사이버 보안 직원 교육을 두 배로 강화 하고 정보 또는 액세스 요청을 안내하는 확고한 프로토콜을 확립해야 합니다.범죄자가 사회 공학 공격에 사용할 수 있는 정보의 발견을 제한해야 하기 때문에 개인에게도 책임이 있습니다.위험을 줄이기 위해 지금 해야 할 다섯 가지 일은 다음과 같습니다.
LinkedIn 및 소셜 미디어 프로필을 검토하세요.낯선 사람이 당신이 일하는 곳을 알아야 합니까?귀하의 프로필은 공개적으로 접근 가능해야 합니까?소수의 사람들의 경우 대답은 '예'이며, 이러한 개인은 일반적으로 공개 프로필과 개인 및 비즈니스 프로필을 분리하는 조치를 취합니다.대부분의 근로자에게 대답은 '아니요'입니다.다음의 간단한 규칙을 따르십시오.더 많이 공유할수록 프로필이 덜 눈에 띄게 됩니다.LinkedIn에서 전문적인 네트워크를 구축하되 아는 사람들에게만 공개되도록 제한을 하세요.
액세스 시도에 대한 검토가 필요합니다.가장 좋은 프로토콜 중 하나는 전화, 문자 또는 이메일을 통해 계정에 액세스하려는 모든 시도에 대해 두 번째 감시를 요구하는 것입니다.이러한 요청은 사회 공학 및 피싱 시도에 정통한 상위 직원에게 전달되어야 합니다.의심스러운 경우 프로토콜은 액세스 승인의 마지막 단계로 개인의 파일에 있는 전화번호로 전화하도록 요구해야 합니다.다른 번호로 전화하거나 재다이얼을 사용하지 마세요.사기꾼이 귀하의 기기에서 개인의 전화번호를 스푸핑할 수 있기 때문입니다.
직원들이 신뢰하고 일을 잘하고 싶어하기 때문에 정교한 사회공학 공격이 성공합니다.교육에서는 보안이 고객 서비스보다 더 중요하지는 않더라도 동일하게 중요하다는 점을 강조해야 합니다.불편한 사람이 당신에게 잠시 화를 낼 수도 있습니다.사이버 범죄 피해자는 공격을 허용한 사람이 누구인지 결코 잊지 않을 것입니다.
비밀번호를 변경하세요.현재 사용자 이름과 비밀번호를 다크 웹에서 판매할 수 있다고 가정합니다.범죄자가 해당 정보를 직장 계정에 연결하는 것은 시간 문제일 가능성이 높습니다.업무용 계정과 개인용 계정에 별도의 비밀번호를 사용하고 몇 주에 한 번씩, 매년 최소 4번씩 비밀번호를 변경하세요.범죄자는 비밀번호가 변경되는 것을 보면 귀하가 사이버 보안을 심각하게 생각하고 있으며 더 쉬운 목표를 위해 지나칠 수도 있다는 것을 인식합니다.
이중 인증을 활성화합니다.이렇게 하면 액세스 코드가 항상 귀하와 함께 있는 장치로 라우팅됩니다.어떠한 경우에도 해당 액세스 코드 중 하나를 다른 사람과 공유하지 마십시오.이중 인증은 계정 도용에 대한 가장 강력한 보호 수단 중 하나입니다.
위험 수준을 평가하십시오.일부 회사는 돈이나 개인 데이터에 접근할 수 있기 때문에 자신이 표적임을 알고 있습니다.이러한 회사는 일반적으로 사회 공학 및 피싱 공격을 방지하기 위해 매우 엄격한 프로토콜을 갖추고 있습니다.공급업체는 범죄자에게 보안 시스템에 대한 백도어를 제공하는 동일한 수준의 보호 또는 교육을 받지 못할 수 있습니다.가치가 높은 클라이언트가 있는 경우 사이버 보안 수준을 채택하고 모든 직원이 사이버 공격 시도를 인식하고 대응하도록 교육해야 합니다.
Commentaires