Безпечне спілкування в месенджерах
Дрібна послуга в чаті — і персональні дані клієнта вже в чужих руках.
Що таке Безпечне спілкування в месенджерах?
Чат здається приватним, тому в ньому пишуть те, чого ніколи не надіслали б електронною поштою. У п'ятницю колега пише вам у Telegram, особистому месенджері, і просить дані клієнта, а потім ще одну дрібницю. У понеділок він каже, що його обліковий запис у Telegram зламали й він нічого не надсилав. Далі ви берете реагування на себе: телефонуєте до служби ІТ-безпеки, подаєте звіт про інцидент із точним переліком розкритих даних і каналу, а тоді читаєте висновки. Знайоме ім'я в чаті — це ще не автентифікація.
Що ви дізнаєтесь у Безпечне спілкування в месенджерах
- Розумійте, що знайоме ім'я й давня переписка в чаті не доводять, хто насправді пише
- Розпізнавайте поступове витягування даних, коли запит розростається по одній дрібниці, як прийом соціальної інженерії
- Відмовляйтеся надсилати ідентифікатори й персональні дані клієнтів через споживчі месенджери, хоч би хто просив
- Перевіряйте незвичний запит колеги іншим каналом, перш ніж щось розкривати
- Подавайте звіт про інцидент, у якому точно вказано, які дані розкрито й яким каналом, щоб можна було визначити масштаб розкриття
Безпечне спілкування в месенджерах — Кроки навчання
-
Звичайна п'ятниця
П'ятниця по обіді. Ви завершуєте тиждень, коли приходить лист від вдячної клієнтки.
-
Повідомлення від Маркуса
Телефон Аліси вібрує: у Telegram надійшло повідомлення від Маркуса Вебба, колеги з відділу роботи з клієнтами.
-
Пошук картки клієнта
Маркус, схоже, поспішає. Аліса відкриває на комп'ютері картку клієнтки Елеонори Паттерсон, щоб знайти потрібний йому номер рахунку.
-
Передача номера рахунку
Номер рахунку Елеонори та решта її даних — просто перед очима. Аліса повертається в Telegram і надсилає Маркусу ці дані.
-
Ще одна дрібниця
Тепер Маркус просить ще й номер соціального страхування Елеонори. Надсилати таке через Telegram — здається, забагато, але портал барахлить, а Маркусу треба оформити повернення коштів до кінця робочого дня.
-
Що пішло не так?
-
Тривожний лист у понеділок
У понеділок уранці Аліса приходить на роботу й бачить тривожний лист від Маркуса Вебба.
-
Усе сходиться
Алісу накриває хвиля жаху. І номер рахунку Елеонори Паттерсон, і її номер соціального страхування вона надіслала тому, хто видавав себе за Маркуса. Тепер ці дані в руках зловмисника.
-
Дзвінок до служби ІТ-безпеки
Аліса одразу бере телефон. Вона має повідомити про те, що сталося, щоб служба ІТ-безпеки встигла діяти, поки зловмисник не скористався даними Елеонори.
-
Портал безпеки
Служба ІТ-безпеки просить Алісу подати офіційний звіт про інцидент через портал безпеки, щоб команда реагування могла негайно почати розслідування.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1552.008 Unsecured Credentials: Chat Messages
CIS Controls
- CIS 14.4 Train Workforce on Data Handling Best Practices
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind