Mails

Ved du Hvem du Skriver Sammen Med?

De hackere, der har haft størst success med, at dræne de danske virksomheder for informationer og penge, er faktisk ikke dem, med den største tekniske snilde. Vi har hørt det flere gange: det svageste led, i en virksomheds kæde af sikkerhed, er ofte de mennesker, der er ansat der. Hvorfor forsøge at bryde igennem avancerede firewalls, snyde sig forbi antivirus-programmerne og gemme sig fra al den avancerede overvågnings software, hvis man bare kan charmere sig ind på en ansat, og få dem til at give én adgang til alt hvad man har brug for?

Denne form for angreb, ofte kaldet “social engineering” – eller socialt ingeniørarbejde – har vundet stort frem, når vi taler angreb på danske virksomheder. Den oftest rapportede form for angreb, er i form af en email, der påstår at komme fra en højtstående person i virksomheden – måske en afdelingsleder, eller endda direktøren selv. Mailen indeholder en velskrevet forklaring på, hvorfor denne højtstående person tager direkte kontakt til denne specifikke ansatte, og beder dem så udføre en bestemt handling. Denne handling kan være at overføre afdelingens penge til en bestemt bankkonto, udlevere sit password eller åbne op for adgangen til et internt system. Angrebene er ofte sofistikerede, og har været planlagt længe. Dem, der har været udsat for angrebene, har rapporteret at emailsene ofte var utroligt personlige, og at den der skrev til dem, virkede som om de kendte dem godt. Angriberne benytter ofte sociale medier og anden research til, at danne sig et godt billede af dem der angribes, så de kan virke ekstra overbevisende i deres bedrageri.

En af hovedårsagerne til, at disse emails kan virke så overbevisende, er dog, at emails er utroligt nemme at forfalske. Email er en gammel teknologi, og da den blev opfundet, var der ikke særligt stor fokus på sikkerheden: det var bare fantastisk, at man kunne sende beskeder til den anden side af jorden! Men nu har de kriminelle altså fundet ud af, at udnytte den gamle teknologi til, at sende overbevisende e-mails der ligner, at de kommer fra en højtstående person i en virksonhed.

Dette problem skal løses fra to vinkler: for det første, bør enhver virksomhed der ønsker at sikre sig imod disse angreb, benytte signerede mails. På den måde er der kryptografisk sikkerhed for, at afsenderen er den person, vedkommende udgiver sig for at være. Man kan tænke på det, som en slags sikkert lag, der lægges ovenpå den gode gamle e-mail teknologi. Der er nemlig ingen grund til at gå væk fra det oprindelige fundament: det er stadig en fantastisk måde, at sende beskeder over lange afstande på. Der skal bare lægges et sikkrhedslag ovenpå, og så er alt egentligt godt! Dernæst skal alle ansatte gøres opmærksomme på, at denne type angreb eksisterer, og der skal sættes klare retningslinier for, hvordan diverse procedurer skal udføres for, at sikre imod angreb.

 



Comments