A NetIQ szakértői három olyan területre hívták fel a figyelmet, ahol akaratlanul is árulkodó nyomokat hagyhatunk magunk után, kinyitva ezzel a kaput az adattolvajok előtt. Általánosan bevett gyakorlat, hogy amikor szabadságra megyünk, akkor "out of office" üzenetet állítunk be, amely a vakáció ideje alatt automatikus válaszokat küld a beérkező levelekre.
Ebben általában arról informáljuk a levélírót, hogy mikor térünk vissza az irodába, mikor tudunk foglalkozni az e-maillel, és kihez fordulhat sürgős esetben a távollétünkben. Csakhogy az így megosztott információkkal akaratlanul is segíthetünk a kiberbűnözőknek.
Az automatikus válaszüzenetből kiszűrt információk alapján ugyanis ki lehet csalni bizalmas adatokat az adott cégtől, illetve annak munkavállalóitól. Ehhez a kiberbűnözőnek pusztán annyit kell tennie, hogy a cég egyik alkalmazottjának vagy beszállítójának adja ki magát, és megkeresi az auto reply-ban megadott kontakt személyt. Segítséget kér a helyettesítő kapcsolattartótól, hogy sürgősen küldjön át neki bizonyos adatokat, amelyekre egy határidős jelentéshez van szüksége, és ezt a riportot mindenképpen még azelőtt le kell adnia, hogy visszatér a vakációzó kolléga. A trükk sokszor beválik, ezt bizonyítja az is, hogy penetrációs teszteket végző szakemberek, köztük Kevin Mitnick is sikerrel alkalmazott már ilyen módszert.
A biztonsági szakemberek azt javasolják, hogy úgy állítsuk be az out of office üzeneteket, hogy azokat csak a házon belüli kollégák kapják meg, a külsős partnereket és ügyfeleket pedig külön, előzetesen tájékoztassuk a távollétünkről. Egyes cégeknél az a bevett gyakorlat, hogy az érzékeny adatokkal dolgozó munkatársak címéről csak házon belül érkezik automatikus visszajelzés távollét esetén, és csak az egyéb részlegeken, elsősorban a sales és ügyfélkapcsolatokkal foglalkozó osztályokon dolgozó alkalmazottak fiókjainál állítanak be minden feladónak elküldendő, automatikus visszajelzést.
Közösségi (be)hálózás
Nem újdonság, hogy rengeteg információt osztunk meg magunkról a közösségi hálózatokon, akár egyszerűen csak azért, mert van rá mód az adatlapon. A munkahelyi szerepkörrel, titulussal, szaktudással és projekttel, valamint a cégtörténettel kapcsolatos információk általában publikusak az alapbeállítás szerint. Noha ezek az adatok nem számítanak bizalmasnak a vállalat szempontjából, de a csalók számára aranybánya lehet egy ilyen adatbázis.
Ugyanúgy, mint az automatikus válaszüzenetekben megosztott információk, ezek is felhasználhatók olyan social engineering támadásokhoz, amelyek során a támadók a célpont bizalmi körébe tartozó személynek adják ki magukat.
A NetIQ szakértői szerint érdemes ilyen szempontból is átgondolni a biztonsági beállításokat. Nagyobb szervezeteknél social media csapatot, illetve szakembereket alkalmaznak, akiket célszerű bevonni a kapcsolódó biztonsági szabályzatok kialakításába, illetve az alkalmazottak oktatásába.
Sokat mondó, elejtett szavak
Egyre több vállalatnál alkalmaznak különféle előírásokat arra vonatkozóan, hogy a munkavállalók milyen biztonsági információkat adhatnak ki a cégről. Erre minden ok megvan, hiszen előfordul, hogy túl sokat mutatunk a kamera előtt puszta véletlenségből, vagy egyszerűen emberi természetünkből adódóan. Jó példa erre a francia TV5Monde televíziós csatorna esete, ahol egy riport során post-it cetlikre felírt hozzáférési adatok látszottak a háttérben az interjúalany mögött. (A sors fintora, hogy a csatorna éppen arról készített összefoglalót, hogy miként törték fel a rendszerüket az Iszlám Állam hackerei.) Ez természetesen kirívó eset, de arra mindenképpen rámutat, hogy célszerű biztonsági előírásokkal szabályozni, hogy milyen információkat adhatnak ki az alkalmazottak.
(Forrás: www.biztonsagportal.hu)
