Vefveiðar

Fyrirtæki sem skotmörk

Vefveiðar sem beinast að fyrirtækjum eru oft vel ígrundaðar og í fágaðri herferðum er greinilegt að gerendurnir hafa kynnt sér fyrirtækin vel. Sérstaklega reynir á þá starfsmenn sem sinna beinni þjónustu við viðskiptavini og fá gífurlegt magn af tölvupóstum á hverjum degi undir þeirri pressu að svara öllum tölvupóstum eins fljótt og hægt er. Eru árásaaðilarnir að vonast til þess að svikapósturinn verði einn af mörgum sem starfsmaðurinn þarf að afgreiða án þess að taka eftir því að eitthvað óeðlilegt sé í gangi, og opni t.d. sýkt viðhengi sem opnar leið inn á tölvukerfi fyrirtækisins.

Einnig eru vinsæl stjórnendasvindl (e. business email compromise) þar sem árásaraðilinn þykist vera yfirmaður í fyrirtækinu og biður starfsmann að framkvæma greiðslu eða gefa upp mikilvægar upplýsingar sem fyrst í nafni fyrirtækisins.

Hvernig verjumst við vefveiðum

Fyrir fyrirtæki getur verið vandasamt að verjast þar sem mörg þjónustustörf ganga út á að fá fjöldann allan af tölvupóstum með hinum ýmsu viðhengjum sem þarf að svara sem fyrst eða koma í ferli. Þar skiptir einna mestu máli að geta séð netfangið skýrt frá þeim sem sendir tölvupóstinn og geta greint hvort það sé eðlilegt að sendandinn sé að senda viðhengi til fyrirtækisins.

Einnig þarf að vera skýrt hvert starfsfólk á að leita ef það grunar að um vefveiði sé að ræða og viðbrögð snögg

Mikilvægt er fyrir fyrirtæki að fræða starfsfólk í að bera kennsl á svikapósta og vera vakandi fyrir möguleikanum á að þeir berist, þrátt fyrir að fyrirtæki séu með góðar varnir gegn slíku. Gott er að þjálfa fólk með æfingum þ.e. að senda meinlausa svikapósta á starfsfólk. Það eru mörg fyrirtæki sem sérhæfa sig í slíkri þjálfun fyrir starfsfólk fyrirtækja.

Mikilvægt er að slík þjálfun sé ekki sett fram eða nýtt á nokkurn hátt sem próf, hver sem er getur orðið fórnarlamb vefveiða og öllu skiptir að það sé tilkynnt um atvikið og brugðist við. Röng nálgun getur valdið því að starfsfólk hiki við að tilkynna að eitthvað hafi gerst og dýrmætur tími fyrir viðbragð tapast.

Í áhættumati fyrirtækja ætti að taka til skoðunar aðila sem gætu verið sérstaklega viðkvæmir fyrir vefveiðum. Til dæmis nýtt starfsfólk eða tímabundið svo sem sumarstarfsfólk, þeir sem hafa aðgang að fjárhagskerfum og reikningum, stjórnkerfum tölvukerfa, eða eftirsóttum trúnaðarupplýsingum.

Til eru tæknilegar lausnir sem hægt er að nota til að draga úr áhættu á starfsfólki berist vefveiðapóstar en stilla þarf þær miðað við þarfir fyrirtækisins. Byggja slíkar lausnir bæði á að fjarlægja þekkta svikapósta sem upplýsingar berast reglulega um, en einnig að leyfa ekki ákveðnar tegundir viðhengja eða eiginleika tölvupóstskeyta. Einnig getur reynst gott að takmarka eða merkja sérstaklega óþekkta sendendur í tölvupóstkerfum.

Góð ráð til sporna við vefveiðum

Krefjist notkunnar fjölþátta auðkenningu án undantekninga (tengill)
Notið einkvæm sterk lykilorð og lykilorðabanka (tengill)
Bannið deildan aðgang að kerfum
Virkiðsjálfvirkar viðvaranir um póst frá aðilum utan ykkar fyrirtækis
Takmarkið aðgang notenda við nauðsynlega virkni
Tryggið að hægt sé að rekja tölvupósta og greina áhrif ef starfsmaður fellur fyrir vefveiði
Fyrirtæki þurfa að hafa skýra verkferla hvað starfsfólk á að gera í þeim tilvikum sem þeir telja sig hafa fallið fyrir vefveiðum án þess að eiga í hættu að verða refsað fyrir það
Ef ytri aðilar fá leyfi til að senda póst á alla starfsmenn tilkynnið það fyrirfram

Hvernig ver ég orðspor míns fyrirtækis

Vekið athygli á því ef nafn fyrirtækisins er misnotað í vefveiðaherferð
Passið að ykkar ytri samskipti séu auðaðgreinanleg frá vefveiðum
Takmarkið tengla í póstum eða hafi þá auðlæsilega
Hafið aðra leið fyrir viðskiptavini en beinan hlekk
Takmarkið viðhengi í tölvupósti
Auglýsið á ykkar heimasíðu hvað þið mynduð aldrei biðja um í tölvupósti eða símtali
Gerið auðvelt að tilkynna til ykkar misnotkun
Fylgist með skráningu léna sem líkja eftir ykkar lénum