Szolgáltatás lett az adathalászat

​Az adathalászat jelentős átalakuláson megy keresztül a szemünk láttára.
 

Sok esetben az adathalász támadások kivitelezéséhez fejlesztésben jártas hackerek kellenek, akik a célba vett cégekre szabottan programozzák le az adathalászathoz szükséges felületeket, eszközöket. Mindez azonban változóban van, mivel olyan alvilági szolgáltatások kezdtek megjelenni az interneten, amelyek különösebb szaktudás nélkül is lehetőséget adnak phishing típusú csalások végrehajtására. Ezeket a - jellemzően 250-850 dolláros előfizetési díjért igénybe vehető - szolgáltatásokat összefoglaló néven PhaaS-ként (Phishing-as-a-Service - PhaaS) szokás emlegetni.
 

"A PhaaS szolgáltatásokkal személyre szabott adathalász eszközöket lehet létrehozni. Többek között olyan oldalakat, amelyek megszólalásig hasonlítanak az eredeti weboldalakra. A legmegdöbbentőbb, hogy ezekhez a szolgáltatásokhoz egyáltalán nem bonyolult hozzáférni. Akad köztük olyan, amely teljesen nyitott regisztrációs folyamattal rendelkezik, azaz akár egy e-mail címmel bárki feliratkozhat rájuk"

- hívta fel a figyelmet Selmeczi János, a TheFence magyar és európai forgalmazásáért felelős vállalatvezetője.
 
A szakember hozzátette, hogy ezeket az adathalász programcsomagokat is pont úgy fejlesztik, mint a legális szoftvereket. Ennek megfelelően egyre szofisztikáltabb módon képesek csapást mérni az általuk célba vett szervezetekre.
 
Ha egy támadás esetleg kudarcot vall, akkor azt a kiberbűnözők gyorsan leállítják, eltüntetik a nyomokat, és máris egy másik phishing készlettel indítják az újabb adathalász kampányukat. Ez a gyors adaptáció párosul azzal, hogy a felhasználók jelentős része nem ismeri fel az általa igénybe vett informatikai szolgáltatásokkal, online csatornákkal járó potenciális veszélyeket. Az ismerethiány miatt az óvatosság is csökken, amit viszont az adathalászok azonnal kihasználnak.
 
Védekezni többféleképpen lehet a PhaaS ellen. Egyebek mellett a dolgozók képzésével és rendszeres tesztelésével. A biztonságtudatosság terén nálunk előrébb járó országokban teljesen bevett szokás, hogy a vállalatok maguk kreálnak adatszivárgás lehetőségével járó belső krízishelyzeteket, hogy a szenzitív adatokhoz hozzáférő munkavállalók éberségét fenntartsák. Mindezekhez kapcsolódhat a zéró bizalom, mint működési elv is, ami szigorú kontroll alá veszi az adatkezeléseket.
 
Selmeczi János szerint a vállalatoknak érdemes fejlett elemzéseket bevezetniük a folyamataikba, amelyek többek közt kiterjednek a hozzáférésekhez, jogosultságokhoz kapcsolódó kockázatok automatikus azonosítására. Ez a megközelítés sokkal célravezetőbb, a működést sem zavarja meg, és a támadási felületeket is redukálja. Csupán arra van szükség, hogy az adatgazdák pontosan meghatározzák és kockázati alapon időről időre felülvizsgálják, hogy személy szerint ki, mihez férhet hozzá, és elejét vegyék a túlzott, a szükségtelen, illetve az összeférhetetlenséget jelentő jogosultságok kiosztásának.