מערך הסייבר הלאומי: אזהרה בדבר מתקפות VISHING  נגד ארגוניםעל רקע משבר נגיף הקורונה
מאת: מערכת Telecom News, 25.3.20, 17:45

מתקפת VOICE PHISING (VISHING) זו הונאה הנעשית באמצעות שיחת טלפון בה התוקף מתחזה לגורם לגיטימי. וזה נעשה כעת תוך ניצול של המעבר לעבודה מהבית בעקבות משבר נגיף הקורונה, להשגת גישה לרשת הארגונית. איך מתמודדים?

בשבועות האחרונים מסתמנת מגמת עלייה בביצוע מתקפות המנצלות את הבהלה הציבורית בנוגע למשבר נגיף הקורונה.
ה-CERT הלאומי כבר פרסם פרטים על ניצול הקורונה למתקפות כפי שפרסמנו כאן וכאן.

כעת, בCERT- הלאומי התקבלה אינדיקציה, שחברה ישראלית מתחום הפיננסים חוותה ניסיונות תקיפה תוך ניצול של המעבר לעבודה מהבית בעקבות משבר נגיף הקורונה, להשגת גישה לרשת הארגונית.

על-פי הדיווח, עובדי החברה קיבלו טלפונים מתוקפים, שהתחזו לאנשי תמיכה טכנית, וביקשו מהם שם משתמש וסיסמה להתחברות מרחוק באמצעות VPN.

כלומר, סביר להניח שזו ההתחלה ואנו מתחילים להיות עדים לתקיפה נוספת נגד ארגונים בישראל, שעושה שימוש בשיטת VISHING כדי להשיג גישה לרשתות ארגוניות.

שיטה זו אינה חדשה, וכבר דיווח עליה בעבר - כאן, ועל מקרה בבריטניה - כאן, אודות שימוש בטכנולוגיית בינה מלאכותית לשם התחזות קולית לבכירים בארגון כדי להניע עובדים לבצע פעולות שונות, שישרתו את התוקפים.

עכשיו, כאמור, התקבל ב-CERT הלאומי דיווח, עובדיה של חברה ישראלית מתחום הפיננסים קיבלו פניות מתוקפים, אשר התחזו לאנשי תמיכה טכנית של החברה, וביקשו פרטי התחברות לגישה מרחוק.
 
שיטה זו מתבססת על הנדסה חברתית. כלומר, ביצוע מניפולציה פסיכולוגית על הקורבן, באמצעות פנייה אליו, שתיראה לגיטימית ואמינה. הפנייה תכיל לרוב בקשה דחופה או מפתה, כדי להניע את הקורבן לפעול בפזיזות.

העברת פרטים לתוקפים עלולה להביא לפריצה לרשת הארגונית, הצפנת קבצים ומערכות, דלף/השמדת מידע, וגרימת נזק רב לחברות ולארגונים הנתקפים.
 
דרכי התמודדות:
ראו המלצות הגנה שפורסמו ע"י מערך הסייבר הלאומי עבור ארגונים ועסקים בנוגע לעבודה מהבית בעקבות התפשטות נגיף הקורונה - כאן.

מומלץ לבצע הדרכות בארגון להעלאת מודעות העובדים בארגון בנוגע להנדסה חברתית, ובייחוד בנוגע ליכולת ניצול ערוצי תקשורת מגוונים לטובת התחזות לגורמים בכירים בארגון.

מומלץ לאפיין וליישם נהלי עבודה למקרים דחופים או יוצאי דופן, כדי לצמצם צורך בשיקול דעת של עובדים תחת לחץ של זמן.

כדי למנוע גניבת פרטי הזדהות של בכירים לצורך התחזות להם, מומלץ לחייב שימוש בהזדהות חזקה MFA/2FA לצורך גישה לחשבונות דוא"ל של גורמים רגישים בארגון, בפרט אם חשבונות הדוא"ל מתנהלים במערכות ענן או נגישים מרחוק על גבי רשת האינטרנט.

במידה וקיים צורך בביצוע פעולה או חשיפת פרטים רגישים בגישה מרחוק, מומלץ לבחון ולייצר מנגנון רב ערוצי לשם כך. לדוגמה: שליחת שם משתמש באמצעות SMS וסיסמה באמצעות הדוא"ל, או שליחת מידע מוצפן, שהסיסמה לפתיחתו תועבר באמצעי אחר.

הכתבה: מהם ההבדלים בין סמישינג, וישינג, וייל פישינג וספיר פישינג - כאן.