Uber’in veri ihlali sosyal mühendislik hakkında ne ortaya koyuyor?


Transform 2022’ye katılamadınız mı? İsteğe bağlı kitaplığımızdaki tüm zirve oturumlarına şimdi göz atın! Buraya bak.


Siber suçlular arasında sosyal mühendislik kadar popüler olan çok az teknik vardır. Araştırma BT personelinin yılda ortalama 40 hedefli kimlik avı saldırısı aldığını ve birçok kuruluşun çok geç olmadan onları engellemek için mücadele ettiğini gösteriyor.

Daha dün, Uber bir saldırganın kuruluşun dahili BT sistemlerine, e-posta panosuna, Slack sunucusuna, uç noktalara, Windows etki alanına ve Amazon Web Hizmetleri konsoluna erişmeyi başardıktan sonra, sosyal mühendislik tarafından mağlup edilen uzun şirketler listesine eklendi.

bu New York Times [subscription required] 18 yaşındaki bir bilgisayar korsanının, destek personeli kimliğine bürünen bir Uber çalışanına şifrelerini vermeleri için kandırmak için bir SMS mesajı gönderdiğini bildirdi. Bilgisayar korsanı, daha sonra diğer kritik sistemlere erişmeden önce, bireyin Slack hesabının kontrolünü ele geçirmek için bunu kullandı.

Veri ihlali, sosyal mühendislik tekniklerinin etkinliğine ışık tutuyor ve işletmelerin, çalışanlarının çevrimiçi hesaplarını güvence altına almak için çok faktörlü kimlik doğrulamaya (MFA) güvenmeyi yeniden değerlendirmeleri gerektiğini öne sürüyor.

Etkinlik

MetaBeat 2022

MetaBeat, 4 Ekim’de San Francisco, CA’da metaverse teknolojisinin tüm endüstrilerin iletişim kurma ve iş yapma şeklini nasıl değiştireceği konusunda rehberlik sağlamak için düşünce liderlerini bir araya getirecek.

Buradan Kaydolun

Sosyal mühendislik: hacklemenin düşük bariyerli yolu

Birçok yönden, Uber veri ihlali, çevrimiçi hesaplara erişimi kontrol etmek için parola tabanlı kimlik doğrulamaya güvenme sorununu daha da açıklar. Parolalar, kaba kuvvet saldırıları ve sosyal mühendislik dolandırıcılıklarıyla kolayca çalınabilir ve saldırganların istismar etmesi için uygun bir giriş noktası sağlar.

Aynı zamanda, bir şirketin savunması ne kadar iyi olursa olsun, çevrimiçi hesapların güvenliğini sağlamak için parolalara güveniyorlarsa, bir ihlalin gerçekleşmesi için yalnızca bir çalışanın oturum açma bilgilerini paylaşması yeterlidir.

“Uber, bir dizi sosyal mühendislik saldırısı kurbanının en sonuncusu. Çalışanlar sadece insandır ve sonunda korkunç sonuçları olan hatalar yapılacaktır” dedi. Titanyum. “Bu olayın kanıtladığı gibi, yürürlükteki güvenlik protokollerine rağmen, bilgilere ayrıcalıklı kimlik bilgileri kullanılarak erişilebilir, bu da bilgisayar korsanlarının temel verileri çalmasına ve bunları dünyayla paylaşmasına olanak tanır.”

Çok faktörlü kimlik doğrulamayı açmak gibi önlemler, hesap ele geçirme girişimleri olasılığını azaltmaya yardımcı olsa da, bunları tam olarak engellemez.

Hesap güvenliğini yeniden düşünmek

Genel olarak, kullanıcı farkındalığı, bir kuruluşun sosyal mühendislik tehditlerine karşı en iyi savunmasıdır. Çalışanlara kimlik avı e-postaları veya SMS mesajları şeklindeki manipülasyon girişimlerinin nasıl tespit edileceğini öğretmek için güvenlik bilinci eğitimi kullanmak, hassas bilgileri teslim etmeleri için kandırılma ihtimallerini azaltabilir.

Siber güvenlik evangelizmi direktörü Neil Jones, “Genel siber güvenlik farkındalık eğitimi, sızma testi ve kimlik avı önleme eğitimi bu tür saldırılara karşı güçlü caydırıcılardır” dedi. Egnyte.

Kuruluşlar, çevrimiçi hesaplara yetkisiz erişimi önlemek için çok faktörlü kimlik doğrulamanın yeterli olduğunu düşünme hatasına düşmeyi göze alamazlar. Bunun yerine, şirket liderlerinin, hesap sağlayıcı tarafından desteklenen kimlik doğrulama seçeneklerine dayalı olarak risk düzeyini değerlendirmesi ve buna göre ek kontroller uygulaması gerekir.

“Tüm MFA faktörleri eşit yaratılmamıştır. Push, tek seferlik şifreler (OTP’ler) ve sesli aramalar gibi faktörler daha savunmasızdır ve sosyal mühendislik yoluyla atlanması daha kolaydır,” dedi. Tessiyen.

Bunlara güvenmek yerine Yavor, FIDO2 gibi tasarımlarında yerleşik kimlik avı direncine sahip modern MFA protokollerine dayalı güvenlik anahtarı teknolojisinin uygulanmasını önerir. Bunlar daha sonra, kullanıcılara çevrimiçi kaynaklara erişim sağlamadan önce cihaz tabanlı gereksinimleri zorlamak için güvenli erişim kontrolleriyle genişletilebilir.

VentureBeat’in misyonu teknik karar vericilerin dönüştürücü kurumsal teknoloji ve işlemler hakkında bilgi edinmeleri için dijital bir şehir meydanı olmaktır. Brifinglerimizi keşfedin.



Kaynak : https://venturebeat.com/security/what-ubers-data-breach-reveals-about-social-engineering/

Yorum yapın