7 passos per minimitzar el frau i la propagació de la identitat

Al principi, la sol·licitud d'amic de Facebook semblava perfectament normal, però després em vaig adonar que aquest amic, que conec des de l'escola mitjana, ja estava connectat amb mi a Facebook. Així que vaig mirar el perfil més de prop i estava clar que es tractava d'una suplantació. Així que vaig enviar un missatge al meu amic per preguntar-li si havia enviat la nova sol·licitud i em va respondre que no ho feia, i va afegir que algú havia intentat utilitzar recentment la targeta de crèdit per comprar alguns articles d'Amazon. Afortunadament, ella havia substituït aquella targeta en concret, de manera que no es va perdre cap diners, però, clarament, estava dirigida per un lladre d’identitat. Vaig suggerir que truqués a la policia per denunciar-ho.

El que estava passant amb el meu amic és un conjunt d’esdeveniments força típics que succeeixen en les primeres etapes del robatori d’identitat. Si bé es va descarrilar aquest esforç, la majoria de la gent no ho hauria assabentat tan ràpidament. En el seu lloc, comprovant les finances de la seva víctima i assumint la seva identitat a les xarxes socials, esperen obtenir prou informació personal com per poder-los suplantar en un entorn empresarial on es produeixen comunicacions per correu electrònic.

El procés funciona quan el delinqüent passa a través de l'organització, avançant constantment fins a la línia fins que la persona pugui aparèixer com a empleat superior. L’objectiu final és freqüent robar la identitat del conseller delegat. A continuació, el criminal utilitza correu electrònic personal per obrir comunicacions amb empleats que tenen accés a informació corporativa crítica, com ara finances i propietat intel·lectual (IP). Per semblar legítim, pot fer referències a esdeveniments laborals concrets propers, a una recent reunió o a un esdeveniment similar al qual va assistir l’objectiu, que el lladre d’identitat va obtenir de les xarxes socials.

Una vegada que un empleat està convençut que el criminal és qui pretén ser, llavors començaran les sol·licituds. Normalment són petits al principi, com ara demanar un article per a l’oficina. Però llavors es fan més grans i exigents. Finalment, el delinqüent demana quantitat de diners substancials o potser que s’enviï una determinada IP, com ara dibuixos o especificacions, a una adreça de tercers.

Els intents de frau del CEO estan a l’alça

Aquests esquemes poden semblar desgavellats, però són la base del "CEO Fraud", que està passant amb una regularitat depriment. Els companys de l'empresa de formació en seguretat KnowBe4 relaten una tal estafa en què un empleat va ser enviat a la ciutat per cercar 20 targetes de regal d'Apple iTunes, que valien 100 dòlars, aparentment per enviar a clients.

Però els exemples empitjoren i, en alguns casos, s’han centrat centenars de milers de dòlars als comptes bancaris fora de la costa després que un criminal que pretenia ser el director general d’una empresa va fer una sol·licitud a un departament de comptabilitat especialment cridaner. Tot i que aquest procés funciona com qualsevol nombre d’estafes de confiança, hi ha passos que pot fer un departament d’informàtica per minimitzar les possibilitats que passi a la vostra organització.

7 passos per minimitzar el frau de CEO

Aquests passos inclouen indicar al vostre personal que aquests intents són possibles, descriure les formes que adoptaran i informar-los que el personal de seguretat de l'empresa està preparat per ajudar-vos. També és una bona idea crear un conjunt de regles que han de seguir els empleats quant a la resposta i als informes. A continuació, es mostren alguns suggeriments per als consellers delegats i altres alts directius:

Envieu un correu electrònic a tots els empleats per fer-los saber que els empleats estan orientats per homes dolents que volen treballar a una organització. Digues-los que han de tenir coneixement dels intents de robatori d’identitat, inclosos els impostors que apareixen a les xarxes socials.

Sol·liciteu que els empleats informin al personal de seguretat quan sospiten que els atracen la identitat; això inclou els intents de robar els números de la targeta de crèdit. Tot i que l’intent no és més que un skimmer aleatori, el vostre personal agrairà saber que està disposat a ajudar-lo.

Vigileu els patrons. Si comenceu a augmentar els robatoris d'identitat contra els vostres empleats, aleshores és un signe que podríeu ser l'objectiu real. Avisa als teus empleats.

Configureu algunes coses específiques que mai demanareu a fer als vostres empleats. Això pot incloure la compra de targetes de regal, demanar-los que realitzin qualsevol tipus d’acció oficial a partir d’un correu electrònic enviat a través d’un compte personal o sol·licitar-los que enviïn fons de correu electrònic o IP a tercers a partir d’una sol·licitud enviada per correu electrònic mitjançant correu electrònic personal..

Protegiu la informació de contacte personal, inclosa l’adreça física, l’adreça de correu electrònic personal i els números de telèfon personal, dels vostres empleats per fer més difícil que els lladres s’hi destinin.

Escanegeu periòdicament els comptes de les xarxes socials dels vostres empleats per trobar signes que algú els personi. Apareixerà com a segon compte amb el seu nom i normalment la seva foto. Si bé l’empleat pot tenir dos comptes per un motiu, com ara un d’ús personal i un d’ús comercial, els haureu de preguntar.

Un cop hagueu fet les regles, enganxeu-les a vosaltres mateixos. Si realment necessiteu 100 targetes d’iTunes, ordeneu-les a Apple mitjançant les regles adequades que proporciona el departament de compres de la vostra organització.

• Les millors solucions de gestió de la identitat per al 2019 Les millors solucions de gestió de la identitat per al 2019
• Vostè realment necessita pagar per un servei de protecció del robatori d'identitat? Vostè realment necessita pagar per un servei de protecció del robatori d'identitat?
• Per aturar la pesca, Google va proporcionar claus de seguretat a tots els empleats per deixar de practicar phishing, Google va proporcionar claus de seguretat a tots els empleats.

Tant si es tracta d’un robatori d’identitat o simplement d’identificació d’identitats, aquestes activitats solen ser les primeres etapes d’un atac de pesca, perquè els atacants necessiten informació suficient per fer que els seus missatges semblin creïbles. Els atacs de pesca (phishing) són el mètode més reeixit per darrere de les infraccions de dades, ja que es superposen a la negligència dels usuaris. Aturar atacs abans que es produeixin significa que podeu estalviar la vostra organització dels costos importants associats a un incompliment de dades.

I no penseu que no us passarà a la vostra empresa perquè és massa petita. Independentment de la mida, la majoria d’organitzacions tenen el valor mínim que busquen aquest tipus de delinqüents: diners i accés a altres empreses.