피싱 공격으로부터 중소기업 보호
게시 됨: 2021-07-27누구에게나 물어보면 피싱 공격을 경험한 사람이나 아는 사람이 있습니다. 그뿐만 아니라 그들은 아마도 누군가 때문에 실제로 돈을 잃은 사람을 알고 있을 것입니다.
피싱은 여전히 가장 일반적인 사이버 공격 유형으로, 미국 조직의 74%가 작년에 성공적으로 공격을 받았습니다. 소기업은 일반적으로 이러한 공격으로부터 보호하는 데 필요한 리소스와 지식이 부족하기 때문에 불행히도 특히 취약합니다.
해커가 중소기업을 노리는 이유는 무엇입니까?
종종 소규모 기업은 해커가 노리는 방대한 양의 데이터나 금융 자산이 없기 때문에 사이버 보안이 자신과 관련이 없다고 느끼는 경향이 있습니다. 따라서 스스로를 보호하기 위해 시간과 노력을 들일 이유가 없습니다. ?
그러나 이러한 기업은 효과적인 보안 조치를 구현하지 못하여 해커의 부드럽고 쉬운 표적이 되기 때문에 사이버 범죄자가 의존하는 사고 방식이 바로 이러한 유형입니다. 소규모 회사는 직원을 위한 사이버 보안 교육에 투자하는 경향이 없으므로 사람들을 속이도록 설계된 피싱 공격은 수신자가 이에 대처할 노하우가 없을 때 성공할 가능성이 훨씬 더 높습니다.
일부 공격의 경우 소규모 기업이 최종 목표가 아닙니다. 해커는 중소기업을 손쉬운 진입점으로 사용하여 공급망에서 진정으로 보상을 받을 더 큰 기업으로 가는 디딤돌입니다. 이러한 공급망 공격은 증가하고 있으며 거의 항상 스스로를 적절하게 보호할 사이버 방어 수단이 없는 소규모 기업에서 시작됩니다.
피싱은 어떻게 작동합니까?
피싱 공격은 작년에 미국에서만 241,324건이 발생하여 여전히 가장 널리 퍼진 기업 사이버 공격 유형 중 하나입니다. 2021년 영국 정부의 사이버 침해 조사에서도 피싱이 공격의 83%를 차지하는 1위 위협 벡터로 밝혀졌습니다.
시스템을 해킹하는 데는 시간과 노력이 필요하지만 누군가의 신뢰를 활용하고 속임으로써 해당 시스템에 대한 액세스 권한을 부여하는 것이 훨씬 쉽습니다. 이메일 피싱은 특히 사람을 대상으로 하며 종종 사회 공학 기술을 사용하여 사용자가 민감한 정보를 제공하거나 수신자의 시스템에 맬웨어 또는 랜섬웨어 설치를 유발하는 링크를 클릭하도록 유인합니다.
대규모 캠페인의 일부로 표적이 될 수도 있고 조직에 대한 보다 구체적이고 신중한 공격일 수도 있습니다. 후자의 경우 해커가 회사 또는 다른 직원에 대한 특정 정보를 사용하여 이메일을 보다 설득력 있게 만들 수 있습니다. 이러한 유형의 공격을 스피어 피싱이라고 합니다.
비즈니스 이메일 손상의 경우 동료나 비즈니스 파트너로부터 합법적인 이메일을 받고 있기 때문에 사기범을 식별하기가 특히 어렵습니다. 이러한 종류의 공격은 직원, 고객 또는 공급망의 모든 사람이 민감한 데이터를 제공하거나 자금을 이체하도록 부추기는 데 사용됩니다(물론 해커의 은행 계좌로 전달됨).
금전적 손실은 피싱 공격에 연루된 소규모 비즈니스에 심각한 영향을 미칠 수 있지만 조직 외부의 사람들이 회사를 통해 표적이 된다면 상황은 훨씬 더 악화될 수 있습니다. 해커가 직원의 계정에 액세스하여 비즈니스의 공급업체, 고객 또는 파트너에게 이메일을 보내는 경우 이러한 신뢰할 수 있는 관계에 심각한 영향을 미치고 회사가 안전하지 않다는 우려로 인해 비즈니스에서 손실을 입을 수 있습니다.
피싱 공격을 탐지하는 방법
우리는 모두 탐지 방법을 알고 있다고 생각하지만 오늘날의 피싱 이메일은 훨씬 더 정교하여 더 높은 수준의 경계가 필요합니다.
그래서 무엇을 조심할 수 있습니까?
- 항상 발신자를 자세히 살펴보십시오. 스푸핑된 도메인은 미묘하게 변경된 신뢰할 수 있는 도메인일 수 있습니다(예: 하나의 'i'에서 '1'로)
- 내용을 확인하세요. 의심스러운 약속이 있고 그것이 사실이기에는 너무 좋아 보인다면 아마도 그럴 것입니다.
- 톤을 조심하세요. 해커는 종종 피싱 이메일에서 긴급성을 사용하여 생각할 기회가 있기 전에 행동하도록 설득합니다.
- 철자와 문법. 올바른 철자와 문법이 항상 해커의 강점은 아니므로 명백한 실수는 스팸의 신호일 수 있습니다.
일반적으로 탐지하기 훨씬 어려운 BEC 사기의 경우 정보를 보내기 전에 주의를 기울이는 것이 중요합니다. 인기 있는 사기에는 고객에게 가짜 인보이스를 보내거나, 고위 경영진을 사칭하여 직원에게 돈을 요구하거나, 변호사를 사칭하여 고객에게 돈을 요구하는 것이 포함됩니다. 일반적으로 받은 편지함으로 들어오는 송금 요청을 다시 확인하는 것이 좋습니다.
중소기업으로서 무엇을 할 수 있습니까?
직원 교육
피싱 공격으로부터 비즈니스를 보호하는 핵심은 직원이 적절하게 교육을 받았는지 확인하는 것입니다. 피싱 시도가 성공한 이유는 인적 오류 때문입니다. 직원에게 피싱 공격, 탐지 방법 및 발생 시 대처 방법에 대한 올바른 지침을 제공하는 것은 조직의 CEO 또는 소유자의 책임입니다.
보안 및 인식의 문화를 조성하고 직원이 올바른 지식을 갖도록 하는 것은 일부 사용자가 재택근무를 할 때 특히 중요합니다. 이러한 환경에서는 가시성과 통제력이 떨어지기 때문입니다.
보안 정책은 이 지침을 전달하고 직원이 직원 온보딩 프로세스의 일부가 될 수 있도록 직원이 읽고 이해할 수 있도록 하는 좋은 방법입니다. 사이버 보안 연습은 이 지식을 테스트하는 좋은 방법이기도 합니다. NCSC의 '상자 속의 연습'과 같이 무료로 사용할 수 있는 온라인 연습이 많이 있습니다. 한 달에 몇 달러로 다른 회사에서 직원의 응답을 추적할 수 있는 피싱 시뮬레이션과 같은 보안 교육을 제공할 수 있습니다.
액세스 제어
회사 전체에서 계정 권한을 줄임으로써 해커가 악용할 수 있는 중요한 진입점의 수를 제한하는 데 도움이 됩니다. 직원은 자신의 직무를 수행하는 데 필요한 정보에만 액세스할 수 있어야 합니다.
그렇게 하면 사이버 범죄자가 자신의 계정을 해킹하는 경우 비즈니스의 모든 민감한 데이터에 액세스할 수 없으며 위반을 억제할 수 있습니다. 관리자 계정은 최상위 관리용으로 예약해야 합니다. 위반으로부터 계정을 더욱 보호하려면 암호 보안을 철저히 하고 다단계 인증이 활성화되어 있는지 확인하십시오.
데이터 백업
조직 내의 모든 민감한 데이터를 정기적으로 백업한다는 것은 해커가 피싱 시도를 통해 액세스 권한을 얻었다고 해서 모든 데이터가 손실되는 것은 아님을 의미합니다. 이상적으로는 백업 전략이 3개의 복사본이라는 모범 사례를 충족해야 합니다. 2개는 다른 미디어에, 1개는 오프사이트에 저장하고 모든 백업은 추가 보안을 위해 암호화해야 합니다. 클라우드 제공업체 또는 외부 드라이브를 사용하여 백업하도록 선택할 수 있지만 어떤 방법을 사용하든 정기적으로 모니터링하여 복구가 가능한지 확인해야 합니다.
보안 소프트웨어
보안 소프트웨어를 항상 최신 상태로 유지하는 것은 침해 및 피싱 공격으로부터 보호하기 위한 필수 사항입니다. 이들은 종종 자동으로 업데이트되도록 설정되지만 항상 최신 패치를 확인할 가치가 있습니다. 직원 교육이 피싱 공격 예방에서 가장 큰 역할을 하지만, 아무리 많은 교육과 사이버 경계를 하고 있더라도 사람이 올바르게 공격할 수 있다고 항상 보장할 수는 없기 때문에 추가 보호 장치가 유용합니다.
타사 보안 솔루션을 구현하여 백그라운드에서 작동하여 사용자의 이메일 활동, 로그인 시도 및 파일 다운로드를 모니터링할 수 있으므로 이상 또는 침해된 계정을 신속하게 찾고 보고할 수 있습니다. 이는 회사 직원이 실수를 해도 재앙이 되지 않도록 안전망을 만드는 데 도움이 될 수 있습니다.
결론
피싱 공격으로부터 조직을 보호하는 데 비용이 많이 들거나 시간이 많이 소요될 필요는 없지만 중소기업이 계층화된 접근 방식을 취하는 것이 중요하므로 직원이 올바른 교육을 받고 추가 구축을 위해 소프트웨어를 적절하게 관리 및 구성할 수 있습니다. 당신의 방어.
이에 대한 생각이 있습니까? 의견에 아래로 알려주거나 Twitter 또는 Facebook으로 토론을 진행하십시오.