Dezinformace mohou být klíčem k útoku na firemní infrastrukturu

Myšlenka dezinformací jako kybernetické hrozby pravděpodobně zatím nedostala do popředí zájmu mnoha CISO. Ve skutečnosti by Vennův diagram nevykazoval žádné překrývání „dezinformací“ se slovy „CISO“ nebo „kybernetická hrozba“, zejména ve Spojených státech. Přesto zde dochází k významnému překrývání a CISO budou mít dobré předpoklady k tomu, aby se dostali o krok vpřed.

Jen pár společností označilo dezinformace za hrozbu. CSO společnosti Recorded Future Gavin Reid poznamenává, jak někteří aktivističtí generální ředitelé podnikají kroky k řešení politizace dezinformací, protože společnosti hledají třetí strany, aby lépe pochopily, jak čelit příchodu dezinformací namířených na jejich subjekt nebo ovlivňujících jednání zaměstnanců.

Výzvou pro CISO je reakce na dezinformace

Tuto perspektivu sdílí Armaan Mahbod, ředitel pro boj proti vnitřním hrozbám, bezpečnosti a obchodního zpravodajství ve společnosti DTEX Systems. „Sdílení dezinformací/dezinformací se děje neustále, bez ohledu na to, zda jsou za tímto činem pozitivní nebo negativní záměry a výsledky,“ říká. „Pro vedoucí pracovníky a organizace je náročné tyto informace vyvracet, protože často nemají přehled o tom, co by se dokonce mohlo sdílet, takže si neuvědomují, že je potřeba reagovat.“

„Kromě nedostatku viditelnosti se mnoho vedoucích organizací snaží odpovědět na základní otázky o svém podniku a svém týmu tak, jak je, včetně: Kdo jsou moji zaměstnanci a kde jsou? Jak vlastně můj podnik funguje? Jak aktivní je podnik (tj. regionálně, po stránce oddělení atd.)? A na další tisíce podrobnějších a detailnějších otázek týkajících se společností, které hrají roli v celkovém postavení organizace v oblasti kybernetické bezpečnosti,“ pokračuje Mahbod.

Adam Flatley, ředitel zpravodajství o hrozbách ve společnosti Redacted, vnímá, že výzva pro CISO spočívá v tom, jak dezinformační kampaně mimo organizace „přivádějí své oběti k tomu, aby uvěřily určitým falešným narativům, vrážejí klíny mezi ně a ty, kteří poskytují opačné faktické informace, a přivádějí je k závislosti na informacíh, které podporují jejich potvrzovací zaujatost.“

Flatley pokračuje, že „další úrovní nebezpečí pro CISO je, když tato závislost na potvrzovací zaujatosti při poskytování informací skutečně zapustí své háčky do obětí (zaměstnanců). Zvyšuje pravděpodobnost, že budou klikat na phishingové e-maily, odkazy v textových zprávách a další typy návnad, které jsou přizpůsobeny tématu, po kterém touží, což může vést k odcizení přihlašovacích údajů nebo přímému zneužití.“

Dezinformace podporují příležitosti pro sociální inženýrství

Potom je tu oblast sociálního inženýrství, kterou musejí být jednotliví zaměstnanci připraveni odrážet a na kterou musí být CISO připraven. Škodliví aktéři sledují dezinformační bouře, ať už se týkají globálních témat nebo témat jedinečných pro danou entitu, a tito zloduši pak „budují image, kterým by podporovali on-line vztahy se svými oběťmi. 

Krmí je informacemi, které jimi nejen manipulují, ale budují důvěru, což je vede k tomu, že přirozeně navštěvují webové stránky, které jim poslal jejich ‚skutečně věřící přítel.‘ To vytváří kamarádství, díky kterému budou oběti pravděpodobněji otevírat soubory, které jim byly zaslány. Které mohou obsahovat malware,“ varuje Flatley. „

Ve skutečnosti, než oběti udělají krok k tomu, aby se staly zasvěcenou vnitřní hrozbou, mohly být zcela nevědomky použity ke kompromitaci sítě, což je pro aktéra hrozby mnohem snazší než skutečně naverbovat zlomyslného zasvěcence.“

Toto pozorování sdílí také Elsine Van Os, zakladatelka a generální ředitelka společnosti Signpost Six, která poznamenává, že afinita k potvrzujícímu narativu způsobí, že zaměstnanci budou zranitelnější vůči „kliknutí na e-maily, které je zajímají, a tím neúmyslně otevřou dveře pro malware do jejich organizace.“

Změna jako portál pro lokalizované dezinformace

Změna je další oblastí zájmu, kde interní zasílání zpráv může jít a často jde stranou, přičemž zvěsti létají organizací jako blesk. Van Os poznamenává, že „se změnami (a některé organizace procházejí neustálými změnami) často vidíte přicházet nedostatečnou komunikaci, neúplné, nepřesné nebo neaktuální informace a pak nedorozumění.“

Van Os pokračuje v tom, jak jsou CISO vyzýváni, aby řídili vnitřní riziko, když vedení má z nějakého důvodu pracovní sílu, která čelí „nenaplněným očekáváním a je klíčovým stresovým/rizikovým faktorem na kritické cestě k riziku zevnitř, a to zejména během reorganizací. Pro organizaci je velmi obtížné se v tomto problému orientovat, protože někdy pro zaměstnance prostě neexistují žádné uspokojivé výsledky, takže budete muset rizika řídit z back-endu.“

Vzhledem k tomu, že společnost Forrester předpovídá pro rok 2021 růst výzev v oblasti řízení interních rizik, je Van Os přesvědčena, že CISOS „je třeba se spojit s HR, zvláště když jsme svědky této velké rezignace. Tolik lidí odchází a drtivá většina si s sebou bere citlivá data.“