Sociální sítě jako zdroj uživatelských dat pro kyberzločince

Staré triky z dřevních dob počítačových sítí fungují i dnes. Zaměstnanci zveřejňují na internetu informace, které z nich dělají snadné cíle sociálního inženýrství a otevírají dveře do firemních sítí. Řešením je důsledná kontrola uživatelských účtů a práv.

Sociální sítě jsou bezpochyby výborný vynález. Pomáhají naplňovat přirozenou lidskou potřebu společenského kontaktu. Chování lidí na sociálních sítích ale může představovat ohrožení bezpečnosti IT. Uživatelé Facebooku nebo třeba Instagramu o sobě zveřejňují spoustu osobních údajů. Zároveň se chlubí informacemi, kde pracují, a co v práci dělají. Šikovný útočník dokáže tuto souhru využít k průniku do IT infrastruktury jejich zaměstnavatele. Cílem se může stát jakákoli firma. Ukázalo se to třeba během letních útoků na společnost Twitter.

Hackeři dokázali ovládnout účty známých lidí, jako byl třeba Bill Gates, Kim Kardashian nebo Barack Obama. Zveřejnili jejich jménem odkazy na bitcoinové peněženky se slibem, že kdokoliv na ně pošle své peníze, dostane nazpět dvojnásobek. Kdo to opravdu udělal, nedostal – pochopitelně – nic.

Hackerům se podařilo pomocí metod sociálního inženýrství přesvědčit telefonního operátora, že jeden ze zaměstnanců Twitteru ztratil mobil. Telefonní společnost jim dala novou SIM kartu, na kterou si nechali posílat jednorázová hesla a obešli tak dvoufázové ověření. (Známe ho třeba z placení kartou na internetu, když musíme zadávat kód, který nám přijde v SMS.) V podvodu hrály klíčovou roli údaje ze sociálních sítí.

Znamená to, že ani dvoufázové ověření neochrání datová centra nebo cloudová řešení před lidskou důvěřivostí. Problém je výraznější v poslední době, kdy spousta firem přechází na práci na dálku, a to nejen kvůli epidemii nemoci COVID-19. I když vynaloží peníze na vzdělávání zaměstnanců v kybernetické bezpečnosti, nemohou po nich dost dobře chtít, aby pečlivě kontrolovali každou přílohu nebo odkaz, které jim přijdou. Neudělali by pak žádnou práci. Zvlášť nešťastné je, pokud zaměstnanci používají směs firemních a vlastních zařízení.

Z hlediska ochrany dat je určitě lepší, když pracují jen na služebních telefonech a počítačích. Všichni uživatelé ve firemní síti musí mít práva jen k tomu, co opravdu potřebují dělat a k ničemu dalšímu. Platí to i o administrátorech. Když používají tzv. root účty, nedají se případné změny zpětně dohledat. Všechna činnost privilegovaných uživatelů musí být neustále monitorovaná a zaznamenávaná. Administrátorské účty mohou v případě zneužití způsobit mnohonásobně víc škody než účty běžných uživatelů. Proto jsou pro hackery lákavé.