Ajándékozz éves hvg360 előfizetést!Átjáróházak a magyar cégek – fizikailag és digitálisan is
Elképesztően alacsony a magyar nagyvállalatok fenyegetettségtudata, idegenek teljesen szabadon grasszálhatnak a cégeknél azonosítás nélkül. A KPMG számos hazai nagyvállalat, köztük bizalmas adatokat kezelő pénzintézetek és mobilcégek megbízásából végzett behatolási kísérleteket, és az esetek döntő többségében több egyszerű módszerrel is sikerrel járt. A kukákban több esetben is kifejezetten bizalmas céges iratokat találtak a tesztemberek.
Social engineering-vizsgálat – így hívják azt a módszert, amelynek alkalmazásával a cégvezetők felmérhetik, hogy vállalatuk biztonsági rendszerei hogyan működnek. „Magyarországon nagyon rosszul” – összegzi tapasztalatait Sallai György, a KPMG social engineering-vizsgálatokat végző üzletágának vezetője.
A KPMG az elmúlt években több tucat nagyvállalat, köztük bankok és telekomcégek megbízásából ellenőrizte e vállalatok biztonsági rendszereit ezzel a módszerrel. A tapasztalatok nagyon rosszak. „Eddigi munkáink során nem találtunk olyan céget, ahová ne tudtunk volna személyesen bejutni anélkül, hogy azonosítottuk volna magunkat” – mondja Sallai György. Nem problémamentes az azonosítás utáni bejutás sem, mert a belépőkártyát minden esetben sikerült elhozni a cégektől, és soha nem fordult elő, hogy egy héttel később ugyanazzal a kártyával ne lehetett volna bejutni az épületbe.
| Nem érzik a veszélyt a cégek |
„A támadások kivédése nem működhet anélkül, hogy a cégvezetés és a munkatársak ne éreznék át a külső fenyegetettség súlyát” – mondja a KPMG üzletágvezetője. A menedzsment – főleg egy social engeneering-vizsgálat után – általában megérti, hogy milyen könnyű a szervezetből és a rendszerekből olyan információkat szerezni, amelyek ténylegesen nagy kárt okozhatnak a vállalatnak. Sallai György tapasztalatai szerint azonban sokszor még ezután is alulértékelik az esemény bekövetkeztének valószínűségét, vagy sajnálják a ráfordítást, ami egy komplex vállalati biztonsági rendszer megtervezéséhez és bevezetéséhez szükséges. A fenyegetettség érzetének megteremtése és a munkatársak felkészítése a helyes eljárásokra valóban időigényes folyamat, ami a munkáltató oldalán ráfordításként jelenik meg. „Az a tapasztalatunk, hogy ezt a ráfordítást az első káresemény bekövetkeztéig nem biztosítási kiadásként élik meg a cégvezetők, jóllehet ez a befektetés semmi másra nem hasonlít jobban” – mondja Sallai György. |
Ha már bent voltak, körülnéztek a szemetesekben is, és minden alkalommal találtak bizalmasnak minősülő iratokat, de az esetek 80 százalékában más úton is hozzájutottak bizalmas dokumentumokhoz. Az esetek 90 százalékában sikerült működő mobileszközt elhelyezniük az épületben, és ezek felén keresztül később sikerült is rácsatlakozni a belső hálózatra.
A csoport nemcsak ezt vizsgálja, hanem azt is, hogy az alkalmazottak hogyan viselkednek külső megkeresések alkalmával. „Mobilszámokat szinte mindig sikerült némi telefonálgatás útján megszereznünk, de az esetek 40 százalékában elértük, hogy valaki bizalmas dokumentumot küldjön külső e-mail címre, és a hívások egyötöde zárult azzal, hogy megkaptuk valakinek a hálózati jelszavát” – mondja Sallai György, hozzátéve, hogy ez talán a legsúlyosabb tapasztalatuk.
A vállalati biztonság egyik legjobb fokmérője azonban mégsem ez, hanem az, hogy egy kívülről bejuttatott adathordozót (CD-t, pendrive-ot) hányan csatlakoztatnak a benti hálózaton. A KPMG tapasztalata szerint a tárgyalókban, itt-ott „véletlenül” elhagyott adathordozókat 50 százalékban csatlakoztatják a rendszerhez a megtalálók, a postán, személyre szabottan beküldötteknél pedig a csatlakozási arány 80 százalékos. „Márpedig ezeken a kütyükön bármilyen kémszoftver lehetne, sőt van is, hiszen innen tudjuk, hogy melyiket hányszor alkalmazták” – mondja Sallai György.
Ami a tényleges külső támadásokat illeti, 2012-ben a social engineering és az adathalász jellegű támadások a KPMG nemzetközi felmérése szerint a cégeket világszerte elérő külső támadásoknak mindössze 1-1 százalékát tették ki, de a jelenség így is veszélyes. Az ilyen támadások 48 százaléka ugyanis bankkártyaadatok megszerzésére, 42 százaléka felhasználónevek és jelszavak megszerzésére irányul, amelyekkel azután újabb visszaéléseket lehet kívülről elkövetni. A támadások 4 százaléka során a személyes adatok kerülnek célkeresztbe, és csak a fennmaradó 1-2 százalék célja üzleti információ megszerzése.
