NIS2 în transport: măsuri de securitate cibernetică

Introducere

Dependența crescândă de infrastructura digitală în diverse sectoare a crescut exponențial riscul amenințărilor cibernetice. Aceste amenințări pot duce la consecințe catastrofale dacă nu sunt gestionate adecvat, în special în serviciile esențiale. Atacurile cibernetice pot perturba operațiunile critice, compromite date sensibile și provoca daune financiare și reputaționale. Directiva NIS 2 încearcă să abordeze aceste riscuri prin mandatul unor măsuri robuste de securitate cibernetică în sectoarele critice.

Serviciile esențiale, cum ar fi energia, transportul, sectorul bancar și sănătatea, sunt coloana vertebrală a societății moderne. Perturbarea lor poate avea consecințe de amploare, afectând nu doar sectorul imediat, ci și economia și siguranța publică. Pe măsură ce amenințările cibernetice devin mai sofisticate, este crucial să implementăm strategii cuprinzătoare de securitate cibernetică pentru a proteja aceste servicii de potențiale atacuri.

Acest document își propune să sublinieze importanța implementării acestor măsuri prin examinarea amenințărilor potențiale și a impactului lor asupra serviciilor esențiale. Înțelegând riscurile și măsurile necesare de securitate cibernetică, putem proteja mai bine infrastructura critică și asigura continuitatea serviciilor esențiale.

Prezentare generală a Directivei NIS 2

Directiva privind rețelele și sistemele informatice (NIS) 2 este o piesă cheie a legislației Uniunii Europene concepută pentru a îmbunătăți securitatea cibernetică a infrastructurii critice. Aceasta extinde domeniul de aplicare al Directivei NIS originale, crescând obligațiile pentru statele membre și operatorii de servicii esențiale pentru a-și spori capacitățile de securitate cibernetică.

Obiectivele cheie ale Directivei NIS 2

  • Întărirea securității cibernetice: Îmbunătățirea securității rețelelor și sistemelor informatice în întreaga UE.
  • Creșterea cooperării: Îmbunătățirea cooperării între statele membre și Agenția Uniunii Europene pentru Securitatea Cibernetică (ENISA).
  • Armonizarea reglementărilor: Asigurarea unor cerințe consistente de securitate cibernetică în toate statele membre.
  • Îmbunătățirea raportării incidentelor: Stabilirea raportării obligatorii a incidentelor cibernetice semnificative către autoritățile relevante.

Prevederi cheie

  • Domeniu extins: Include sectoare suplimentare, cum ar fi sănătatea, infrastructura digitală și spațiul.
  • Managementul riscurilor: Solicită operatorilor să adopte practici de management al riscurilor, inclusiv măsuri tehnice și organizatorice.
  • Răspuns la incidente: Mandatează dezvoltarea și implementarea planurilor de răspuns la incidente.
  • Securitatea lanțului de aprovizionare: Pune accent pe necesitatea de a aborda riscurile de securitate cibernetică în lanțul de aprovizionare.

Servicii esențiale și amenințări cibernetice potențiale

  • Energie
  • Transport
  • Bănci
  • Infrastructuri de piață financiară
  • Sectorul sănătății
  • Alimentarea și distribuția apei potabile
  • Infrastructura digitală
  • Administrația publică
  • Spațiu

Transport

Descriere:

Sectorul de transport implică deplasarea persoanelor și mărfurilor prin aer, cale ferată, drum și mare. Include sisteme precum controlul traficului aerian, semnalizarea feroviară și navigația maritimă.

Amenințări Cibernetice Potențiale:

  1. Disruptia Controlului Traficului Aerian:
    • Descriere: Atacurile cibernetice pot întârzia zborurile, provoca anulări și potențial duce la accidente.
    • Impact: Afectează siguranța pasagerilor, provoacă pierderi economice pentru companiile aeriene și poate duce la haos pe aeroporturi.
    • Exemple: Atacuri DDoS (Distributed Denial of Service) asupra sistemelor de control al traficului aerian, cum ar fi incidentul FAA din SUA în 2015.
  2. Eșecuri ale Sistemelor de Semnalizare Feroviară:
    • Descriere: Hacking-ul sistemelor de semnalizare poate provoca coliziuni de trenuri și deraieri, ducând la pierderi semnificative de vieți și bunuri.
    • Impact: Risc major pentru siguranța pasagerilor și a personalului, pierderi economice și întreruperi în transportul feroviar.
    • Exemple: Atacuri asupra sistemelor de semnalizare feroviară, cum ar fi atacul cibernetic asupra căilor ferate poloneze din 2022.
  3. Compromiterea Sistemelor de Navigație Maritimă:
    • Descriere: Compromiterea sistemelor de navigație poate duce la coliziuni de nave sau eșuări, perturbând lanțurile globale de aprovizionare.
    • Impact: Afectează comerțul internațional, poate provoca deversări de petrol și alte incidente de mediu, și pune în pericol viețile echipajelor.
    • Exemple: Atacuri cibernetice asupra sistemelor GPS ale navelor, cum ar fi incidentele raportate în Strâmtoarea Hormuz.
  4. Hacking-ul Sistemelor de Transport Public:
    • Descriere: Atacurile asupra sistemelor de transport public pot perturba serviciile și pot reprezenta riscuri pentru siguranța pasagerilor.
    • Impact: Provoacă întârzieri și anulări, afectează mobilitatea zilnică a mii de persoane și poate crea panică în rândul publicului.
    • Exemple: Atacuri ransomware asupra sistemelor de bilete sau control al trenurilor de metrou, cum ar fi incidentul din San Francisco Muni în 2016.

Strategii de Atenuare:

  • Sisteme de Monitorizare și Răspuns: Implementarea de sisteme avansate de monitorizare pentru detectarea și răspunsul în timp real la amenințări.
  • Audituri de Securitate și Teste de Penetrare: Efectuarea regulată de audituri de securitate și teste de penetrare pentru a identifica și remedia vulnerabilitățile.
  • Planificarea Răspunsului la Incidente: Dezvoltarea și actualizarea periodică a planurilor de răspuns la incidente pentru a asigura răspunsuri rapide și eficiente la incidentele cibernetice.
  • Colaborare și Schimb de informații: Promovarea colaborării între operatorii de transport și agențiile guvernamentale pentru a partaja informații despre amenințări și bune practici.
  • Protecția Infrastructurilor Critice: Consolidarea măsurilor de protecție a infrastructurilor critice, cum ar fi controlul accesului și criptarea comunicațiilor.

Prin înțelegerea acestor amenințări potențiale și implementarea unor strategii robuste de atenuare, sectorul de transport poate spori reziliența împotriva atacurilor cibernetice și poate asigura furnizarea continuă a serviciilor esențiale.

Consultanță și audit în vederea implementării Directivei NIS
Audit de securitate web și rețea (Pentesting)

NIS2 în energie: măsurile de securitate cibernetică

Introducere

Dependența crescândă de infrastructura digitală în diverse sectoare a crescut exponențial riscul amenințărilor cibernetice. Aceste amenințări pot duce la consecințe catastrofale dacă nu sunt gestionate adecvat, în special în serviciile esențiale. Atacurile cibernetice pot perturba operațiunile critice, compromite date sensibile și provoca daune financiare și reputaționale. Directiva NIS 2 încearcă să abordeze aceste riscuri prin mandatul unor măsuri robuste de securitate cibernetică în sectoarele critice.

Serviciile esențiale, cum ar fi energia, transportul, sectorul bancar și sănătatea, sunt coloana vertebrală a societății moderne. Perturbarea lor poate avea consecințe de amploare, afectând nu doar sectorul imediat, ci și economia și siguranța publică. Pe măsură ce amenințările cibernetice devin mai sofisticate, este crucial să implementăm strategii cuprinzătoare de securitate cibernetică pentru a proteja aceste servicii de potențiale atacuri.

Acest document își propune să sublinieze importanța implementării acestor măsuri prin examinarea amenințărilor potențiale și a impactului lor asupra serviciilor esențiale. Înțelegând riscurile și măsurile necesare de securitate cibernetică, putem proteja mai bine infrastructura critică și asigura continuitatea serviciilor esențiale.

Prezentare generală a Directivei NIS 2

Directiva privind rețelele și sistemele informatice (NIS) 2 este o piesă cheie a legislației Uniunii Europene concepută pentru a îmbunătăți securitatea cibernetică a infrastructurii critice. Aceasta extinde domeniul de aplicare al Directivei NIS originale, crescând obligațiile pentru statele membre și operatorii de servicii esențiale pentru a-și spori capacitățile de securitate cibernetică.

Obiectivele cheie ale Directivei NIS 2

  • Întărirea securității cibernetice: Îmbunătățirea securității rețelelor și sistemelor informatice în întreaga UE.
  • Creșterea cooperării: Îmbunătățirea cooperării între statele membre și Agenția Uniunii Europene pentru Securitatea Cibernetică (ENISA).
  • Armonizarea reglementărilor: Asigurarea unor cerințe consistente de securitate cibernetică în toate statele membre.
  • Îmbunătățirea raportării incidentelor: Stabilirea raportării obligatorii a incidentelor cibernetice semnificative către autoritățile relevante.

Prevederi cheie

  • Domeniu extins: Include sectoare suplimentare, cum ar fi sănătatea, infrastructura digitală și spațiul.
  • Managementul riscurilor: Solicită operatorilor să adopte practici de management al riscurilor, inclusiv măsuri tehnice și organizatorice.
  • Răspuns la incidente: Mandatează dezvoltarea și implementarea planurilor de răspuns la incidente.
  • Securitatea lanțului de aprovizionare: Pune accent pe necesitatea de a aborda riscurile de securitate cibernetică în lanțul de aprovizionare.

Servicii esențiale și amenințări cibernetice potențiale

  • Energie
  • Transport
  • Bănci
  • Infrastructuri de piață financiară
  • Sectorul sănătății
  • Alimentarea și distribuția apei potabile
  • Infrastructura digitală
  • Administrația publică
  • Spațiu

Energie

Descriere:

Sectorul energetic cuprinde producția, transmiterea și distribuția de electricitate, petrol și gaze naturale. Este fundamental pentru funcționarea tuturor celorlalte sectoare.

Amenințări cibernetice potențiale:

  1. Întreruperea Rețelei Electrice:
    • Descriere: Atacurile asupra sistemelor de control, cum ar fi sistemele SCADA (Supervisory Control and Data Acquisition), pot provoca pene de curent extinse.
    • Impact: Afectează locuințele, afacerile și serviciile critice precum spitalele și răspunsul de urgență, ducând la haos economic și social.
    • Exemple: Atacul din 2015 asupra rețelei electrice din Ucraina de către grupul Sandworm, care a provocat pene de curent extinse.
  2. Perturbări ale conductelor de Petrol și Gaze:
    • Descriere: Intrările cibernetice pot opri funcționarea conductelor prin țintirea sistemelor de control industrial (ICS), ducând la deficite semnificative de aprovizionare și pierderi economice.
    • Impact: Perturbă aprovizionarea cu combustibil a industriilor, transportului și locuințelor, provocând instabilitate economică și riscuri de mediu.
    • Exemple: Atacul ransomware asupra conductei Colonial în 2021, care a perturbat aprovizionarea cu combustibil în toată partea de est a Statelor Unite.
  3. Breșe de securitate la Centrale Nucleare:
    • Descriere: Compromiterea facilităților nucleare poate duce la accesul neautorizat la sistemele critice, rezultând potențial în eliberări periculoase de radiații.
    • Impact: Riscuri severe pentru sănătate și mediu, contaminare pe termen lung și pierderea încrederii publicului în siguranța nucleară.
    • Exemple: Viermele Stuxnet, care a țintit facilitățile nucleare ale Iranului, evidențiind vulnerabilitățile în securitatea nucleară.
  4. Atacuri asupra lanțului de Aprovizionare Energetică:
    • Descriere: Țintirea lanțului de aprovizionare poate perturba livrarea resurselor esențiale precum combustibil și echipamente, paralizând producția și distribuția de energie.
    • Impact: Provoacă întârzieri și deficite în aprovizionarea cu energie, afectând toate sectoarele dependente și ducând potențial la eșecuri în cascadă.
    • Exemple: Atacuri asupra furnizorilor și vânzătorilor terți, cum ar fi hack-ul SolarWinds, care a demonstrat potențialul vulnerabilităților lanțului de aprovizionare de a fi exploatate.

Strategii de Atenuare:

  • Monitorizare și Răspuns la incidente de securitate cibernetică: Implementarea de sisteme avansate de monitorizare pentru a detecta și răspunde la amenințări în timp real.
  • Audituri de securitate și Teste de penetrare: Efectuarea regulată de audituri de securitate și teste de penetrare pentru a identifica și aborda vulnerabilitățile.
  • Securitatea lanțului de aprovizionare: Consolidarea securității operațiunilor lanțului de aprovizionare prin verificarea strictă a furnizorilor și monitorizare continuă.
  • Planificarea răspunsului la incidente: Dezvoltarea și actualizarea regulată a planurilor de răspuns la incidente pentru a asigura răspunsuri rapide și eficiente la incidentele cibernetice.
  • Colaborare și schimb de informații: Promovarea colaborării între părțile interesate din industrie și agențiile guvernamentale pentru a partaja informații despre amenințări și bune practici.

Prin înțelegerea acestor amenințări potențiale și implementarea unor strategii robuste de atenuare, sectorul energetic poate spori reziliența împotriva atacurilor cibernetice și poate asigura furnizarea continuă a serviciilor esențiale.

Consultanță și audit în vederea implementării Directivei NIS
Audit de securitate web și rețea (Pentesting)

Evoluția fraudelor financiare online: ce le-am arătat viitorilor juriști

,

Articol publicat în aprilie 2024, după Săptămâna Masteratelor de la Facultatea de Drept a Universității „Alexandru Ioan Cuza” din Iași.

Fraudele financiare online evoluează rapid: de la mesaje de phishing grosolane la platforme de investiții false, cu reclame plătite, site-uri credibile și „consultanți” care sună victima. La Săptămâna Masteratelor organizată de Asociația Studenților la Drept Iași, ProDefence a prezentat studenților o parte din munca investigatorilor de infracțiuni informatice, cu accent pe legătura dintre aspectele juridice și cele tehnice.

Pe scurt

  • Fraudele cu investiții false sunt printre cele mai costisitoare forme de fraudă online.
  • Analiza „Febra investitorului” arată pas cu pas cum funcționează aceste scheme.
  • Viitorii juriști au nevoie să înțeleagă cum se desfășoară o investigație informatică.
  • Colaborarea dintre specialiștii tehnici și cei juridici este esențială în astfel de cazuri.

Ce arată cazurile recente

Prezentările despre securitate cibernetică și infracțiuni informatice stârnesc mereu curiozitatea: cazuri, investigații, victime, sume și autori. Tendințele observate în cazurile recente sunt:

  • profesionalizarea fraudei: echipe organizate, cu roluri distincte (marketing, „consultanți”, spălarea banilor);
  • credibilitatea aparentă: site-uri bine făcute, reclame pe rețele sociale, recenzii false, uneori imaginea unor persoane publice;
  • presiunea psihologică: câștiguri inițiale afișate pe platformă, apoi cereri de „taxe” pentru retragere;
  • revictimizarea: aceleași grupuri revin cu oferte de „recuperare a banilor”.

Analiza detaliată a unui astfel de caz este prezentată în articolul Febra investitorului: fraudele financiare prin investiții, recomandat tuturor utilizatorilor de internet.

De ce contează pentru viitorii juriști

Diseminarea acestor informații educă publicul larg, dar este esențială mai ales pentru cei care se pregătesc pentru o carieră juridică. Avocații, magistrații și ceilalți profesioniști ai dreptului trebuie să poată interpreta și aplica legea în cazuri cu componentă informatică: să înțeleagă ce este o adresă IP, ce înseamnă un jurnal de acces sau cum se urmăresc fondurile transferate în criptomonede. În plus, competențele în securitate cibernetică sunt tot mai căutate pe piața muncii.

Colaborarea dintre juridic și tehnic

Importanța acestei colaborări nu poate fi subliniată îndeajuns. Un caz de fraudă informatică se construiește din probe tehnice, dar se judecă în termeni juridici. Fără o punte între cele două, informațiile valoroase se pierd.

Cu aceeași ocazie, echipa Direcției Generale Anticorupție (DGA), Serviciul Județean Anticorupție Iași, a susținut o prezentare cu informații extrem de importante.

Mulțumiri

Mulțumim domnului inspector principal de poliție Florin Ionuț Zaborilă, coordonatorul Compartimentului Investigații Infracțiuni Informatice din IPJ Iași, pentru colaborarea permanentă și pentru implicarea în diseminarea avertizărilor despre pericolele din mediul online. Mulțumim organizatorilor și Universității „Alexandru Ioan Cuza” din Iași pentru invitație.

Ați fost victima unei fraude?

Anunțați imediat banca și sesizați poliția. Pentru documentarea tehnică a cazului, ProDefence oferă analiza fraudelor electronice și a fișierelor suspecte și sprijin în cazurile de infracțiuni informatice.

Febra investitorului: fraudele prin investiții

O particularitate a fraudei financiare actuale este capacitatea infractorilor de a se adapta rapid la noile tehnologii și tendințe. În contextul unei lumi tot mai conectate, unde tot mai multe tranzacții se desfășoară online, infractorii au dezvoltat abilitatea de a exploata rapid orice vulnerabilitate. Aceasta include folosirea rețelelor sociale pentru a răspândi scheme de investiții false, compromiterea securității aplicațiilor mobile pentru acces neautorizat la conturi bancare și chiar exploatarea tehnologiilor emergente, cum ar fi criptomoneda și blockchain-ul, pentru a concepe noi tipuri de escrocherii.

Citește mai mult

Analiza unei vulnerabilități: Banca Națională a României

Analiză publicată în aprilie 2023. Documentul complet este disponibil mai jos, în format PDF.

Analiza de mai jos pornește de la o vulnerabilitate identificată în infrastructura Băncii Naționale a României și arată impactul probabil al unei astfel de probleme asupra unei instituții sau a unei companii. Ideea centrală: vulnerabilitățile considerate „risc acceptabil”, pentru că nu afectează direct sistemele principale, pot deveni puncte de plecare pentru atacuri serioase.

Pe scurt

  • Infractorii cibernetici caută permanent vulnerabilități în infrastructurile critice: financiar, transport, energie.
  • O vulnerabilitate aparent minoră poate oferi acces spre zone confidențiale sau poate fi folosită în atacuri de imagine și phishing.
  • Specialiștii din instituțiile publice și din echipele de securitate detectează și remediază astfel de probleme, dar raportarea lor trebuie tratată serios.
  • Documentul PDF prezintă vulnerabilitatea și impactul probabil.

De ce contează vulnerabilitățile „minore”

Dependența de tehnologie a crescut, iar odată cu ea expunerea la riscuri. Odată ce găsesc o vulnerabilitate, atacatorii pot accesa zone confidențiale, pot compromite informații sau pot produce pagube semnificative.

Uneori, organizațiile ignoră o vulnerabilitate despre care au fost informate, fiindcă nu afectează direct sistemele principale, și o încadrează drept risc acceptabil. Analiza arată de ce această decizie trebuie luată pe baza unei evaluări reale a impactului, nu a unei impresii.

Rolul specialiștilor

Specialiștii în securitate cibernetică din instituțiile publice și din echipele dedicate lucrează pentru a detecta și remedia vulnerabilitățile din infrastructurile critice. Munca lor protejează economia și societatea, dar depinde de un proces clar prin care raportările sunt primite, evaluate și rezolvate.

Documentul complet

Analiza unei vulnerabilități: Banca Națională a României (PDF)

Descarcă documentul

Ce rămâne valabil azi

  • orice vulnerabilitate raportată trebuie evaluată după impactul posibil, nu după cât de departe pare de sistemele critice;
  • organizațiile au nevoie de o politică de divulgare responsabilă, prin care cercetătorii să poată raporta problemele în siguranță; ProDefence are propria politică de divulgare responsabilă;
  • entitățile din sectorul bancar intră sub NIS2, care cere gestionarea vulnerabilităților ca măsură obligatorie.

Securitatea cibernetică este o responsabilitate comună. Pentru identificarea vulnerabilităților înaintea atacatorilor, ProDefence oferă audit de securitate web și de rețea.

Clienții băncilor din România, ținte ale infractorilor cibernetici: analiza unui atac complex

Analiză publicată în august 2022, realizată de Alexandru Angheluș (ProDefence) și Oana Buzianu (Wintech). Documentul complet este disponibil mai jos.

Analiza descrie un atac de phishing bancar care viza clienții UniCredit, ProCredit și BCR din România printr-un domeniu cu subdomenii care imitau paginile de internet banking. Totul a pornit de la o singură informație observată pe o platformă de monitorizare: cuvântul „unicredit” într-o adresă suspectă.

Pe scurt

  • Sectorul financiar este afectat disproporționat, fiindcă oferă infractorilor acces direct la bani.
  • Paginile false creau o sesiune unică pentru fiecare victimă și reproduceau fidel resursele site-urilor bancare oficiale.
  • Domeniul era asociat public, din 2013, cu instrumentul de injectare web Yummba, capabil să intercepteze și codurile SMS de autentificare.
  • Serverul a fost mutat din Lituania în SUA în timpul analizei, semn că atacurile urmau să continue.
  • Concluzia: experții, băncile și clienții au fiecare un rol, iar educația clientului rămâne decisivă.

Contextul: de ce băncile sunt ținte

Societatea digitală are nevoie de servicii disponibile permanent și de protecția datelor sensibile. Deși atacurile vizează toate industriile, sectorul financiar este afectat disproporționat: infractorii știu că au acces la sume mari, care le finanțează mai departe activitatea. Multe decizii de securitate din bănci se iau după incidente reale sau după analize ale specialiștilor, de aceea astfel de rapoarte contează.

Cum a fost descoperit atacul

Pe o platformă publică de analiză a adreselor web a apărut o adresă care conținea „unicredit”, dar pe un domeniu străin. În memoria platformei era salvată chiar sesiunea de acces la pagina falsă, ceea ce a confirmat un atac de tip phishing care genera o sesiune distinctă pentru fiecare victimă.

Ce a arătat analiza

Un domeniu cu istoric

Căutările au legat domeniul de instrumentul Yummba, folosit pentru furtul sesiunilor de acces prin injectare web: introducerea de cod malițios în pagină sau de parametri în adresă, prin care atacatorul urmărește activitatea victimei. O analiză publicată în 2014 de Virus Bulletin arăta că, încă din 2013, același vânzător oferea o injectare capabilă să intercepteze mesajele SMS folosite la autentificarea în doi pași.

Mai multe bănci vizate

Subdomeniile găsite imitau UniCredit, ProCredit și BCR. Resursele încărcate de paginile false (stiluri, scripturi, logo) erau copiate de pe site-urile oficiale, ca imaginea să fie cât mai apropiată de cea reală.

Infrastructura

La începutul analizei, serverul era găzduit în Lituania; în timpul analizei, domeniul a fost mutat pe un server din SUA, cu subdomeniile păstrate.

Cine sunt atacatorii

Analiza distinge două categorii: cei care dețin aplicațiile malițioase și le vând, vând datele colectate sau golesc direct conturile, și cei care cumpără aplicația sau datele bancare pentru a extrage fonduri.

Documentul complet

Clientii-bancilor-din-Romania-tinte-ale-infractorilor-cibernetici

Ce rămâne valabil azi

  • phishingul bancar rămâne una dintre principalele căi de furt din conturi, iar interceptarea codurilor SMS nu este o noutate;
  • băncile trebuie să continue protecția clienților, dar clienții nu se pot baza doar pe bancă;
  • autentificarea prin aplicația băncii este mai sigură decât codurile SMS, iar orice cerere de „actualizare a datelor” prin link este suspectă.

Un caz similar, cu ocolirea autentificării în doi pași, este analizat în Phishingul bancar și ocolirea 2FA. Pentru analiza unei fraude sau a unui mesaj suspect, ProDefence oferă analiza fraudelor electronice.

MAE, ținta unui atac cibernetic: pagina falsă care imita serverul de e-mail al ministerului

Analiză publicată în august 2022. Informațiile au fost transmise atunci Directoratului Național de Securitate Cibernetică.

Analiza descrie o campanie de phishing îndreptată spre Ministerul Afacerilor Externe (MAE): o pagină falsă de autentificare imita serverul de e-mail al ministerului, iar linkul de atac conținea, codificată, adresa de e-mail a Ambasadei României din Armenia. Spre deosebire de majoritatea atacurilor, scopul nu era câștigul financiar, ci accesul în infrastructura ministerului.

Pe scurt

  • Primul indiciu: o creștere neobișnuită a scanărilor asupra subdomeniilor mae.ro pe o platformă publică de analiză a adreselor web.
  • Linkul folosea o redirecționare ascunsă și un subdomeniu scris cu caractere chirilice.
  • Pagina falsă era găzduită pe o platformă de aplicații web legitimă, trecea prin Cloudflare și își schimba portul la fiecare accesare.
  • Parametrul cu adresa ambasadei putea fi înlocuit cu orice altă adresă, deci atacul putea viza oricine din instituție.
  • Un cont de e-mail instituțional compromis permite phishing, distribuire de malware, extragere de informații și dezinformare în numele instituției.

Primele indicii

Monitorizarea constantă a evenimentelor de securitate a arătat, pe o platformă publică de analiză a adreselor web, o creștere semnificativă a scanărilor asupra subdomeniilor mae.ro. Atenția la detalii a făcut diferența: o adresă aparent legată de un domeniu cunoscut conținea parametri care redirecționau spre altceva.

Cum funcționa atacul

  • adresa de destinație folosea un subdomeniu cu un caracter din alfabetul chirilic, iar domeniul principal real nu era mae.ro;
  • un parametru criptat conținea adresa de e-mail a Ambasadei României din Armenia, ca pagina să pară personalizată;
  • victima era trecută printr-o adresă intermediară și ajungea pe o pagină falsă, fie o copie a primei pagini mae.ro cu formular de autentificare, fie o pagină simplă de server de e-mail;
  • la fiecare accesare se schimbau imaginea, subdomeniul și portul, ceea ce îngreuna blocarea.

Ce poate face atacatorul cu un cont de e-mail instituțional

Accesul la e-mail înseamnă mult mai mult decât citirea mesajelor. Atacatorul poate interacționa, în numele instituției, cu superiori, colegi, utilizatori și parteneri, și poate lansa:

  • noi atacuri de phishing, pentru alte conturi;
  • distribuirea de programe malițioase;
  • extragerea de informații de la colegi și parteneri;
  • fraude financiare;
  • propagarea de știri false.

Educație, profesionalism, etică

Succesul unui atac depinde de comportamentul utilizatorului înainte și în timpul atacului. Utilizatorul trebuie să își cunoască sistemele, să recunoască un atac sau măcar să reacționeze la o situație neobișnuită, să respecte politicile și procedurile și, dacă a greșit, să anunțe imediat departamentul responsabil. Ascunderea unui incident creează probleme mult mai mari.

Documentul complet

Phishing Ministerul Afacerilor Externe RomaniaDescarcă

Ce rămâne valabil azi

Atacurile care imită paginile de autentificare ale instituțiilor publice sunt la fel de frecvente. Instituțiile din administrația publică intră astăzi sub NIS2 și au obligația de a gestiona astfel de riscuri și de a notifica incidentele către DNSC. ProDefence oferă consultanță NIS2, cursuri pentru angajați și analiza mesajelor suspecte.

Phishingul bancar: propuneri de soluții pentru reducerea numărului de victime

Articol publicat în mai 2022, pe baza lucrării „Phishing-ul bancar: propuneri de soluții pentru diminuarea numărului de victime ale atacurilor cibernetice de tip phishing”, preluată de Directoratul Național de Securitate Cibernetică.

Phishingul bancar rămâne eficient pentru că exploatează încrederea clienților în banca lor: un mesaj care imită identitatea vizuală a băncii și invocă o „actualizare a contului” sau un „upgrade de securitate” convinge victima să își dea datele. Reducerea numărului de victime cere măsuri pe patru direcții: clienții, angajații băncilor, aplicațiile bancare și anchetatorii.

Pe scurt

  • Cu cât împărtășim mai multe date online, cu atât mai multe date de identificare și tranzacții sunt expuse.
  • De la primul atac raportat, în anii 1990, phishingul a evoluat spre metode de livrare tot mai sofisticate.
  • Atacatorii trec de la e-mail la rețele sociale și aplicații de mesagerie.
  • Educația este una dintre cele mai eficiente bariere, dar amenințarea nu poate fi eliminată complet.

Cum funcționează phishingul bancar

Sectorul financiar este una dintre principalele ținte ale infractorilor cibernetici. Aceștia folosesc phishingul pentru a ocoli protocoalele de securitate ale băncilor și se bazează pe inginerie socială:

  • scenarii credibile: actualizare de cont, blocare de card, „upgrade de securitate”;
  • imitarea identității băncii: logo, culori, imagini, ton al mesajelor;
  • pagini false care colectează datele de autentificare și ale cardului.

Ce soluții reduc numărul victimelor

Clienții

Clienții trebuie să înțeleagă impactul financiar real al unui atac reușit și să știe că banca nu le cere niciodată datele prin linkuri primite pe e-mail sau SMS.

Angajații băncilor

Angajații care transferă fonduri, gestionează date sensibile sau lucrează în zone cu risc operațional ridicat au nevoie de instruire suplimentară pentru capcanele mai sofisticate.

Aplicațiile bancare

Băncile trebuie să răspundă capacităților în schimbare ale atacatorilor cu aplicații mai sigure, capabile să recunoască mai repede schemele de phishing.

Anchetatorii

Personalul care investighează infracțiunile economico-financiare online trebuie să cunoască instrumentele folosite în atacuri și modul în care funcționează, pentru a atribui corect faptele și a propune contramăsuri eficiente.

Concluzii

Phishingul va fi greu de eliminat complet, din cauza rafinamentului atacurilor, a ingineriei sociale și a instrumentelor tehnice în continuă dezvoltare. Există un decalaj permanent între atacurile sofisticate și contramăsuri. Formarea continuă, tehnicile anti-phishing de detectare și blocare și o înțelegere clară a ciclului de viață al phishingului sunt cheia pentru reducerea pierderilor.

Referințe

Un caz real analizat de ProDefence: Phishingul bancar și ocolirea 2FA.

Atacurile DDoS din România: cum funcționează, cât costă și cum te aperi

Articol publicat în aprilie 2022, în contextul valului de atacuri DDoS asupra site-urilor din România. Principiile au rămas valabile.

Un atac DDoS (Distributed Denial of Service) blochează un site sau un serviciu prin trimiterea unui volum uriaș de cereri din multe surse simultan, până când serverul nu mai poate răspunde utilizatorilor reali. Nu cere un atacator foarte priceput: atacurile se cumpără ca serviciu. Impactul depinde însă de mecanismele de apărare ale țintei.

Pe scurt

  • Un atac DDoS are nevoie de patru lucruri: o țintă, un scop, un buget și dispozitive „sacrificabile”.
  • Atacurile se pot închiria ca serviciu, la prețuri de ordinul zecilor de dolari pe oră.
  • Sursele de trafic sunt servere compromise, dispozitive infectate (botnet) și liste de adrese IP „curate”.
  • Un site de prezentare pierde imagine; un magazin online pierde vânzări.
  • Protecția: servicii anti-DDoS, filtrare, limitări și un calcul prealabil al pierderilor posibile.

Ce îi trebuie unui atacator

  • o țintă clară: adresa sau serviciul vizat;
  • un scop: notorietate, un mesaj, pagube;
  • un buget: platforme DDoS, dispozitive infectate, echipamente, proxy-uri;
  • un „sacrificiu”: adresele IP folosite ajung pe liste negre și devin inutilizabile.

Bugetul: de unde vine traficul

DDoS ca serviciu

Atacurile se pot cumpăra de pe platforme specializate, plătind în funcție de tip, durată și putere. La momentul articolului, o oră de atac asupra unei adrese IP costa în jur de 10–35 de dolari. Mulți „atacatori” doar plătesc, apoi se laudă cu „atacul” lor.

Servere compromise

Atacatorii compromit servere vulnerabile, adesea prin angajați păcăliți, și instalează scripturi care le păstrează accesul. Serverele sunt apoi folosite pentru DDoS, distribuire de malware sau campanii de phishing, iar accesul este adesea vândut mai departe.

Dispozitive infectate (botnet)

Calculatoare, telefoane, routere, televizoare sau electrocasnice smart infectate așteaptă comenzile atacatorului, la fel ca „zombii” din filme. Un exemplu cunoscut este botnetul Mirai.

Echipamente și liste de adrese IP

Aplicațiile de atac se obțin ușor. Ce contează sunt adresele IP folosite: cele deja cunoscute ca malițioase sunt blocate de firewall-uri, deci atacatorul trebuie să cumpere liste de adrese „curate”.

Sacrificiul

În timpul unui atac, adresele folosite sunt identificate de mecanismele de apărare și introduse pe liste negre, preluate apoi de multe alte sisteme. Atacatorul știe că acele adrese nu vor mai putea fi folosite. Acest lucru este valabil însă numai dacă ținta are mecanisme de apărare.

Impactul unui atac DDoS

Impactul diferă de la o infrastructură la alta, în funcție de durata atacului și de apărare. Blocarea temporară a unui site de prezentare afectează imaginea și comunicarea; un magazin online nu poate vinde nimic cât durează atacul. Infrastructurile cu protecție implementată pot trece aproape neobservat prin atac, fiindcă traficul malițios este blocat sau redirecționat rapid.

Măsuri de protecție

  1. Echipamente sau servicii anti-DDoS: traficul trece prin infrastructura furnizorului, iar administratorul este doar notificat.
  2. Permisiuni și acces configurate corect, cu liste de adrese permise și blocate.
  3. Restricții sau limitări pe anumite intervale, în funcție de activitatea serviciului.
  4. Filtrare geografică: dacă serviciul se adresează doar utilizatorilor din România, restricția pe țară reduce mult expunerea.

Contraatacul asupra surselor de trafic nu este o opțiune pentru o organizație privată: este ilegal și ar afecta în primul rând dispozitivele compromise ale unor victime nevinovate.

Un scenariu realist: magazinul online

Un magazin online stă pe un server dedicat sau partajat, protejat de mecanisme automate ale furnizorului. La un atac DDoS, furnizorul poate suspenda tot serverul ca să protejeze restul infrastructurii. Dimineața, magazinul este offline, urmează mesaje și telefoane cu administratorul și echipa tehnică, iar în tot acest timp clienții cumpără din altă parte.

Calculul util se face dinainte: dacă, de exemplu, 10–15% dintre clienți vin din afara țării, cât pierzi lunar blocând accesul extern pe timp de noapte, comparativ cu una-două zile în care magazinul este complet indisponibil pentru toți clienții?

Concluzie

Numărul atacurilor cibernetice crește, deci măsurile trebuie stabilite înainte de incident: calculul pierderilor posibile și măsuri adaptate serviciilor oferite, impactului și bugetului. ProDefence oferă audit de securitate web și de rețea pentru evaluarea expunerii.

Sari la conținut