PCI DSS PA-DSS Статьи Блог Форум О Сообществе PCI DSS Russia Семинар


PCI DSS
Тэги
инцидент (371)
в мире (318)
исследования (293)
банки (246)
ДБО (240)
malware (176)
сообщество (114)
конференция (109)
статистика (100)
кража (95)
утечка данных (88)
digital security (77)
законодательство (58)
carders (54)
visa (47)
банкоматы (46)
соответствие (40)
mastercard (40)
pci dss (37)
phishing (35)
выполнение требований (31)
стандарт (29)
blackhat (25)
skimming (24)
pci ssc (18)
pci dss russia (18)
аудит (16)
pa-dss (16)
insider (15)
социальная инженерия (15)
dsecrg (14)
биометрия (13)
сертификация (12)
authentication (12)
pin (11)
вебинар (11)
публикации (9)
инфографика (6)
mobile (6)
пентест (5)
СТО БР ИББС (5)
oracle (4)
erp (4)
полезные советы (4)
cash (4)
область аудита (3)
шифрование (3)
обновления (3)
atm (3)
вредные советы (2)
документация (2)
sap (2)
бизнес-приложения (2)
owasp (2)
asv (1)
итоги (1)
мнение (1)
фишинг (1)
банк (1)
исследвания (1)
конференции (1)
Урасльский форум (1)
Самые комментируемые за месяцСамые комментируемые за месяц

Опросы
Где расположена ваша информационная инфраструктура?

В собственной серверной комнате
На арендованной площадке в дата-центре
В арендованной у дата-центра виртуальной среде

 
FAQ:
PCI DSS & PA-DSS


Что такое PCI DSS и PA-DSS? Ответы на главные вопросы.
Путь к соответствию PCI DSS

Выполнение требований стандарта и разработка компенсирующих мер.
Проверка
соответствия


Правила проверки соответствия компании требованиям стандартов и контакты тех, кто проверяет.
Копилка
полезностей


Здесь можно скачать стандарты PCI DSS и PA-DSS на русском языке и другие полезные материалы.
Главная Блог Блог

Необычный вектор социальной инженерии

С помощью взломанных или уведённых через фишинг почтовых аккаунтов в последнее время начали обворовывать банковские счета малого бизнеса. Технически схема крайне примитивна и редко приносит мошенникам больше пары тысяч долларов, зато такие атаки очень часто бывают успешными, так как эксплуатируют доверительные отношения между банком и клиентом.

В прошлом месяце некие творческие личности угнали личные почтовые аккаунты у троих разных клиентов Western National Bank (WNB), маленького банка, имеющего семь филиалов в Центральном и Западном Техасе. Во всех случаях воры могли убедиться, что жертва ранее вела электронную переписку с сотрудниками банка.

Далее мошенники сочинили вот такое письмо и послали его сотрудникам локальных филиалов WNB, с которыми работали их жертвы:

Доброе Утро,

Не могли бы Вы напомнить мне доступный баланс на моём счету и ещё информацию, нужную, чтобы совершить для меня сегодня исходящий банковский платёж,я еду сейчас на похороны своего племянника но я буду часто проверять свою почту, не ответили ли Вы.

Спасибо.

Уэйд Кюлер (Wade Kuehler), исполнительный вице-президент WNB, сказал, что в двух случаях из трёх сотрудники банка решили отследить источник просьбы и даже проигнорировали для этого распоряжение не контактировать с клиентами по телефону. В обоих случаях клиенты были очень благодарны и сообщили, что они подобных писем не писали.

Зато в третьем случае воры сорвали куш, когда склонная к сопереживанию девушка-менеджер банка выслала им в ответ запрошенную информацию о балансе. Воры в ответ на письмо выслали запрос о переводе денег на счёт в другом банке, и менеджер была рада помочь.

Кюлер сказал, что WNB принимает на себя ответственность за кражу, масштаб которой он назвал «маленьким», и что сотрудница заслуживает дисциплинарного взыскания. «Конкретно этот клиент действительно имел [опыт общения по электронной почте] с менеджером, которая считала, что делает свою работу – заботится о клиенте».

Кюлер также добавил, что он слышал от других банков – а именно от других маленьких региональных финансовых организаций – что они в последнее время подвергались таким же атакам.

«Общая схема состоит в том, что взламываются легитимные аккаунты, – сказал он. – А потом хакер пишет письма всем в адресной книге, кто похож на представителя банка».

Дж.Б. Снайдер (JB Snyder), принципал и управляющий компании Bancsec, которая специализируется на сетевой безопасности и тестировании на проникновение для банков, сказал, что эти атаки – даже выполненные так топорно, как описано выше – работают и будут работать, так как эксплуатируют старейшую и самую надёжную дыру в безопасности – доверительные отношения. Именно это называется «социальной инженерией».

«Это безумие, но даже такая тупая схема приносят доход, – сказал Снайдер. – Нам это известно на опыте. Ключевой момент здесь в том, что огромная доля бизнеса сегодня делается исключительно посредством электронной почты без какой-либо иной проверки подлинности, что открывает неограниченные возможности».

Что касается угона аккаунтов, то это обычно делается с помощью фишинга, вирусов, угадывания паролей брутфорсом или атак методом холодной перезагрузки. Поэтому, как известно, не стоит переходить по подозрительным ссылкам в почте, вводить аутентификационные данные, если вы не уверены в правильности адреса страницы входа, и пользоваться простыми паролями, которые легко угадать.

Источник: KrebsonSecurity
инцидент | социальная инженерия
КомментарииКомментарии

Добавьте комментарий!
Представьтесь, пожалуйста
Укажите адрес вашей почты
Опубликован не будет
Следить за дискуссией по почте
 











Партнеры