Кібергігієна на робочому місці: як надійно вберегти свої дані та не стати жертвою вірусу

Коли бачиш у тексті "Петя", потребуєш на пояснення, про якого Петра йдеться. Але коли читаєш "Petya", уточнень не потрібно — назву цього шкідливого вірусу знає кожен, хто не ігнорує новини.

Petya/NotPetya — класичний приклад того, як неготовність IT-інфраструктури та порушення правил кібергігієни призводить до зупинки роботи підприємств і значні фінансові та репутаційні збитки. У 2016-2017 роках вірус атакував українські енергетичні компанії, банки, аеропорти, урядові сайти, метрополітен і так далі (у 2017-му — понад 1500 компаній).

І не тільки: хакерська атака зачепила банки та компанії Італії, Ізраїлю, Сербії, Угорщини, Румунії, Польщі, Аргентини, Чехії, Німеччини, Великої Британії, США, Данії, Нідерландів, Іспанії, Індії, Франції та Естонії. Водночас Білий Дім оцінює загальну грошову шкоду від дії цього сімейства вірусів у понад $10 млрд доларів США.

Труднощі засвоєння

Відтоді державні установи та компанії змінили (але це не точно) свій підхід до IT-загроз в цілому і кібергігієни своїх працівників зокрема.

Попри існування чітких і "написаних кіберкров’ю" правил, українські офісні робітники рік у рік стають суб’єктами кіберзлочинів. Залежність бізнесу від цифрових технологій збільшується з кожним роком. Але міцність системи не вища, ніж її оператор (тобто, працівник). Саме тому шахраї вправно користуються методами соціальної інженерії: вони ретельно вивчають поведінку, середовище особи, яка має доступ до потрібної їм інформації. Аналізують її слабкі місця. А далі вдаються до психологічних маніпуляцій над людиною, намагаються змусити її виконати вигідні зловмиснику дії й, врешті-решт, отримують необхідну їм інформацію.

Якщо ж соціальна інженерія не спрацьовує, застосовується технічний підхід — використовується шкідливе програмне забезпечення (віруси), за допомогою якого зловмисник отримує доступ до даних, що знаходяться на комп’ютері працівника.

Якщо вище вказані методи не спрацьовують, то останнім аргументом є спроба підкупити діючих працівників, щоби доставити вірус до комп’ютерної мережі потенційної жертви (суб’єктів господарювання).

Чи відома нам статистика кіберзлочинів, жертвами яких виступають офісні робітники? На жаль, ні. Причина — відсутність чіткої класифікації кіберзлочинів у розділі XVI Кримінального кодексу України. Тому ця категорія злочинів кваліфікується по-різному. Навіть якщо здійснити досить складне дослідження (наприклад, зібрати статистичну інформацію комерційних версій антивірусного ПЗ), то в результаті отримаємо досить велику похибку. 

Хоча ми й не знаємо точну кількість цих злочинів, ми чітко розуміємо IT-помилки, які до них призводять. Перерахую кілька з них:

• використання неліцензійного ПЗ. Механіка: особи, що перепакували програмний компонент, вбудовують в нього шкідливе ПЗ, яке "краде" інформацію користувача
• користування ПК без антивірусу та мережевого екрану
• нехтування оновленнями операційної системи та резервними копіями
• використання зйомних носіїв (флешки, зовнішні диски) без сканування антивірусом
• неналежне зберігання автентифікаційних даних (наприклад, не розміщати записані паролі на папір в легкодоступних місцях або безпосередньо біля техніки, до якої відноситься записаний пароль ) та використання ненадійних паролів
• запуск файлів з невідомими форматами та відвідування вебсторінок з підозрілими доменними іменами.

І після успішної атаки кібершахраї отримують те, що хочуть: викрадають службову інформацію та/або персональні дані користувачів, за які можна далі попросити викуп. Окрім викрадення цінної інформації, наслідком успішної атаки може стати цілковите припинення роботи всієї комп’ютерної мережі жертви. А, якщо ком’ютерні системи глибоко інтегровані в виробничий процес, кожна година простою може коштувати власнику значних коштів. І саме за розблокування техніки зловмисники вимагають кошти. Або завдають IT-інфраструктурі — іноді фатальної — шкоди.

Не робіть собі нерви

Оскільки в майже кожного українця є важливі дані (а в компаній — гігабайти інформації, від яких залежить доля бізнесу), поводитись на робочому місці потрібно так, ніби ви цікаві кібершахраям просто зараз (і, можливо, так воно і є). Тим більше що зловмисники паразитують на людській природі та слабкостях. Поради від Кіберполіції наступні:

• Не економте на ліцензійному ПЗ з надійних джерел
• Використовуйте надійне антивірусне ПЗ та фаєрвол (на роботі)
• Організуйте закріплення працівників за окремими напрямками (тобто, працівник з певними функціональними обов’язками не повинен мати доступ до інформації чи можливостей внутрішньої мережі, які не стосуються його безпосередніх обов’язків)
• Зберігайте недоступними автентифікаційні дані та користуйтесь надійними, не словарними паролями. Вмикайте двофакторну автентифікацію всюди, де це можливо.
• Не перешкоджайте оновленню операційної системи, антивірусу та супутніх програм
• Регулярно обслуговуйте офісну техніку (це сприятиме виявленню сторонніх технічних або програмних засобів зловмисників).

На кону не тільки доступ до вашого листування й мультимедіа-контенту, а й ваше робоче місце. Аби переконатись, почитайте більше про вплив Petya/NotPetya на світову економіку.

Олександр Гринчак, начальник департаменту Кіберполіції України

Фото: Depositphotos