Czarny Piątek dla hakerów: Dlaczego cyberbezpieczeństwo powinno znaleźć się na Twojej świątecznej liście życzeń  

Nadszedł sezon świątecznych zakupów, przynosząc ze sobą emocje związane z promocjami z okazji Czarnego Piątku i Cyberponiedziałku. Jednak podczas gdy konsumenci i sprzedawcy przygotowują się do zakupowego szaleństwa, cyberprzestępcy również się przygotowują — gotowi wykorzystać wszelkie znalezione luki. 

Konsumenci i sprzedawcy powinni zachować szczególną czujność. Niestety Czarny Piątek i Cyberponiedziałek to doskonałe tereny łowieckie dla cyberprzestępców chcących wykorzystać luki w zabezpieczeniach. Od fałszywych stron internetowych po wyrafinowane oszustwa phishingowe żerujące na niczego niepodejrzewających kupujących — ryzyko jest realne, a stawka wysoka.

Na potrzeby tego wywiadu w formie pytań i odpowiedzi rozmawiałem z Coreyem Nachreinerem, dyrektorem ds. bezpieczeństwa w firmie WatchGuard Technologies. Omawiamy pojawiające się cyberzagrożenia wymierzone w świątecznych kupujących, proaktywne środki bezpieczeństwa dla sprzedawców oraz sposoby, dzięki którym konsumenci mogą zapewnić sobie ochronę podczas najbardziej intensywnego sezonu zakupowego w roku.

1. Czy podczas Czarnego Piątku lub Cyberponiedziałku odnotowuje się wzrost liczby konkretnych oszustw lub ataków?  

W ciągu ostatnich kilku lat pojawiło się wiele nowych oszustw wymierzonych w konsumentów, które wykorzystują niczego niepodejrzewających świątecznych kupujących. Oprócz typowych prób phishingu jednym z najczęstszych oszustw są fałszywe zamówienia lub oszustwa związane z dostawą paczek, w których wykorzystuje się fałszywe powiadomienia e-mail lub aplikacji, aby nakłonić użytkowników do kliknięcia złośliwego łącza. 

Zaobserwowaliśmy również wzrost liczby podrabianych stron internetowych i organizacji charytatywnych, które wyglądają bardzo wiarygodnie. Oszuści często kuszą konsumentów ofertami zbyt dobrymi, by mogły być prawdziwe, a nawet stronami internetowymi opatrzonymi oznaczeniem SSL/TLS (małą kłódką pojawiającą się w przeglądarce internetowej, która wskazuje, że strona jest bezpieczna). Strona może wyglądać oficjalnie, ale przed dokonaniem zakupu zawsze warto sprawdzić nieznaną witrynę w Biurze ds. Lepszego Biznesu (BBB) lub za pomocą innego internetowego narzędzia do weryfikacji reputacji, aby upewnić się, że jest to legalny i godny zaufania sprzedawca. 

Rosnąca liczba oszustw może sprawić, że niektóre osoby będą obawiać się zakupów online. Jako sprzedawca musisz podkreślać, co robisz, aby zapewnić kupującym bezpieczeństwo, oraz udostępniać im dodatkowe zasoby, dzięki którym będą mogli zaufać Twojej firmie. Wielu postępowych dostawców oferuje stronę Centrum Zaufania, na której informuje konsumentów o wszystkich stosowanych praktykach, w tym udostępnia formalne certyfikaty cyberbezpieczeństwa, aby zapewnić bezpieczeństwo swojej organizacji i klientów.  

2. Czy w tym roku pojawiły się nowe trendy w hakerstwie, o których dyrektorzy ds. technologii w branży handlowej powinni wiedzieć? 

Na całym świecie zagrożenia związane ze złośliwym oprogramowaniem nadal ewoluują i mnożą się, a sektor handlowy nie jest wyjątkiem. W drugim kwartale 2024 roku nasz zespół Laboratorium ds. zagrożeń zaobserwował siedem nowych rodzin złośliwego oprogramowania wśród dziesięciu najczęstszych ataków z użyciem złośliwego oprogramowania (zazwyczaj obserwujemy dwie lub trzy). Wraz z pojawieniem się sztucznej inteligencji liczba nowych zagrożeń może nadal rosnąć lawinowo, a zespoły ds. cyberbezpieczeństwa organizacji handlowych muszą przyjąć proaktywne podejście, aby być przygotowanymi na odpieranie nadchodzących ataków. 

Firmy wszelkiego rodzaju bronią się przed szerokim zakresem ataków, z których wiele wymierzonych jest we własne aplikacje internetowe i systemy zarządzania. Oprogramowanie do zarządzania, takie jak HP Intelligent Management Center i Oracle Enterprise Manager Grid Control, nadal jest częstym celem cyberprzestępców. Firmy muszą wzmacniać kulturę organizacyjną poprzez sceptyczne, lecz uprzejme podejście, wykorzystując szkolenia z cyberbezpieczeństwa, które pomagają pracownikom zrozumieć dzisiejsze zagrożenia i unikać klikania złośliwych łączy, udostępniania prywatnych danych oraz innych działań, które mogłyby zagrozić bezpieczeństwu systemów organizacji.  

Ogólnie rzecz biorąc, obserwujemy, że atakujący coraz częściej wykorzystują w swoich atakach techniki „życia z tego, co jest dostępne”, co oznacza używanie legalnych systemów operacyjnych i narzędzi informatycznych do prowadzenia szkodliwej działalności zamiast instalowania tradycyjnego złośliwego oprogramowania. Starszemu oprogramowaniu zabezpieczającemu trudniej jest wykryć różnicę między zamierzonym a złośliwym wykorzystaniem niektórych z tych legalnych narzędzi.  

3. Jakie proaktywne działania powinni podjąć sprzedawcy, aby wzmocnić cyberbezpieczeństwo w okresie świątecznym? 

Sprzedawcy stoją przed poważnym wyzwaniem, jakim jest ochrona jednych z najbardziej wrażliwych informacji: danych konsumentów i płatności. Raport firmy Verizon z 2024 roku pokazuje, że włamania do systemów, inżynieria społeczna i luki w zabezpieczeniach stron internetowych odpowiadają za 92% naruszeń danych w handlu detalicznym. W ubiegłym roku liczba incydentów cyberbezpieczeństwa w sektorze handlowym wzrosła o niemal 80%, co podkreśla rosnące zaawansowanie cyberataków.  

Kradzież danych uwierzytelniających jest obecnie głównym celem hakerów, którzy wraz z poprawą zabezpieczeń przenoszą uwagę z danych dotyczących płatności. Skradzione dane uwierzytelniające zapewniają atakującym dostęp do systemów wewnętrznych, umożliwiając dokonywanie oszukańczych zakupów lub przeprowadzanie kolejnych włamań. Włamania do systemów, inżynieria społeczna i ataki na aplikacje internetowe nadal należą do często stosowanych taktyk.  

Aby chronić się przed tymi zagrożeniami, sprzedawcy powinni wdrożyć proste, lecz niezbędne środki bezpieczeństwa, w tym uwierzytelnianie wieloskładnikowe (MFA), aby zabezpieczyć użytkowników i sieci. W dzisiejszym krajobrazie zagrożeń ważne jest również wzmocnienie rozwiązań do ochrony danych w celu ograniczenia dostępu do poufnych informacji, stosowanie bezpiecznego kodowania i skanowania aplikacji internetowych w celu ochrony stron oraz zapewnienie regularnych aktualizacji systemów, aby zamknąć niezałatane luki w zabezpieczeniach. Zapory sieciowe i segmentacja sieci mogą pomóc zapobiegać potencjalnym naruszeniom i ograniczać ich skutki, natomiast szkolenia pracowników z rozpoznawania oszustw phishingowych mogą zapobiegać atakom wykorzystującym inżynierię społeczną. 

4. Jakie proaktywne działania mogą podejmować konsumenci, aby chronić się przed oszustwami w okresie świątecznym?  

Oczekuje się, że wydarzenia zakupowe z okazji Czarnego Piątku i Cyberponiedziałku ponownie pobiją w tym roku rekordy, generując 75 mld USD, czyli o 5% więcej niż rok wcześniej. W tym okresie świątecznym konsumenci powinni zachować sceptycyzm i ostrożność podczas zakupów online. Zawsze upewnij się, że podajesz poufne informacje wyłącznie na stronach internetowych, którym ufasz. Jeśli otrzymujesz promocyjne wiadomości e-mail, zawsze trzykrotnie sprawdź nadawcę i wyświetl podgląd wszystkich linków przed ich kliknięciem. Gdy w wiadomości e-mail zobaczysz ofertę, która może Cię zainteresować, zamiast klikać link, rozważ ręczne odwiedzenie strony sprzedawcy i znalezienie na niej tej oferty. Choć może to wymagać wykonania większej liczby czynności, uchroni Cię przed kliknięciem linku, który może prowadzić do oszustwa.

W miarę możliwości unikaj wprowadzania poufnych danych online podczas korzystania z publicznej lub niezabezpieczonej sieci. Jeśli jest to konieczne, podczas przeglądania internetu używaj VPN-u, jeśli go posiadasz.  

Na koniec, w miarę możliwości staram się nie udostępniać mojej karty kredytowej sprzedawcom internetowym. Rozważ alternatywne platformy płatnicze, takie jak PayPal, Apple Pay, Google Pay lub wybrane przez Ciebie rozwiązanie. Nadal będą one korzystać z Twojej karty debetowej lub kredytowej, ale ukryją te informacje przed sprzedawcą internetowym. Warto jednak pamiętać, że karty kredytowe często oferują odpowiedni zwrot pieniędzy w przypadku oszustwa, dlatego upewnij się, że korzystasz z usług dostawcy płatności, który również oferuje taką ochronę. 

5. Jak organizacje handlowe mogą budować zaufanie klientów w zakresie bezpieczeństwa? 

W erze cyfrowych ataków na łańcuch dostaw i oszustw phishingowych związanych z Czarnym Piątkiem sprzedawcy internetowi muszą pokazywać, jakie działania podejmują, aby ich klienci czuli się bezpiecznie podczas zakupów online. 

Sprzedawcy, którzy poświęcają czas i wysiłek na utworzenie na swojej stronie „Centrum zaufania”, informując klientów o tym, jak zabezpieczają swoją infrastrukturę, jak chronią i wykorzystują dane osobowe klientów oraz jakie certyfikaty i oznaczenia zgodności lub zaufania zdobyli, mają większe szanse na zwiększenie sprzedaży w okresie świątecznym niż firmy, które nie są przejrzyste w kwestii bezpieczeństwa. Utwórz centrum zaufania, aby pokazać klientom, a nie tylko powiedzieć im, w jaki sposób chronisz ich bardziej wrażliwe dane osobowe, a z większym prawdopodobieństwem zdobędziesz ich zaufanie, lojalność i — ostatecznie — ich biznes. 

Najważniejsze wnioski

Wraz ze zbliżaniem się najważniejszych dni zakupów online czujność ma kluczowe znaczenie zarówno dla kupujących, jak i sprzedawców. Podejmując proaktywne działania, rozumiejąc zmieniający się krajobraz zagrożeń i budując zaufanie konsumentów, sprzedawcy mogą chronić siebie i swoich klientów przed staniem się ofiarami cyberoszustw w okresie świątecznym. Tymczasem kupujący muszą zadbać o własne bezpieczeństwo online, stosując podstawowe, ale niezwykle istotne zasady bezpieczeństwa. 

Cyberbezpieczeństwo powinno znaleźć się na świątecznej liście kontrolnej każdego — ponieważ sezon dawania nie powinien być sezonem podejmowania ryzyka.

Subskrybuj newsletter The CTO Club, aby otrzymywać więcej wskazówek, narzędzi i najlepszych praktyk z zakresu cyberbezpieczeństwa.