HMRC phishing kršenje poprilično izbegava, ali teško je prestati

Rasprostranjene posljedice

Sa krađevnim e-porukama poslanim na neljudžene porezne obveznike identificirane kao inicijalni vektor napada za prevarante, HMRC se možda olakšalo da je izmirila punu krivicu za incident.

Ali prema Will Richmond-Coggan, partner specijaliziran za podatke i cyber sporove, iako je porezni ured otišao na bolove za stres da se zapravo nije ugrozio, a ne rasprostranjeni su posljedice cyber napada – snježno snijeg iz jednostavnog porijekla u višemilijsko-kilogram gubitka.

“Jasno je iz HMRC-ovog objašnjenja da je zločin protiv HMRC-a moguć samo zbog ranijih kršenja podataka i cyber napada”, rekao je Richmond-Coggan. “Oni stariji napadi stavljaju lične podatke u ruke kriminalaca koji su im omogućili da se lažno predstavljaju obveznike poreza i uspješno primjenjuju da bi se zatražili porez na povratak.”

Phishing se mijenja, zahvaljujući Ai

U međuvremenu, Gerasim Hovhannisyan, generalni direktor EasyDMarca, e-maila za sigurnost e-pošte, istakao je da su se krađu na privatnim pojedincima i preduzećima i drugim organizacijama odavno premjestilo izvan domene prevarantiranja koji šale svoju sreću.

Iako ova vrsta prevara Scittergun ostaje moćna prijetnja, posebno potrošačima koji ne bi bili informisani o Cyber-ovoj sigurnosnim pitanjima, vjerovatno sugerira ciljanu operaciju, vjerovatno korištenje HMRC-a, osmišljenog za namamljivanje poreskih obveznika za samoprocjenu da bi se primilio samoprocjene poreznih obveznika.

Ne samo to, već generativna umjetna inteligencija (GEnai) znači ciljane operacije krađe identiteta postale eksponencijalno opasnije u vrlo kratkom vremenu, dodali su Hovhannisyan.

“[It] je napravio [phishing] skalabilan, polirano i opasno uvjerljivo, često se ne razlikuje od legitimne komunikacije. I dok su mnoge organizacije ojačale svoje sigurnosne perimetre, e-pošta ostaje najsavremeniji eksploatirani i podcijenjen vektor napada “, rekao je.” Ove prevare koriste ljudsko povjerenje, koristeći hitnost, autoritet i sve realnije taktike za lažno predstavljanje. Ako se HMRC može pratiti, bilo tko može.

“Šta je više alarmantno je da je odbor za trezor saznao samo za kršenje vijesti. Kada je 47 milijuna funti ukradenih predstavljanjem, institucije ne mogu priuštiti da ostanu tiho. Odgovori ERODES Trust, štandovi i daje napadačima u manevriranju.”

Korisnici su nepouzdani prvi red odbrane

Još jednom su se krajnji korisnici usluge pokazali kao izvor cyber napada i kao takav, da li su unutarnji ili – kao u ovom slučaju – vanjski, često se smatraju prvom linijom odbrane organizacije.

Međutim, nije uvijek pametno preuzeti ovaj pristup, a za organizaciju poput HMRC-a svakodnevno se bavi članovima javnosti, to takođe nije moguće. Sigurnosno obrazovanje je težak prijedlog u najboljem vremenu, a iako je nacionalni centar za cyber sigurnosni sigurnost (NCSC) pruža opsežne savjete i rješavati servis za izvještavanje o krađivanju, a od 20. aprila je dobio preko 41 milion prevara – tijela kao što su HMRC-a ne mogu se osloniti na sve posjetili web stranicu NCSC-a.

Kao takav, Mike Britton, glavni službenik za informaciju (CIO) u abnormalnom AI, specijalista za krađu, socijalno inženjerstvo i prevenciju računa, tvrdio je da bi HMRC mogao i trebao učiniti više iz tehničke perspektive.

“Vlade će uvijek biti visoki cilj za cyber zločince zbog vrijednih informacija koje drže. U stvari, napadi protiv ovog sektora rastu”, rekao je on. “U ovom slučaju izgleda kao da zločinci koriste računi da preuzme prevara. Za borbu protiv ove, multifaktorske provjere autentičnosti [MFA] je ključno, ali kao što napadi rastu sofisticiraniji, moraju se poduzeti dalji koraci. “

Britton je rekao da su organizacije poput HMRC-a zaista potrebne za razmotriti usvajanje više slojevitih sigurnosnih strategija, ne samo da uključuju MVP-u već i uključivanje šire vidljivosti i objedinjene kontrole preko njegovih IT sistema.

Napadi za preuzimanje računa poput onih koji se viđa u ovom incidentu mogu se brzo odvijati, dodao je, pa bi se njegova cyber funkcija također trebala biti opremljena alatima za identifikaciju i rešavanje kompromitiranih računa u muhu.