امنیت سایبری برای سیستم عامل های تجاری | وبلاگ رسمی کسپرسکی

در سال 2019 ، بازار سهام جهانی 17 تریلیون دلار رشد کرد و علی رغم ضرب و شتم بازارهای جهانی – به اصطلاح ملایم – توسط همه گیری ، علاقه به سرمایه گذاری از بین نرفته است. از ابتدای سال 2020 ، تعداد کاربران برنامه های تجاری فقط افزایش یافته است.

از نظر منفی ، دارایی ها و داده های شخصی بازرگانان الکترونیکی طعمه جذابی برای مجرمان اینترنتی هستند و در صورت بروز حادثه ، بستر تجارت است. اپراتورهایی که باید با عواقب آن کنار بیایند. در این پست ، ما در مورد تهدیدهای اصلی شرکت ها و چگونگی شکست آنها صحبت می کنیم.

آسیب پذیری برنامه

مانند هر نرم افزار ، سیستم عامل های تجاری نیز دارای آسیب پذیری هستند. در سال 2018 ، Alejandro Hernandez ، متخصص امنیت سایبری ، در 79 برنامه از جمله عدم استفاده از رمزگذاری برای ذخیره یا انتقال داده ها (کسی می توانست آنها را ببیند یا تغییر دهد) و عدم خروج از سیستم پس از یک دوره عدم فعالیت ، سوراخ هایی در 79 برنامه مشاهده کرد.

یک سال بعد ، تحلیلگران در ImmuniWeb تحقیقات مشابهی را انجام دادند و به همان نتیجه منفی رسیدند: از 100 پیشرفت فین تک که آزمایش کردند ، همه تا حدی آسیب پذیر بودند. مشکلات در هر دو برنامه وب و تلفن همراه یافت شد ، بسیاری از اشکالات از پیشرفت های شخص ثالث و ابزارهای استفاده شده توسط برنامه نویسان به ارث رسیده است. برای برخی از آسیب پذیری ها ، اصلاحیه ها از مدت ها قبل وجود داشته اما اعمال نشده اند. یکی از این وصله ها در سال 2012 منتشر شد ، اما نویسندگان برنامه fintech هرگز نتوانستند آن را نصب کنند.

همانطور که مطمئن هستیم شب به روز می رسد ، اگر کالایی دارای مشکلات امنیتی باشد ، آنها خود را معرفی می کنند و به طور بالقوه به شرکت ها آسیب می رسانند. شهرت و ترساندن مشتریان. و اگر در اثر اشکال در یک برنامه ، کاربران دچار نشت داده یا خسارت مالی شوند ، توسعه دهنده می تواند با جریمه بزرگی روبرو شود یا مجبور به پرداخت خسارت شود.

گاهی اوقات ، خالق یک سیستم عامل تنها قربانی است. به عنوان مثال ، نویسندگان برنامه تجارت Robinhood نتوانستند اشکالی را مشاهده کنند که به کاربران حق بیمه اجازه می دهد وام های نامحدودی را از سیستم عامل برای تجارت اوراق بهادار قرض بگیرند – و یک کاربر در ازای سپرده فقط 4000 دلار یک میلیون دلار وام گرفت. تاجران آن را "کد تقلب بی نهایت پول" نامگذاری کردند.

برای جلوگیری از ضرر و زیان مرتبط با اشکالات و آسیب پذیری ها ، رمزگذاران پلت فرم تجارت باید امنیت را در مرحله توسعه در نظر بگیرند ، و از قبل درباره مواردی مانند ورود خودکار کاربر ، رمزگذاری و ممنوعیت رمزهای عبور ضعیف آنها همچنین باید به طور مرتب کد را برای اشتباهات بررسی کرده و به سرعت آنها را برطرف کنند.

حملات زنجیره تامین

برای صرفه جویی در وقت و هزینه ، اکثر شرکت ها نه تنها کد خود را می نویسند ، بلکه از توسعه ها ، چارچوب ها و چارچوب های شخص ثالث نیز استفاده می کنند. خدمات. اگر زیرساخت های ارائه دهنده خدمات به خطر بیفتد ، شرکت هایی که از آن استفاده می کنند نیز می توانند آسیب ببینند.

این همان اتفاقی است که برای دلال ارز Pepperstone رخ داده است. در آگوست سال 2020 ، مجرمان اینترنتی با دسترسی به حساب آن در سیستم CRM Pepperstone ، رایانه های یک شرکت پیمانکار را آلوده کردند. اگرچه سرعت درگیری سریع خنثی شد ، اما مهاجمان همچنان موفق به سرقت برخی از داده های مشتری شدند. این کارگزار می گوید که سیستم های مالی و تجاری آن تحت تأثیر قرار نگرفته است. در عین حال ، یادآوری کنید که حتی در صورت مقصر بودن کد شخص ثالث ، نشت داده ها برای شرکت ها بسیار هزینه بر است.

برای جلوگیری از سوختن احتمالی ، همیشه شرکای قابل اعتماد و امنیتی را انتخاب کنید و هرگز فقط به مکانیسم های محافظت آنها اعتماد نکنید. هر شرکتی در حوزه مالی باید یک سیاست امنیتی سختگیرانه اتخاذ کند.

Spear-phishing

عامل انسانی اغلب علت وقوع حوادث سایبری است. به همین دلیل مهاجمان از کارمندان شرکت برای نفوذ به زیرساخت های شرکت استفاده می کنند.

در همین زمینه ، در ژوئیه سال جاری ، محققان امنیت سایبری مجموعه ای از حملات را به موسسات fintech در اتحادیه اروپا ، انگلیس ، کانادا و استرالیا به گروه APT Evilnum وصل کردند. . مجرمان اینترنتی با پیوند به بایگانی ZIP که در یک سرویس ابری قانونی میزبانی شده است ، برای کارمندان شرکت ایمیل ارسال می کنند. این پیام ها به عنوان مکاتبات تجاری ، و محتویات بایگانی به عنوان اسناد یا تصاویر مبدل می شدند. اگرچه سند یا تصویر وعده داده شده روی صفحه ظاهر شد ، اما باز کردن آن زنجیره عفونت را به حرکت در می آورد.

گاهی اوقات مهاجمان به حساب های ایمیل شرکت های بزرگ نفوذ می کنند ، که فیشینگ آنها را بیشتر قانع کننده می کند. در آگوست سال جاری ، چنین حمله ای به شرکت تجارت Virtu ضربه زد. با توجه به تکرارهای شرکت ، مجرمان اینترنتی وارد صندوق پستی یک مدیر عالی شدند و دو هفته آینده را با ارسال نامه های الکترونیکی به بخش حسابداری با دستورالعمل برای انتقال مبالغ هنگفت به چین گذراندند. اعتماد کور برای شرکت نزدیک به 11 میلیون دلار هزینه داشت.

برای دفع چنین حملاتی ، کارکنان امنیت سایبر نیاز به آموزش مناسب دارند. لیستی از پرچم های قرمز فیشینگ را در ایمیل ها تهیه کنید و از آن برای مهندسی یک اقدام در صورت استفاده از یک همکار ، شریک زندگی یا مشتری از شما (یا به نظر می رسد از شما درخواست می کند) برای ارسال چند میلیون – یا حتی استفاده از آن استفاده کنید. کمی کمتر از آن – به Jane Doe.

مشکلات مشتری

گاهی اوقات کاربران بدون تقصیر شرکت یا برنامه شما پول خود را از دست می دهند – با بارگیری بدافزار ، وارد کردن رمزهای عبور در سایت های فیشینگ یا اقدام غیر مسئولانه. در اینجا نیز افسوس که آنها ممکن است ادعاهایی را علیه سیستم عامل معاملات مطرح کنند. در بعضی از کشورها ، شرکت ها حداقل از نظر قانونی ملزم به کشف آنچه اتفاق افتاده اند ، بنابراین لازم است هر از چند گاهی در مورد خطرات احتمالی به بازرگانان هشدار داده و از آنها بخواهید که از خود محافظت کنند (و بطور گسترده شما). ایده خوبی برای یادآوری دوره ای مشتری است که هرگونه نرم افزار شخص ثالث ، به خصوص اگر دزد دریایی یا از منابع مشکوک به دست آمده باشد ، می تواند تهدیدی باشد. به عنوان مثال ، این ممکن است رمزهای عبور ، از جمله رمزهای ورود به سیستم برای حسابهای تجاری را بدزدد.

به مشتریان هشدار دهید که مجرمان اینترنتی ممکن است به عنوان سرویس شما برای استخراج اعتبار آنها باشند. به آنها توصیه کنید تا در مورد مشکلات سرویس به ایمیلها توجه کافی نشان دهند و آدرس فرستنده و پیام را از نظر غلط نوشتاری و دستور زبان بد بررسی کنند. توصیه کنید در صورت بروز هرگونه شک و تردید ، URL را به صورت دستی در مرورگر وارد کنند ، برنامه را باز کنند یا با پشتیبانی مشتری تماس بگیرند.

نحوه محافظت از اعتبار و اعتبار خود

مدیریت پول با مسئولیت زیادی همراه است و بی توجهی به امنیت می تواند هزینه فین تک را به همراه داشته باشد. شرکت های زیادی بنابراین:

• امنیت برنامه ها و برنامه های خود را کنترل کنید. آنها را برای آسیب پذیری اسکن کرده و نسبت به اشکالات و خطاها تحمل صفر نشان دهید.
• یک راه حل امنیتی قابل اعتماد در دستگاه های کاری نصب کنید ، ایده آل ترین راه حل مبتنی بر ابر است و از طریق یک کنترل پنل کنترل می شود.
• کارکنان را در مبانی امنیت سایبری آموزش دهید ، بنابراین اشتباهاتی مرتکب نخواهند شد که برای شما و مشتریانتان هزینه و استرس داشته باشد.
• از سختگیرانه ترین سیاست های عملی عملی برای کارمندان و تأمین کنندگان شخص ثالث استفاده کنید.
• به مشتریان یادآوری کنید که امنیت پول آنها تا حد زیادی به آنها بستگی دارد. توصیه کنید آنها یک راه حل امنیتی روی دستگاهی که برای تجارت از آنها استفاده می کنند نصب کنند و آن را بدون مواد مخدر نگه دارند.
• مکانیسم های امنیتی را از روز اول در پیشرفت های خود پیاده سازی کنید. این به این معنی است که با ممنوعیت رمزهای عبور ضعیف ، رمزگذاری و خروج خودکار از سیستم شروع می شود کاربران غیرفعال به عنوان حداقل.

(تابع (d ، s ، id) {var js، fjs = d.getElementByTagName (های) [0] ؛ if (d.getElementById (id)) {return} js = d .createElement (s)؛ js.id = id؛ js.src = "https: / / connect.facebook.net / en_US /all.js"؛ fjs.parentNode.insertBefore (js، fjs)}} ( سند ، "اسکریپت" ، "facebook-jssdk")) ؛ .