Support scam - Új kiberbiztonsági fenyegetettség - Szakértői tanácsok megelőzésre és incidens esetére!

2021.04.21. Jogi Fórum / Misák István információbiztonsági szakértő - misec.hu

Az utóbbi időben újfajta kiber fenyegetettség látott napvilágot, melyet support scam-nek hívnak, mely a jól ismert social engineering (szabadfordításban: a felhasználó megtévesztése) kiberbűnözői technikán alapul.

A fenyegetettség leírása

A fenyegetettség lényege, hogy a kiberbűnözők egy neves szoftvergyártó (pl.: Microsoft, Facebook, Google) vagy hardverforgalmazó (pl.: HP) cég támogató munkatársaként vagy a saját szervezetünk informatikus kollégájának kiadva magukat telefonon felhívják a gyanútlan felhasználót, hogy bejelentést kaptak egy hibáról és segítenek elhárítani a problémát. A kiberbűnözők sokszor a jól ismert Microsoft cég munkatársainak adják ki magukat.

A hiba elhárításához távoli kapcsolatot szeretnének létesíteni a felhasználó számítógépével, különböző távoli hozzáférést biztosító szoftverek (pl.: TeamViewer, AnyDesk, LogMeIn, GoToAssist) telepítésével.

Sikeres csatlakozáskor általában valamilyen látványos hibaelhárításba kezdenek (pl.: naplóállományok vizsgálata, vírusvédelmi szoftver futtatása), azonban a háttérben a különböző eltárolt (jelszószéfben, web böngészőkben) bankkártya adatok, illetve netbankos azonosítók után kutakodnak, illetve bármilyen bizalmas információt is eltulajdoníthatnak.

Más esetben email-en keresztül próbálkoznak, melyben megadnak egy honlapot, ahol a hibaelhárításához szükséges elérhetőségeket kaphatják meg a felhasználók. A fertőzött honlapra navigálva a háttérben települ egy kártékony kód a számítógépünkre, amely automatizáltan elvégzi a fenti kutakodást, illetve szintén távoli hozzáférést ad a kiberbűnözőnek.

Védekezési módok

A fenyegetettség ellen a következő módon védekezhetünk:

  • Legyünk gyanakvóak, ne hagyjuk magunkat megtéveszteni.
  • Ha bizonytalanok vagyunk, vegyük fel a kapcsolatot az információbiztonsági felelőssel.
  • Ne működjük együtt ismeretlen, informatikai támogatást nyújtani akaró személlyel, győződjük meg róla (kérjük meg, hogy valamilyen módon igazolja magát), hogy valóban a szervezetünk informatikai munkatársával beszélünk.
  • A jól ismert informatikus munkatársakon kívül, soha senkinek ne engedélyezzünk távoli hozzáférést a számítógépünkhöz.
  • Soha, senkinek, semmilyen esetben ne adjuk meg a jelszavainkat és egyéb bizalmas azonosítónkat (pl.: netbankos azonosító, bankkártya adatok).

Biztonsági incidens esetén

  • Azonnal jelentsük a biztonsági incidenst az információbiztonsági felelősnek és a közvetlen vezetőnknek.
  • Soron kívül változtassuk meg a netbankos és egyéb jelszavainkat (pl.: a munkaállomásunk, hálózati hozzáférésünk és az egyéb, általunk használt elektronikus információs rendszerek (iktatórendszer, elektronikus levelezés stb.) jelszavait).

A biztonsági incidens hatósági bejelentési kötelezettsége

Fontos tudni, hogy a biztonsági incidenst az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény alapján haladéktalanul be kell jelenteni a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézete számára.

Az információbiztonsági incidenst a következő linken keresztül lehet bejelenteni az NKI részére:

https://nki.gov.hu/intezet/tartalom/incidens-bejelentes/

Továbbá – amennyiben a biztonsági incidens során felmerül a személyes adat vagy különleges adat sérülése - a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló az Európai Parlament és a Tanács (EU) 2016/679 Rendelete alapján a biztonsági incidenst legkésőbb 72 órán belül a Nemzeti Adatvédelmi és Információszabadság Hatóság részére.

Az adatvédelmi incidenst a következő linken keresztül lehet bejelenteni a NAIH részére:

https://www.naih.hu/index.php/adatvedelmi-incidensbejelento-rendszer

Misák István információbiztonsági szakértő - misec.hu

  • kapcsolódó anyagok
INTERNET
KIBERBŰNÖZÉS