Preuzmite kontrolu nad javno dostupnim informacijama
Digitalni trag organizacije obuhvaća informacije o organizaciji i njezinim zaposlenicima koje su javno dostupne na internetu, poput objava na društvenim mrežama, kontaktnih podataka, poslovnih profila i drugih javno dostupnih sadržaja.
Kibernetički kriminalci mogu iskoristiti takve informacije za ciljane phishing napade (spear phishing). Podatke pronađene na internetu mogu upotrijebiti za prilagodbu poruka kako bi one djelovale vjerodostojnije i uvjerljivije.
1. Provjerite digitalni trag organizacije
Redovito provjeravajte koje su informacije o vašoj organizaciji javno dostupne na internetu i razmotrite kako bi ih potencijalni napadač mogao iskoristiti.
Provjerite:
- mrežne stranice organizacije
- profile organizacije na društvenim mrežama
- javne imenike i poslovne direktorije
- javno dostupne objave zaposlenika povezane s organizacijom
- oznake i komentare drugih korisnika koji se odnose na organizaciju.
Uklonite ili ograničite dostupnost informacija koje nisu potrebne za poslovanje ili predstavljaju nepotreban sigurnosni rizik. To može uključivati:
- zastarjele kontaktne podatke
- nepotrebne podatke o zaposlenicima i organizacijskoj strukturi
- osobne adrese elektroničke pošte zaposlenika
- stare objave i sadržaje koji više nisu relevantni
- poveznice na nepoznate ili nepouzdane profile i usluge.
Umjesto objavljivanja osobnih adresa elektroničke pošte zaposlenika, razmotrite korištenje općih poslovnih adresa, poput info@organizacija.hr ili kontakt@organizacija.hr, odnosno kontaktnih obrazaca na mrežnoj stranici.
Kako napadači mogu iskoristiti javno dostupne informacije?
- Objava o novom zaposleniku može napadaču pomoći da pretpostavi njegovu adresu elektroničke pošte ili način na koji organizacija oblikuje korisnička imena.
- Javno dostupni podaci o zaposlenicima financijskog odjela mogu se iskoristiti za uvjerljivije lažne zahtjeve za plaćanje ili prijevare lažnim predstavljanjem rukovodstva (engl. CEO fraud).
- Informacije o osobnim interesima i aktivnostima objavljene na društvenim mrežama mogu se iskoristiti za prilagodbu pokušaja socijalnog inženjeringa.
2. Odvojite privatne i poslovne korisničke račune
Kad god je to moguće, odvojite privatne od poslovnih korisničkih računa, osobito na društvenim mrežama i komunikacijskim platformama.
Ako se privatni profil koristi i u poslovne svrhe (ovakva praksa se na preporučuje, ali se u stvarnosti događa):
- provjerite koje su informacije javno vidljive
- ograničite objavljivanje nepotrebnih privatnih podataka
- primijenite odgovarajuće sigurnosne mjere za zaštitu računa.
3. Potaknite zaposlenike da provjere svoj digitalni trag
Napadači mogu prikupljati i javno dostupne informacije o zaposlenicima kako bi pokušaje prijevare prilagodili određenoj osobi ili organizaciji.
Educirajte zaposlenike da:
- provjere koje su informacije o njima javno dostupne
- pregledaju postavke privatnosti svojih korisničkih računa
- uklone ili ograniče dostupnost podataka koje ne žele javno dijeliti
- budu oprezni pri prihvaćanju zahtjeva za povezivanje ili praćenje od nepoznatih osoba.
Posebnu pozornost treba posvetiti postavkama privatnosti na društvenim mrežama i profesionalnim platformama, poput LinkedIna, Facebooka, Instagrama i X-a.
Redovita provjera javno dostupnih informacija i postavki privatnosti može smanjiti količinu podataka kojima se napadači mogu koristiti pri socijalnom inženjeringu i ciljanim phishing napadima.
4. Ograničite mogućnost objavljivanja sadržaja u ime organizacije
Redovito provjeravajte tko ima pristup službenim profilima i drugim komunikacijskim kanalima te uklonite pristup bivšim zaposlenicima i osobama kojima zbog promjene uloge više nije potreban.
Jednom objavljen sadržaj može se kopirati, spremiti i dalje dijeliti, čak i nakon što ga organizacija ukloni sa svojih službenih kanala. Zato prije objave provjerite sadržava li informacije koje ne bi trebale biti javno dostupne.
Kontrola pristupa službenim komunikacijskim kanalima važna je za zaštitu računa, poslovnih informacija i ugleda organizacije.