وعده حلقه قهرمانی، تله امنیتی از آب درآمد

به گزارش خبرگزاری آنا، به نقل از «Ars Technica»؛ سازمان نیویورک نیکس در اواخر سپتامبر ایمیلی برای گروهی از کارکنان مدیسون اسکوئر گاردن، شرکت مالک این تیم بسکتبال، ارسال کرد که در آن از دریافت حلقه قهرمانی رایگان خبر داده بود. پیام با عبارت «حلقه قهرمانی کارکنان شما آماده است» آغاز می‌شد و از مخاطبان می‌خواست یکی از دو طرح پیشنهادی را انتخاب کنند.

در متن ایمیل آمده بود که حلقه با همان جواهرساز و کیفیت حلقه بازیکنان ساخته می‌شود و نام کارمند نیز روی آن حک خواهد شد؛ ضمن آنکه دریافت‌کننده هیچ هزینه‌ای پرداخت نمی‌کند. این پیام حتی تصاویر دو طرح حلقه با نام‌های «طلای قهرمانی» و «کلاسیک گاردن» را نمایش می‌داد و کارکنان را به رزرو طرح دلخواه دعوت می‌کرد.

البته لینک ایمیل به صفحه ثبت سفارش حلقه منتهی نمی‌شد. کارکنانی که روی آن کلیک کردند، با اطلاعیه‌ای درباره شرکت در آموزش امنیت سایبری روبه‌رو شدند. ایمیل در واقع بخشی از یک آزمون داخلی فیشینگ بود که با هدف سنجش توانایی کارکنان در تشخیص پیام‌های مشکوک طراحی شده بود.

چرا حلقه قهرمانی طعمه مناسبی به نظر می‌رسید؟

آزمون‌های شبیه‌سازی فیشینگ در شرکت‌ها برای سنجش میزان آگاهی کارکنان از تهدیدهای امنیتی رایج‌اند. در این آزمون‌ها، ایمیلی ساختگی با ظاهر یک پیام معتبر و نزدیک به حوزه کاری و فعالیت کارکنان ارسال می‌شود تا مشخص شود چه کسانی به لینک‌های مشکوک اعتماد می‌کنند. در این مورد هم وعده دریافت حلقه قهرمانی چندان دور از ذهن نبود؛ زیرا در برخی تیم‌های NBA، حلقه‌های یادبود قهرمانی به کارکنان نیز اهدا می‌شود.

ماجرا زمانی حساس‌تر شد که گزارش‌ها نشان داد برخی اعضای کادر فنی و کارکنان قدیمی باشگاه در مراسم اهدای حلقه‌ها، حلقه‌ای دریافت نکرده‌اند. به نوشته آرس تکنیکا، دستیاران مربی در مراسم افتتاحیه فصل جعبه‌هایی خالی دریافت کردند و قرار بود حلقه‌هایشان در آینده نزدیک تحویل داده شود؛ برخی کارکنان بخش تجاری باشگاه نیز به طور کلی در فهرست دریافت‌کنندگان حلقه قرار نداشتند.

سد نخست در برابر فیشینگ چیست؟

ایمیل‌های فیشینگ همیشه با وعده جایزه یا درخواست فوری پول ظاهر نمی‌شوند؛ گاهی در قالب پیام‌های کاری، دعوت‌نامه‌ها یا پیشنهادهایی باورپذیر طراحی می‌شوند تا کاربر بدون بررسی، روی لینک کلیک کند. ماجرای کارکنان نیویورک نیکس نشان می‌دهد حتی یک پیام ظاهراً معتبر در محیط سازمانی هم می‌تواند به تله‌ای برای سرقت اطلاعات تبدیل شود.

در چنین شرایطی، آموزش کارکنان برای تشخیص نشانه‌های فیشینگ اهمیت زیادی دارد؛ اما این آموزش نباید به آزمون‌های فریبنده محدود شود. کارکنان باید بدانند چگونه فرستنده و نشانی لینک را بررسی کنند، به پیام‌های غیرمنتظره مشکوک باشند و در صورت مواجهه با لینک ناشناس، پیش از کلیک از واحد فناوری اطلاعات سازمان راهنمایی بگیرند. تشخیص پیام مشکوک و پرهیز از کلیک عجولانه، نخستین گام برای جلوگیری از سرقت اطلاعات سازمانی است.

در گفت‌وگوی آناتک با امیر شکاری، کارشناس فناوری اطلاعات، نیز به خطر لینک‌های آلوده و اقداماتی که کاربران پس از کلیک روی چنین لینک‌هایی باید انجام دهند، پرداخته شده است. شکاری در این گفت‌وگو توضیح می‌دهد که بازکردن لینک به‌ تنهایی به معنای هک‌شدن دستگاه نیست؛ اما اگر کاربر اطلاعات حساب یا بانکی خود را وارد کرده یا برنامه‌ای مشکوک نصب کرده باشد، باید متناسب با نوع اتفاق، از تغییر رمز و بررسی نشست‌های فعال تا تماس با بانک از مسیرهای رسمی، اقدامات امنیتی لازم را انجام دهد.

آزمون امنیتی درست بود، طعمه اشتباه

پس از انتشار گزارش‌ها، مدیسون اسکوئر گاردن اعلام کرد این ایمیل با هدف تقویت امنیت در برابر حملات هکری و شبیه‌سازی یک حمله فیشینگ ارسال شده بود. شرکت همچنین گفت اخیرا هدف حمله سایبری و اخاذی قرار گرفته و مهاجمان با استفاده از اطلاعات ورود یک کارمند که از طریق حمله‌ای مشابه به دست آورده بودند، به سیستم دسترسی پیدا کرده‌اند.

با این حال، شرکت استفاده از حلقه‌های قهرمانی برای جلب توجه کارکنان را اشتباه دانست و از کارکنان و هواداران عذرخواهی کرد. مدیسون اسکوئر گاردن تاکید کرد که هدف از یادآوری ضرورت حفاظت از اطلاعات و دارایی‌های سازمان، اشتباه نبوده؛ بلکه انتخاب حلقه قهرمانی به‌عنوان طعمه آزمون، تصمیم نامناسبی بوده است.

این شرکت همچنین اعلام کرد بیش از ۲۷۵ حلقه قهرمانی و قطعه جواهر به بازیکنان، مربیان، کارکنان و دیگر اعضای مجموعه نیکس اهدا خواهد کرد؛ هدایایی که ارزش مجموع آن‌ها بیش از ۳.۷ میلیون دلار برآورد شده است. به گفته شرکت، بازیکنان حلقه‌های خود را در مراسم آغاز فصل دریافت کردند و سایر افراد واجد شرایط قرار است حلقه‌هایشان را طی چهار تا شش هفته بعد تحویل بگیرند.

این آزمون امنیتی چه نتیجه‌ای داشت؟

ماجرای نیکس نشان می‌دهد آزمون‌های فیشینگ داخلی، اگرچه با هدف ارتقای امنیت اجرا می‌شوند، می‌توانند به تجربه‌ای آزاردهنده برای کارکنان تبدیل شوند؛ به‌ویژه زمانی که پیام ساختگی به وعده‌ای واقعی و احساسی گره می‌خورد. در این مورد، حلقه قهرمانی فقط یک جایزه نبود؛ نمادی از مشارکت کارکنان در موفقیت تیم بود.

از سوی دیگر، کلیک روی یک لینک به‌ تنهایی نشان‌دهنده بی‌دقتی یا ناآگاهی فرد نیست. طراحی پیام، میزان باورپذیری وعده و زمینه‌ای که مخاطب در آن پیام را دریافت می‌کند، در نتیجه آزمون اثرگذارند. در ماجرای نیکس، خود شرکت نیز پذیرفت که انتخاب این وعده برای آزمون امنیتی، تصمیم اشتباهی بوده است.

فریب برای مقابله با فریب

آموزش امنیت سایبری زمانی اثربخش است که کارکنان را برای شناسایی تهدیدها آماده کند، نه اینکه اعتماد آن‌ها به سازمان را هدف بگیرد. در ماجرای نیکس، آزمون فیشینگ به‌جای تمرکز بر نشانه‌های یک حمله واقعی، از وعده‌ای استفاده کرد که در بستر همان سازمان باورپذیر بود. وقتی یک آزمون امنیتی با احساس بی‌عدالتی یا فریب‌خوردگی همراه شود، پیام آموزشی آن زیر سایه تصمیمی قرار می‌گیرد که شرکت ناچار به عذرخواهی بابت آن شده است.