როგორ გათიშა ერთმა სატელეფონო ზარმა ლას-ვეგასის კაზინოები და რა უნდა ისწავლოს ქართულმა ბიზნესმა

2023 წლის სექტემბერში, ლას-ვეგასის ცენტრში, მსოფლიოს უდიდესი კაზინოებისა და სასტუმროების ქსელის, MGM Resorts-ის მუშაობა სრულად შეჩერდა.

გაითიშა ლიფტები, სტუმრები ვერ აღებდნენ ოთახის კარებს ელექტრონული გასაღებებით, აღარ მუშაობდა სათამაშო აპარატები და პარალიზებული იყო ჯავშნების სისტემა. კომპანიამ 100 მილიონ დოლარზე მეტი იზარალა.

ბევრს ეგონა, რომ ეს იყო ურთულესი ტექნიკური შეტევა, რომელზეც ჰაკერების ჯგუფი თვეობით მუშაობდა. სინამდვილეში, ყველაფერი ბევრად უფრო მარტივად, ე.წ. სოციალური ინჟინერიით (Social Engineering) და ვიშინგით (Vishing - ხმოვანი ფიშინგი) მოხდა.

შეტევის ანატომია: 10-წუთიანი ზარი

ჰაკერების ჯგუფმა, სახელად Scattered Spider, LinkedIn-ზე მოიძია MGM-ის ერთ-ერთი თანამშრომლის საჯარო მონაცემები.

შემდეგ მათ დაურეკეს კომპანიის IT დახმარების ცენტრს (Helpdesk), წარუდგნენ ამ თანამშრომლის სახელით, უთხრეს, რომ პაროლი დაავიწყდათ და დახმარება სთხოვეს. დამნაშავე იმდენად დამაჯერებლად საუბრობდა, რომ IT სპეციალისტმა მას პაროლი აღუდგინა და ახალ მოწყობილობაზე ორეტაპიანი ავთენტიფიკაციაც (MFA) გაუაქტიურა.

სულ ეს იყო. ერთმა დაუფიქრებელმა სატელეფონო ზარმა ჰაკერს კორპორატიულ ქსელში ოფიციალური წვდომა მისცა, რის შემდეგაც მათ სისტემაში მავნე Ransomware პროგრამა გაუშვეს.

რატომ არის ეს მნიშვნელოვანი ქართული კომპანიებისთვის?

ხშირად ქართულ ბიზნესში ფიქრობენ, რომ უსაფრთხოების ძვირადღირებული პროგრამების ყიდვა საკმარისია. MGM Resorts-ს კიბერუსაფრთხოების უზარმაზარი ბიუჯეტი და უახლესი ტექნოლოგიები ჰქონდა, მაგრამ ამან ისინი ვერ გადაარჩინა, რადგან სისტემაში ყველაზე სუსტი რგოლი — ადამიანი — მოატყუეს.

არ აქვს მნიშვნელობა, მულტინაციონალური კორპორაცია ხართ თუ ქართული სტარტაპი; თაღლითების მეთოდები ერთნაირია:

1. ინფორმაციის შეგროვება: თანამშრომლები სოციალურ ქსელებში ხშირად ასაჯაროებენ ზედმეტ დეტალებს თავიანთი პოზიციისა და კომპანიის შიდა სტრუქტურის შესახებ.
2. ნდობის ბოროტად გამოყენება: ჩვენი ბუნებრივი ინსტინქტია, დავეხმაროთ ადამიანს, განსაკუთრებით — „კოლეგას“. ჰაკერები სწორედ ამას იყენებენ.

რას გვასწავლის ShieldWise?

თუ ეს დაემართა მილიარდიან კორპორაციას, დაფიქრდით: რამდენად მარტივად შეუძლია უცხო პირს დაურეკოს თქვენს ბუღალტერს ან IT მენეჯერს და თავი პარტნიორად ან ახალ თანამშრომლად გაასაღოს?

ShieldWise-ის კურსები — „ვიშინგი (სატელეფონო თაღლითობა)“ და „სოციალური ინჟინერია“ — თქვენს გუნდს ზუსტად ამ ტაქტიკების ამოცნობას ასწავლის. თანამშრომლებმა უნდა იცოდნენ, როგორ გადაამოწმონ მოსაუბრის იდენტობა ტელეფონით, რათა ერთი უწყინარი ზარი კომპანიისთვის ფატალური არ აღმოჩნდეს.