Εισαγωγή
Τόσο τα σκληρά δεδομένα όσο και τα ανεκδοτικά στοιχεία δείχνουν ότι η κύρια αιτία για τις εταιρείες που παραβιάζονται είναι το ανθρώπινο λάθος. Συνεργατική έρευνα από το Πανεπιστήμιο του Στάνφορντ και την εταιρεία ασφάλειας Tessian έδειξαν ότι το 88% των παραβιάσεων δεδομένων οφείλονται σε υπαλλήλους που κάνουν κλικ σε μηνύματα ηλεκτρονικού ταχυδρομείου χάκερ επειδή πίστευαν ότι αυτά προέρχονταν πραγματικά από κορυφαίο στέλεχος της εταιρείας ή νόμιμη πηγή. Λαμβάνοντας υπόψη ότι δεκάδες εργαζόμενοι σε μια εταιρεία έχουν πρόσβαση σε κρίσιμα έγγραφα και δεδομένα που μπορεί να χρειαστεί να μοιραστούν με υπεργολάβους για ένα έργο, η πιθανότητα χάκερ και κοινωνικών μηχανικών να μπουν στη μέση και να διαπράξουν απάτη αυξάνεται εκθετικά.
Σε 2020 συνέντευξη, ο Joseph Rigazio, ηγέτης στον κλάδο των κατασκευών και της μηχανικής, μοιράστηκε τις σκέψεις του για τους κινδύνους κυβερνοασφάλειας που αντιμετωπίζουν οι κατασκευαστικές εταιρείες. Η συνέντευξη έχει αποδειχθεί αποτελεσματική στην έμφαση στην ανάγκη ενσωμάτωσης των κατασκευαστών με καλά ενημερωμένο PKI εργαλεία. Ο Τζόζεφ έλαβε εκπαίδευση στην Ηλεκτρολογία, στην Οικονομία Επιχειρήσεων και στη Διοίκηση Κατασκευών, εργάστηκε για 21 χρόνια στην Texas Instruments και είναι σήμερα επικεφαλής της Talisen Construction Corporation. Οι ιδέες του μεταγράφονται παρακάτω:
«Ένας άλλος τομέας από την άποψη της κατασκευής, σωστά… phishing… η απάτη… ransomware… σε κλειδώνει… μπαίνεις μέσα και κλέβεις - υπάρχει περιεχόμενο και πληροφορίες επικοινωνίας, οπότε μερικά από τα πράγματα που με κρατούν ξύπνια τη νύχτα είναι τώρα ψάχνουν για τραπεζικά αρχεία και αναζητούν τη ροή εργασιών της αλυσίδας πληρωτέων και απαιτήσεών σας, πού βρίσκονται αυτές οι ενσύρματες πληροφορίες, οι αριθμοί EIN των πωλητών μας κ.λπ. Αυτό είναι ανησυχητικό. Αυτό είναι από τη μία πλευρά, ξέρετε, πάρτε τα χρήματα. Τι γίνεται με τα επαγγελματικά σχέδια και σχέδια. Έχουμε πολύ περιεχόμενο, δηλαδή έχουμε να κάνουμε με πιο ευαίσθητους πελάτες που δίνουν πληροφορίες, ας πούμε τραπεζικές κάρτες. Ξέρουμε πού είναι το χρηματοκιβώτιο, γνωρίζουμε τις δομές των τοίχων, ξέρουμε πώς να περάσουμε από κάτω τους. Είναι όλα σε σχέδια. Οι κατασκευαστικές εταιρείες έχουν ψηφιοποιηθεί τα τελευταία 10 χρόνια, οπότε υπάρχει πολλή τεκμηρίωση στα αρχεία μας που δείχνουν πώς κατασκευάστηκαν αυτά τα κτίρια ».
-Ιωσήφ Ριγκάτσιο
Διευθύνων Σύμβουλος της Talisen Construction Corporation
Τα δεδομένα δείχνουν ότι οι ανησυχίες του Rigazio έχουν πραγματοποιηθεί την τελευταία δεκαετία με ανησυχητική συχνότητα. Σύμφωνα με την εταιρεία διαχείρισης κινδύνων Μάρκ Μακλενάν, οι μηχανολογικές εταιρείες στον κατασκευαστικό κλάδο είναι τα μάτια των χάκερ επειδή «σχετικά λίγοι εργολάβοι έχουν εντοπίσει και ποσοτικοποιήσει διεξοδικά τις κυβερνοεκθέσεις τους ή έχουν αναπτύξει σχέδια για τον μετριασμό και/ή τη μεταφορά του συγκεκριμένου κινδύνου».
A Ολοκληρωμένη έρευνα 2016-2017 από την Kroll, εταιρεία ψηφιακών λύσεων κινδύνου και αποτίμησης, ανέφερε ότι το 63% των ερωτηθέντων στον κλάδο της μηχανικής, των κατασκευών και των υποδομών αντιμετώπισαν κίνδυνο ασφάλειας το περασμένο έτος. Όσον αφορά τις επιθέσεις στον κυβερνοχώρο, η έρευνα έδειξε ότι και το τελευταίο έτος, περισσότερο από το 75% των ερωτηθέντων αντιμετώπισαν διάφορες μορφές παραβιάσεων στον κυβερνοχώρο, συμπεριλαμβανομένου του ηλεκτρονικού ψαρέματος (phishing), των ιών σκουληκιών και της διαγραφής δεδομένων με κεντρικό στόχο τα αρχεία πελατών.
Η επόμενη ενότητα συζητά πρόσφατες ιστορικές περιπτώσεις που καταδεικνύουν τον τρόπο με τον οποίο έχουν παραβιαστεί μηχανικές ή κατασκευαστικές εταιρείες.
Πρόσφατες ιστορικές περιπτώσεις κυβερνοεπιθέσεων σε μηχανικές εταιρείες
Το 2013, τα σχέδια για το νέο Το κτίριο της Αυστραλιανής Υπηρεσίας Πληροφοριών Ασφάλειας (ASIO) έκλεψε η κινεζική συμμορία χάκερ APT3 που ανέβασε κακόβουλο λογισμικό στον φορητό υπολογιστή ενός υπαλλήλου της ASIO. Μεταξύ του σημαντικού κλεμμένου περιεχομένου περιλαμβάνονται η κάτοψη, τα συστήματα επικοινωνιών και τα συστήματα ασφαλείας. Η κυβερνοεπίθεση προκάλεσε καθυστέρηση στην κατασκευή του κτιρίου και ανάγκασε την ASIO να σκεφτεί τον επανασχεδιασμό της.
Τον Μάρτιο του 2016, μια απάτη ηλεκτρονικού ψαρέματος στόχευσε έναν υπάλληλο της Turner Construction, μιας από τις μεγαλύτερες αμερικανικές κατασκευαστικές εταιρείες. Το άτομο κατέληξε να στέλνει τους αριθμούς κοινωνικής ασφάλισης και τις διευθύνσεις των τωρινών και των προηγούμενων υπαλλήλων στον λογαριασμό ηλεκτρονικού ταχυδρομείου ενός χάκερ. Οι ψαράδες Spear δημιουργούν ψεύτικους λογαριασμούς email ατόμων σε μια εταιρεία που έχουν βασικές θέσεις όπως CEOs και στη συνέχεια εξαπατούν τους υπαλλήλους να στέλνουν εμπιστευτικά δεδομένα ή να ξεκινούν οικονομικές συναλλαγές. Τα προσωπικά δεδομένα που συλλέγονται από χάκερ μπορούν να χρησιμοποιηθούν σε άλλες δόλιες συναλλαγές, όπως η προσποίηση του ατόμου που κατέχει τον αριθμό κοινωνικής ασφάλισης και στη συνέχεια εξαπάτηση υπαλλήλου άλλης εταιρείας, όπως τράπεζας, για τη μεταφορά χρημάτων στον λογαριασμό του χάκερ.
Η ίδια η εταιρεία του Joseph Rigazio έπεσε επίσης θύμα ψαρέματος. Στην ίδια συνέντευξη του 2020, μοιράστηκε τον τρόπο με τον οποίο εξαπατήθηκε ο επικεφαλής της λογιστικής έργου όταν το άτομο πίστευε ότι ο χάκερ με τον οποίο επικοινωνούσε μέσω email ήταν αυτός. Κατά τη συνάντησή του στο γραφείο, ο υπάλληλος του Τζόζεφ ανέφερε ότι συνέχισε τη συναλλαγή στην οποία ο Τζόζεφ απάντησε με "Τι λέτε;" Το άτομο στη συνέχεια άσπρισε αφού συνειδητοποίησε ότι εξαπατήθηκε και ο εγκληματίας στον κυβερνοχώρο έφυγε με $ 10,000.
Αυτό το 2021, εφημερίδα του κατασκευαστικού κλάδου ανέφερε ότι «οι εγκληματίες στον κυβερνοχώρο έχουν μετακινηθεί από την παραβίαση προσωπικών πληροφοριών. Τώρα η εταιρική νοημοσύνη, η υποδομή και ακόμη και ο βαρύς εξοπλισμός είναι στόχοι ».
Probσως το πιο οριστικό παράδειγμα των ανησυχητικών κινδύνων για την ασφάλεια στον κυβερνοχώρο που αντιμετωπίζουν οι εταιρείες μηχανικής είναι ο Μάιος του 2021 επίθεση ransomware του Colonial Pipeline, ένα σύστημα αγωγών πετρελαίου που μεταφέρει βενζίνη και ντίζελ από το Τέξας στις νοτιοανατολικές πολιτείες. Οι απατεώνες στον κυβερνοχώρο, που πιστεύεται ότι είναι η συμμορία της Ανατολικής Ευρώπης Darkside, στόχευσαν τους υπολογιστές που ελέγχουν το σύστημα αγωγών. Έκλεψαν επίσης σχεδόν 100 GB πληροφορίες από την Colonial Pipeline και απείλησαν να τις γνωστοποιήσουν στο διαδίκτυο εάν η εταιρεία δεν καταβάλει τα λύτρα. Από φόβο μήπως συμβούν μετέπειτα επιθέσεις και επειδή έχουν χάσει την ικανότητά τους να χρεώνουν πελάτες, η Colonial Pipeline αποφάσισε να τερματίσει τη λειτουργία της και πλήρωσε σχεδόν 5 εκατομμύρια δολάρια στο Darkside. Αυτή η επίθεση ransomware επηρέασε τις προμήθειες καυσίμων στα αεροδρόμια και τις αλλαγές του προγράμματος πτήσεων και προκάλεσε αγορές πανικού.
Τελευταία λέξη
Οι κίνδυνοι για την ασφάλεια στον κυβερνοχώρο που σχετίζονται με την ψηφιακή εργασία μηχανικής δεν θα πρέπει να ενθαρρύνουν τις εταιρείες να υποχωρήσουν σε αμιγώς χάρτινο σχεδιασμό και συναλλαγές.
Ποιος είναι λοιπόν ο τρόπος για να βοηθήσετε τους εργαζόμενους να μην παραπλανηθούν από χάκερ; Πώς αντιμετωπίζουμε τους κινδύνους κλοπής δεδομένων όταν χρησιμοποιούμε το Διαδίκτυο; Η εκπαίδευση τους από μια εταιρεία κυβερνοασφάλειας για βασικά πρωτόκολλα ασφάλειας είναι μία μέθοδος. Αλλά για να ξεπεραστούν πραγματικά οι ανθρώπινοι περιορισμοί στη διαφύλαξη πολύτιμων δεδομένων, οι εταιρείες μηχανικής θα πρέπει να προσπαθήσουν να επενδύσουν σε κυβερνοασφάλεια που βασίζεται σε κρυπτογράφηση, η οποία θα καταστήσει πολύ δύσκολο για τους χάκερ να κλέψουν πληροφορίες ακόμη και από τους λιγότερο εξοικειωμένους με το Διαδίκτυο εργαζομένους.
Εάν είστε μηχανικός ή κάποιος που κατέχει μια εταιρεία μηχανικών, ελέγξτε το άρθρο μας εδώ που συζητά τα οφέλη του PKI τεχνολογία για την προστασία των δεδομένων σας.
