O ukradnutých dátach a špehujúcej klávesnici 

Technologický pokrok hrá do karát kybernetickým útokom, ktoré si každoročne vyžiadajú obrovské finančné straty. V TITANS sme preto zhrnuli viaceré trendy v oblasti bezpečnosti, ako sú passkeys či biometrické faktory, aj prehliadané hrozby, ktorým sa oplatí vyhnúť.   

Načo by sa útočníci namáhali hacknutím vášho počítača, keď sa doň môžu jednoducho prihlásiť?  

Medzi najčastejšie vektory kybernetických útokov, ktoré úspešne narušia bezpečnosť systémov, patria ukradnuté prihlasovacie údaje. Kým v minulosti potrebovali hackeri 16 hodín na to, aby vytvorili presvedčivý phishingový email, ktorým sa dostali do používateľského účtu, dnes im ho AI pripraví za 5 minút. 

Rovnako ľahko im pomáha zdokonaliť a znásobiť tvorbu vysoko personalizovaných e-mailov, fotiek, hlasov a videí, ktoré napodobňujú skutočných ľudí alebo značky. O to ťažšie sa ich podvody odhalia. V priemerne 16 % incidentov, kedy sa narušila bezpečnosť údajov, útočníci využívali AI, najčastejšie vo forme phishingu (37 %) a deepfake útokov (35 %). So získaním slabých autentifikačných údajov, ako sú heslá, im pomáha aj sociálne inžinierstvo, úniky dát a malvér.   

„Útočníci potom využívajú botov, aby pomocou automatizácie realizovali hromadné pokusy o prihlásenie sa do rôznych služieb — v nádeji, že v nich ľudia použili rovnaké údaje,“ tvrdí Jeremy D’Hoinne z Gartner.  

Čas, ktorý je potrebný na to, aby sa zneužili zraniteľné miesta účtov, sa tak do roku 2027 skráti až o polovicu.  

Odborníci odporúčajú passkeys

Situáciu však môžu zvrátiť moderné metódy overovania, ktoré sú odolné voči phishingu, ako napríklad passkeys. Keďže eliminujú zraniteľnosť tradičných hesiel a jednorazových kódov, útočníkom výrazne sťažujú zneužitie prihlasovacích údajov.   

Na základe technológie web authentication sa pri vytvorení passkeys vygenerujú dva rôzne kľúče: jeden uložený na webovej stránke alebo na službe, kde máte účet, a súkromný kľúč umiestnený na zariadení, ktoré používate na overenie identity. Týmto spôsobom sa môžete prihlásiť pomocou fyzických biometrických faktorov, ako je vaša tvár či odtlačok prsta. 

Okrem toho, Microsoft uvádza, že využívanie passkeys pri prihlasovaní umožňuje 98-percentnú úspešnosť, kým v prípade účtov založených na heslách ide len o 32 percent. 

Vzhľadom na rozvíjajúcu sa hrozbu sofistikovanejších kybernetických útokov by mali lídri v oblasti bezpečnosti urýchliť prechod na bezheslovú multifaktorovú autentifikáciu, ktorá je odolná voči phishingu. Myslí si to Akif Khan z Gartner. Pre firmy nepredstavuje významné riziko len krádež účtov, ale aj technologicky vyspelejšie sociálne inžinierstvo. Gartner predpokladá, že do roku 2028 bude 40 % takýchto útokov cieliť na vedenia spoločností aj na širšiu pracovnú silu.  

„Organizácie budú musieť držať krok s vývojom na trhu a upraviť svoje postupy a pracovné toky, aby boli odolnejšie voči útokom, ktoré využívajú podvodné techniky,“ uviedol Manuel Acosta z Gartner. „Kľúčovým krokom je vzdelávanie zamestnancov o meniacom sa prostredí hrozieb, a to prostredníctvom školení zameraných na sociálne inžinierstvo a deepfakes.“  

Netreba pritom zabudnúť, že AI agenti začínajú zohrávať čoraz väčšiu úlohu v prevádzkach organizácií, a tak sa ich identity musia chrániť rovnako prísne ako tie ľudské. Až 97 % bezpečnostných incidentov, ktoré súviseli s AI firiem, bolo totiž cielených na systémy bez riadnych kontrol prístupu.  

Prečo sú passkeys len jedno z nevyhnutných opatrení

Čo by teda predstavovalo ideálnu formu ochrany? Kombinované využitie passkeys a behaviorálnej biometrie. Tá pomocou AI a ML nepretržite analyzuje jedinečné vzorce v činnosti používateľa a vytvára modely jeho typického správania. Ide napríklad o charakteristický pohyb myšou, používanie dotykovej obrazovky, rýchlosť písania, polohu mobilného telefónu či IP adresu.  

To všetko potom porovnáva s aktuálnymi prejavmi človeka využívajúceho zariadenie, aby overila jeho identitu. Ak spozoruje akékoľvek odchýlky od normálneho správania, označí to za podozrivú aktivitu a zablokuje autentifikáciu používateľa. 

Kým fyzické biometrické faktory sú pasívne, vychádzajú z nemenných charakteristík a zvyčajne sa kontrolujú len raz na začiatku relácie, behaviorálna biometria je niečo celkom odlišné. Je aktívna a používateľa monitoruje nepretržite počas celej relácie.   

Bežne sa používa ako súčasť adaptívneho autentifikačného systému, ktorý mení overovacie požiadavky na základe bezpečnostného kontextu. Ak sa napríklad používateľ prihlási zo svojej bežnej IP adresy, môže stačiť, ak zadá len heslo. Ak sa však prihlási z neočakávanej adresy, systém od neho môže vyžadovať heslo a naskenovanie odtlačku prsta.  

Okrem toho, že behaviorálna biometria posilní opatrenia organizácií na ochranu údajov a prevenciu podvodných aktivít, má aj ďalšie využitie. Dokáže urýchliť a zabezpečiť transakcie finančných služieb či odhaliť účty, ktoré sa používajú na skrytie a presun peňazí na nelegálne účely. Keďže je neintruzívna a nevyžaduje žiadne dodatočné úsilie zo strany používateľa, pomáha zabezpečiť bezproblémové skúsenosti zamestnancov a zákazníkov. 

Cena za shadow IT

Viac ako polovica organizácií v tohtoročnom prieskume uviedla, že sa stále zotavuje z narušenia bezpečnosti jej údajov. Až 76 % firiem, ktoré sa úplne postavili na nohy, uviedlo, že im zotavenie trvalo dlhšie ako 100 dní.  

A keďže zavádzanie AI prebieha rýchlejšie ako nastolenie jej bezpečnosti a dohľadu nad ňou, do veľkej miery zostáva nekontrolovaná. Až 20 % organizácií, ktoré tento rok skúmala štúdia IBM, preto utrpelo narušenie bezpečnosti v dôsledku incidentov súvisiacich so shadow AI. Tento termín označuje AI, ktoré sa využíva bez súhlasu či dohľadu zamestnávateľa.  

Ak organizácie disponovali vysokou úrovňou shadow AI, ich finančné straty z narušení údajov sa v priemere zvýšili o 670 000 dolárov. Dané incidenty tiež viedli ku kompromitácii väčšieho množstva osobných identifikačných dát a údajov duševného vlastníctva. Štúdia odhalila, že len jeden nemonitorovaný systém AI môže zapríčiniť rozsiahly únik citlivých informácií.  

Výrazné využívanie AI a automatizácie v organizáciách však priniesli aj dobré správy. Čas potrebný na identifikáciu hrozby a na zastavenie narušenia bezpečnosti sa skrátil v priemere o 80 dní, čím sa znížili aj finančné straty. 

Podobné bezpečnostné nástroje dokážu odbremeniť preťažené IT tímy, a to isté platí aj o outsourcingu freelance špecialistov. Chýbajúci odborníci na kybernetickú bezpečnosť totiž dlhodobo predstavujú pre sektor výrazný problém. Podľa tohtoročnej správy trpelo až 48 % organizácií vysokým nedostatkom expertov v oblasti bezpečnosti, čo sa zvýšilo ich priemerné finančné straty z kybernetických útokov na 5,22 milióna dolárov.  

No firmy, ktoré mali nízky alebo žiaden nedostatok talentov museli obetovať “len” 3,65 milióna dolárov. Práve IT outsourcing tak značkám umožňuje prístup ku kľúčovej expertíze a zručnostiam, ktoré do tímu prináša skúsený freelancer či freelancerka.