Adevărul înspăيător despre încredere: De ce faptul că ești „verificat” nu înseamnă că ești în siguranță

Să vorbim despre ceva ce îi ține pe specialiștii în securitate treji noaptea. Nu este hackerul cu hanorac pe care îl vezi în filme. Nu este nici vorba de un exploit sofisticat de tip zero-day. Este ceva mult mai simplu și infinit mai periculos: presupunerea că verificarea identității este egală cu verificarea autenticității.

Am dat peste acest studiu de caz fascinant (și ușor terifiant) recent și nu pot înceta să mă gândesc la el. O companie — să-i spunem o tipică întreprindere de dimensiuni medii — a trecut prin nu unul, ci trei incidente de securitate separate, pe parcursul a patru luni. Iată surpriza: niciunul dintre ele nu a implicat spargerea rețelelor sau exploatarea erorilor de software. De fiecare dată, atacatorul a devenit pur și simplu cineva în care compania avea deja încredere.

Este... de fapt destul de tulburător când te gândești la asta.

Parola a fost perfectă. Persoana nu.

Iată care este problema cu securitatea tradițională: tratăm autentificarea ca pe o problemă de lacăt și cheie. Obții parola corectă, treci de verificarea MFA și boom — ești înăuntru. Dar ce se întâmplă dacă lacătul funcționează exact așa cum a fost proiectat, iar persoana care trece pe sub el... pur și simplu nu este cine pretinde că este?

Cazurile la care mă refer au prezentat trei variante diferite ale aceleiași probleme. Mai întâi, a fost un CFO care a primit un apel de la „suport IT” despre o activitate suspectă pe contul său. ID-ul apelantului arăta un număr intern. Cel care suna cunoștea furnizorul de MFA al companiei. Știau că CFO-ul era în călătorie (pentru că postase despre asta pe rețelele sociale, pentru că, desigur, așa facem toți). Aveau chiar și informații din vechi breșe de date care pluteau pe dark web.

Tot ce aveau nevoie era ca el să citească înapoi un cod de verificare. Și a făcut-o.

În douăzeci de minute, cineva folosea e-mailul său pentru a solicita plăți urgente. Singurul motiv pentru care banii nu s-au mișcat? Un specialist avizat în contabilitate a simțit că cererea pare „ciudată” și l-a sunat direct. Acel instinct uman a salvat situația.

Ai încredere, dar verifică (cu excepția cazului în care nu o faci)

Ceea ce mă frapează cel mai mult la aceste incidente nu este sofisticarea atacurilor — ci cât de plictisitoare ar părea pentru majoritatea sistemelor de securitate. Credențialele erau corecte. Autentificarea a trecut. Sesiunile erau valide.

Dar, undeva pe parcurs, am uitat că verificarea nu înseamnă doar bifarea unor căsuțe. Înseamnă a confirma că persoana de la celălalt capăt este chiar cine spune că este — și că are un motiv legitim pentru ceea ce face.

Al doilea incident a implicat o angajată de la distanță care părea complet legitimă. Un CV excelent. Referințe credibile. Un portofoliu solid. Dar iată problema — niciuna dintre acestea nu este greu de furat. Persoana s-a dovedit a fi cineva care folosea identitatea unui inginer real, cu referințe complet fabricate, și opera de peste mări folosind laptopuri de companie trimise la un apartament închiriat.

Singurul motiv pentru care s-a observat asta? Cineva a remarcat că laptopul era cel mai activ în timpul nopții. Asta. Fără detectare sofisticată. Doar cineva care a pus atenție la ceva ce părea puțin neobișnuit.

Problema sesiunii despre care nu vorbește nimeni

Și apoi este al treilea incident, care cred că este cea mai trecută de pe sub tine amenințarea în securitatea modernă. Contul unei executante a fost accesat din România. Ea dormea în Ohio în acel moment.

Parola ei nu fusese compromisă. MFA-ul ei nu fusese ocolit. În schimb, un malware de pe un computer de acasă folosit în comun îi colectase cookie-urile de sesiune ale browserului. Atacatorul a pășit direct prin ușa digitală, apărând ca un utilizator autentificat perfect legitim.

Acesta este secretul murdar al autentificării bazate pe sesiune: odată ce ești înăuntru, de multe ori rămâi acolo. Token-urile de sesiune pot rămâne valide timp de ore sau chiar zile. Și, spre deosebire de parole, acestea nu sunt ceva ce utilizatorii le pot proteja sau rota ușor.

Deci, care este lecția reală?

Nu cred că lecția aici este „fii mai paranoic” (deși, sincer spus, o puțină paranoie sănătoasă nu strică niciodată). Cred că adevărata observație este legată de decalajul dintre verificarea identității și confirmarea încrederii.

Majoritatea organizațiilor au devenit destul de bune la prima parte. Verificăm credențialele, aplicăm MFA, bifăm căsuțele. Dar a doua parte — confirmarea continuă că cineva este încă autorizat și acționează în mod appropriate — acolo e locul unde eșuăm.

Cazurile despre care discutăm au avut toate ceva în comun: au fost detectate de oameni sau de sisteme proiectate de oameni care căutau anomalii comportamentale, nu doar eșecuri de autentificare. Un coleg care a pus la îndoială o cerere neobișnuită. Un analist care a observat modele de lucru ciudate. Un sistem automatizat care a semnalat o călătorie imposibilă.

Controalele tehnice sunt necesare. Dar nu sunt suficiente. Multiplicatorul real de securitate este construirea unei culturi în care oamenii se simt empowers să pună la îndoială lucrurile care li se par greșite — chiar și atunci când credențialele sunt corecte.

Pentru că iată adevărul inconfortabil: în peisajul actual de amenințări, cel mai mare risc de securitate s-ar putea să nu fie atacatorul de dincolo de zidurile tale. S-ar putea să fie identitatea care pare perfect validă și care se află deja în interiorul lor.

Rămâneți vigilenți, prieteni.

Etichete: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']