Astăzi, presupunem că sunt un hacker rău intenționat.
Am pătruns în sistemul dvs., am furat datele despre clienții și angajații dvs., informații despre contul dvs. financiar și proprietatea dvs. intelectuală. Am bazele dvs. de date cu conturile de e-mail stocate și o cantitate destul de mare de date personale ale angajaților, ce nu știați că au fost stocate în sistemul dvs. (adrese mail, logări Facebook, acreditări de software etc.)
Cum am intrat? Poate v-am urmărit de ceva vreme. V-am urmărit pe social media, v-am scanat sistemul informatic, m-am uitat după vulnerabilități sau softuri neactualizate pe serverul dvs. Am urmărit știri despre compania dvs. M-am împrietenit cu angajații dvs. pe rețelele de socializare, am pus întrebări cheie, utilizând tehnici de inginerie socială și am primit răspunsuri.
Sau poate sunteți o victimă colaterală. Poate tocmai v-am accesat site-ul și am ,,încercat ușa din spate”.
Așadar, acum, cum pot face bani? Vreau să spun că acesta este motivul pentru care v-am atacat, deoarece sunt un hacker motivat financiar. Nu v-am atacat pentru că eram un spion corporatist, că am dorit să vă atac sistemul de plăcere, sau chiar să vă fac de râs compania. V-am atacat pentru a face bani.
Cel mai ușor mod este să folosesc cardurile de credit, corect? Nu chiar. Cardingul este mai mult o artă acum, deoarece necesită cunoștințe speciale de a eluda sistemele de verificare a adreselor. În plus, am nevoie de “țapi ispășitori” pentru a colecta banii sau bunurile pe care le cumpăr și apoi să le recuperez.
Cardurile de credit pe care le-am furat, urmează să le vând sau să le tranzacționez. Prețul de vânzare este de aproximativ 60$ per card. Sau pot să le comercializez altor hackeri pentru diferite servicii, softuri sau exploit-uri.
Următorul pas îl reprezintă detaliile bancare. Dacă am acces complet la conturile dvs. bancare, pot efectua transferuri către conturile pe care le dețin. Din nou, acest lucru necesită o planificare, deoarece trebuie să mă asigur că plățile nu se vor face pe numele meu real și că, imediat ce banii sosesc în acele conturi, transfer la un al doilea, apoi la un al treilea cont, ascunzând astfel traseul. Acest lucru presupune o planificare prealabilă și o rețea bună de oameni pentru a muta și a extrage banii.
Acum, revenim la adresele de e-mail, la datele angajaților și ale clienților. O mare parte din acestea pot fi vândute altora, care sunt pregătiți să le folosească pentru diverse scheme, cum ar fi phishing-ul, sau pentru a răspândi un malware sau un botnet.
Eu le voi folosi pentru publicitate. Dețin un soft ce va încerca să obțină acces la toți furnizorii de servicii de e-mail, social media și alte sisteme online prin introducerea adreselor de e-mail și a parolelor pe care le-am furat. Din moment ce 85% dintre utilizatori folosesc aceeași parolă pentru toate acestea, acest lucru ar trebui să fie floare la ureche.
Imediat ce am acces la conturile de e-mail și de social media ale angajaților și clienților dvs., am să culeg diverse date, cum ar fi cele financiare, pentru a comite fraude. Posibil să le folosesc pentru a trimite link-uri ce au ca scop să vă înșele pe dvs., dar și pe alții, convingându-vă să instalați un malware, ce o să vă cripteze hard disk-urile și apoi voi cere în jur de 300 – 1000$ pentru a vă furniza parola ce o să va decripteze datele.
Voi trimite mesaje e-mail și postări, comentarii și tweet-uri, ca proprietar adevărat al contului, să încurajez oamenii să meargă pe diverse site-uri web sau să dea click pe link-uri. De ce? Deoarece sunt plătit de agenții de publicitate pentru a genera trafic pe site-uri web, și voi face mai mulți bani dacă îi conving să dea click pe link-urile de anunțuri.
De asemenea, o să fiu plătit dacă oamenii se înscriu pentru diverse oferte. Plata variază de la 2 până la 200 $ per înscriere. Așadar, iau toate datele pe care le am, ascunzându-mă prin VPN-uri, proxy-uri și prin rețeaua TOR pentru a vă face pe dvs., pe angajații și pe clienții dvs. să vă înscrieți pe site-uri ce vând pastile de dietă, Netflix, medicamente ED etc. Toate cele enumerate mă vor plăti, iar victimele nu au nici cea mai mică idee despre ,,Cum acele companii au detaliile lor!” În zilele bune, acest lucru îmi va aduce între 1100-1500 $ / zi. Dacă pot integra anunțurile în aplicații populare, pot face până la 5K $ / zi sau chiar mai mult.
Acum, pentru celelalte date la care am acces, proprietatea dvs. intelectuală va fi oferită celui mai mare ofertant, deoarece există întotdeauna oameni interesați de ce produse noi are compania dvs. sau de numerele reale din spatele rapoartelor dvs. de câștiguri. De asemenea, vă voi șantaja, oferindu-vă datele, dacă mă plătiți. Desigur, dacă sunteți gata să negociați, înseamnă că datele sunt valoroase și pot să le vând mai departe.
Vulnerabilitatea pe care am exploatat-o, îmi va aduce bani și o reputație online atunci când o public.
La fel, datele de pe Google Play, de pe site-urile de jocuri online, de pe site-urile de matrimoniale etc, pe care le-am obținut pot fi vândute sau tranzacționate. Există o piață pentru tot, dacă știi unde să te uiți.
Mai departe, deoarece am reușit să fur informații esențiale de la dvs. și de la compania dvs., pot să:
- Să vă șantajez pe dvs., familia dvs., compania, angajații și clienții dvs.;
- Să comit diferite fraude cu ajutorul conturilor obținute;
- Să vând sau să public proprietatea dvs. intelectuală;
- Să-i impersonez pe toți cei cărora le-am accesat conturile, pentru a aduce trafic și a face diferite vânzări;
- Să vând exploit-ul pe care l-am folosit pentru a pătrunde în sistemul dvs.;
- Să las în urmă un backdoor pentru a fura și a supraveghea mai multe date;
- Să comercializez datele pentru diferite servicii și pentru a-mi construi o reputație printre hackeri;
Probabil că aș fi fost oprit dacă sistemele de securitate ar fi fost configurate corect, monitorizate și testate. Probabil că aș fi fost oprit dacă dvs., familia dvs., compania și angajații dvs. ați fi înțeles cum se realizează atacurile cibernetice și ce țintesc.
Dar erați prea ocupați să ascultați și să învățați de la speakeri motivaționali, sau să participați la cursuri pentru dezvoltarea afacerii. Erați prea ocupat pentru a conduce compania, nicidecum pentru a învăța cum să o protejați.
Știți care este cel mai frumos lucru, pentru mine? Nu veți încerca să mă prindeți pentru că vă este teamă că reputația o să vă fie pătată, dacă se află ce ați pățit. S-ar putea să apelați totuși la poliție, dar va dura mulți ani până o să fiu prins (dacă o să fiu prins), și mai există posibilitatea să pot trăi într-o țară în care aceștia nu au jurisdicție.
Vedeți voi, atunci când au loc astfel de atacuri, toată lumea vorbește despre datele furate și despre costul suportat de companie pentru a repara ,,daunele”, dar nimeni nu vorbește despre cum eu, hackerul, voi folosi datele furate.
Modul în care are loc atacul (phishing-ul, ingineria socială, instalările malware etc) este probabil același, însă modul în care acesta va fi folosit este adesea foarte diferit.
Înțelegerea acestui lucru vă va ajuta să vă apărați de cei ca mine.
Așadar, cât de sigur credeți că este site-ul companiei dvs.?
