Tekstiviestit sähköpostiperustaisen tietojenkalastelun tehokeinona

Abstract

Erilaiset sosiaaliseen manipulointiin perustuvat tietojenkalasteluhyökkäykset ovat yritysmaailmassa laajalle levinnyt uhka, jolle ei ole absoluuttista suojautumiskeinoa. Ihmisten kouluttaminen ja heidän valveutuneisuuden lisääminen on tällä hetkellä tehokkain suojautumiskeino tietojenkalasteluhyökkäyksiä vastaan. Jatkuvan tietoturvakoulutuksen myötä ihmisten kyky tunnistaa ja torjua perinteiset sähköpostitse saapuvat tietojenkalasteluhyökkäykset paranevat.

Kun ihmisten tietoisuus lisääntyy ja heidän kykynsä tunnistaa ja torjua perinteiset sähköpostitse saapuvat tietojenkalasteluhyökkäykset kehittyvät, on verkkorikollisten muutettava taktiikoitaan. Yksi mahdollinen kanava on matkapuhelimiin lähetettävät tekstiviestit. Tekstiviesteillä voi tukea perinteistä tietojenkalastelusähköpostia ja luoda yksinkertaiseenkin sähköpostiin uskottavuutta, jonka avulla hyökkääjä parantaa mahdollisuuksiaan hyökkäyksen onnistumisessa.

HoxHunt tarjoaa yritysasiakkailleen pelillistettyä tietojenkalastelukoulutusta, jossa asiakasyrityksen työntekijät oppivat tunnistamaan ja raportoimaan sähköpostitse tulevia tietojenkalasteluhyökkäyksiä. Toimeksiantaja haluaa kehittää palveluitaan ja laajentaa nykyisen tuotteen ominaisuuksia. Tätä varten työssä selvitettiin toimeksiantajan tarpeisiin parhaiten sopiva tekstiviestinvälityspalvelu, joka täyttäisi toimeksiantajan vaatimat ominaisuudet ja jonka toimeksiantaja voisi ottaa tulevaisuudessa osaksi tarjoamaansa palvelua. Uusilla ominaisuuksilla toimeksiantaja voi saada teknistä etumatkaa mahdollisten kilpailijoiden tuotteisiin nähden ja pysyy jatkuvasti muuttuvan tietoturvakentän relevanttina toimijana.

Opinnäytetyön ensimmäisessä vaiheessa suoritettiin simuloitu hyökkäys, jolla pyrittiin selvittämään, onko tekstiviestien käyttämisellä osana tietojenkalastelua vaikutusta tietojenkalastelun onnistumiseen? Voiko ulkopuolinen hyökkääjä parantaa onnistumismahdollisuuksiaan hyökätessään koulutettuja työntekijöitä vastaan käyttämällä tekstiviestejä osana sosiaaliseen manipulointiin perustuvaa hyökkäystään? Työn ensimmäisessä osassa valikoitui toimeksiantajan tarpeisiin sopiva palveluntarjoaja tekstiviestien lähetystä varten. Työn empiirisessä osassa toteutettiin tietojenkalasteluhyökkäys sekä haastattelu ja kyselytutkimus.

Työssä tehty testi osoitti, että tekstiviestillä voidaan luoda uskottavuutta sähköpostitse lähetettävään tietojenkalasteluviestiin ja näin parantaa tietojenkalasteluhyökkäyksen onnistumista. Testiin osallistuneista henkilöistä 47% avasi sähköpostin liitteenä olleen potentiaalisesti haitallisen tiedoston.

Attacks utilising malicious social engineering tactics are a widespread threat against businesses. Currently there are no bulletproof solutions against these threats and the most effective solution is continuous security awareness training. People learn to spot and report malicious phishing attacks when they are engaged in a continuous security awareness training.

When the effectiveness of basic phishing attacks deteriorates, the malicious social engineers need to adapt and improve their tactics. One possible attack vector could be text messages. Text messages could be used to create a highly believable pretext that raises the possibility of a successful phishing attack. When an employee is trained against phishing attacks, a phish that has been validated via SMS will most likely result in a business email compromise.

HoxHunt offers gamified phishing awareness training to corporate customers. HoxHunt’s awareness training is currently only focusing on social engineering attacks utilising email based phishing attacks. Therefore, the commissioner of this thesis wanted to research if SMS pretexting constitutes a real threat and if there is a need to train employees to recognize SMS based social engineering attacks. The second purpose of this thesis was to find the best 3rd party service provider for sending SMS messages where the sender address could be spoofed.

HoxHunt wants to create a competitive advantage over its rivals and stay on the leading edge of cyber security awareness training. In this thesis a simulated social engineering attack was conducted using SMS pretexting and phishing email against a small group of employees working in a cyber security company. All subject employees are enrolled in a continuous security awareness training that focuses on email phishing and social engineering. It is safe to assume that the subject employees participating in this simulated attack are more resilient than employees not working in the field of cyber security or whom are not enrolled in a security awareness training. The results of the study indicate that the use of SMS pretexting in conjunction with email-based phishing creates a more believable social engineering attack that results in 47% of the study participants opening a potentially malicious email attachment.