ポルノカム、恐喝、ハッキングされた給与：ITプロフェッショナルがすべてを語る

ほとんどの従業員は、フィッシングが原因で給料日が延期されていることを知って目を覚ますことを期待していません。また、CFOが会社のコンピューターからサイドハッスルを実行しているとか、出会い系サイトでの労働時間のために従業員の企業資格がダークウェブ上にあるとは思わないでしょう。インターネットの遅延は当然のことですが、その帯域幅を発見しています。労働者の「大人をテーマにした」ウェブカメラショーから排出されているのは、もう少し憂慮すべきことです。ITセキュリティ専門家の生活へようこそ。

ITセキュリティの専門家にとって驚くほど典型的なのはこのような話です。実際、サイバーセキュリティの脅威（社内外からの脅威）は非常に大きくなっているため、サイバーセキュリティはITセクター内で独自の生命を奪っています。非常に大きくなっているため、サイバーセキュリティの専門家に対する需要が大幅に高まっています。CyberSeekのデータ、無料のサイバーセキュリティのキャリアと労働力のリソースからのデータによると、米国だけで、「2017年4月から2018年3月までの12か月間に、民間部門と公共部門で301,873件のサイバーセキュリティの求人がありました。」あなたがこれから読むような企業のサイバーセキュリティホラーストーリーが大きな理由です。

企業サーバーでのアダルトショーの開催

ITの世界では不適切なオンライン行動が主な問題のようですが、多くの場合、ハッカーではなく、社内の従業員によって示されています。NYCベースのマネージドサービスプロバイダー（MSP）Brainlinkの創設者であるRaj Goelは、ITでの20年以上の間に、すべてを見てきました。しかし、最近のある事件は彼が想像もしなかったものでした。

顧客のCFOがBrainlinkに電話をかけて、アップグレードにお金をかけた後でも、IT部門が常に帯域幅を使い果たしている理由を突き止めました。

「これらの人たちは、私が「太ったパイプ」と呼ぶものを持っていました」とGoel氏は言います。「しかし、何らかの理由で、彼らのIT担当者は完全に満員だと言い続けました。そこで私は、同じIT担当者の1人が、会社のネットワークからWebカメラのペイパービューWebサイトを運営していることを発見しました。それはポルノサイトでした、そして明らかに彼のガールフレンドと彼女の友人は才能でした。」

さらに衝撃的：これは2年以上続き、誰もそれを捕まえませんでした。この従業員の行動が会社に18万ドル以上の費用をかけ、3か月ごとにネットワークをアップグレードする必要があった後でも、実行速度が非常に遅いためです。

そこで私は、同じIT担当者の1人が、会社のネットワークからWebカメラのペイパービューWebサイトを運営していることを発見しました。それはポルノサイトでした、そして明らかに彼のガールフレンドと彼女の友人は才能でした。」

「ここでのポイントは、CFOがもっと積極的になるべきだったということです。彼はITに問い合わせましたが、彼らは彼に質問に対する無回答を与えていました」とGoel氏は言います。「ここでの教訓は、社内にITチームまたはMSPがある場合でも、（ある時点で）サードパーティを招いて独立した監査または評価を行うことが重要であるということです。ROIが得られていることと、全員が仕事をしていることを確認する必要があります。」

CFOのサイドギグ

Goelはまた、ヘルスケア会社がコンプライアンスとセキュリティのチェックを行うように彼に電話をかけ、CFOが彼のオフィスとは完全に別の会社を運営していることを発見した事件を思い出します。

「私は彼に尋ねて、毎日リモート接続へのログオンを見ていると言いました、そして彼がこれを聞くとすぐに、男は唖然としました…私が彼に言ったとき、彼は心臓発作を起こすだろうと思いました。最初は言いませんでしたが、自分のビジネスのために自分の側で仕事をしていることを認めました」とGoel氏は言います。

Goelは、幹部が会社のリソースを使用していなかったと述べていますが、従業員は自宅のコンピューターにリモートでログインすることにより、会社の時間にプライベートな輸出入ビジネスを実行するために半日を費やしていると言います。Goelと彼のチームは、ネットワークのファイアウォールトラフィックを評価することでこれを発見しました。彼は当初、問題はオフサイトのデータセンターに起因しているのではないかと予想していました。しかし、彼がCFOに近づいたとき、彼は自分が受けた反応を期待していませんでした。

フィッシングは給料日を延期します

場合によっては、違反が発生したことにビジネスが気付かないことがあります。そして、発見した後でも、必ずしも必要なセキュリティ対策を講じているわけではありません。

「広く公表されている外部からの侵害は評判を損なう可能性があり、クライアントはセキュリティ制御に投資して、ハッカーが決して離れることがなく、ネットワークに侵入していることを確認するだけです」と、シカゴを拠点とするMSPBの創設者であるBartBarcewicz氏は述べています。 Suite Cyber Securityは、トムのハードウェアに伝えます。

「誰かがルールと認証を設定していたら、情報が変更されたことを警告されていたでしょう」とBarcewicz氏は言います。「最大の[問題]は、これが起こった後、サイバーセキュリティソリューションに投資することを望まず、この経験から学ばなかったことです。」

Barcewiczが前の仕事で働いていた大手製造/流通会社を例にとってみましょう。彼は、そこにいた約10人の従業員がフィッシングメールを受信し、その電子メールを受け取って、Office365の資格情報やその他のログイン情報を無防備なハッカーに送信したと述べています。次に、ハッカーはその情報を使用してこの会社の給与口座に侵入し、すべての従業員の口座情報を変更しました。会社にはアラートやセキュリティ制御がインストールされていなかったため、2週間後、従業員が給料を受け取らなかったときまで、違反は発見されませんでした。

ダークウェブの絶望

Barcewiczが複数のクライアントで発生している別の状況は、従業員が企業のログイン情報（例：仕事用の電子メールアドレス）を使用してソーシャルメディアや出会い系サービスなどの個人のWebサイトにサインアップすることです。これらのサイトへのアクセスは通常、勤務時間中に眉をひそめますが、ユーザーの企業情報が侵害されたサイトで使用され、それらの資格情報がダークウェブに到達すると、セキュリティの問題になります。Barcewiczは、2,500人の従業員を抱えるエンジニアリング会社のダークウェブ分析を行った後、この正確な状況を発見しました。

「彼らは文字通り、ユーザーのすべてのオンライン移動を記録していると言い、ウェブカメラで彼らを見ていると言い、ビットコインで支払いをしない場合は、連絡先リストに彼らが行っているすべてのことを知らせます。」

Barcewiczはまた、ハッカーがユーザーのコンピューターを乗っ取り、連絡先リストのすべての人に不適切なオンライン行動を報告すると脅迫する、人気が高まっている別のダークウェブ詐欺についても言及しています。

Barcewiczは、従業員が個人的な目的で仕事情報を使用することを控えるようにアドバイスしています。

「誰かがその情報を取得して、ビットコインのお金と引き換えに情報の身代金を保持するなどの詐欺に使用する可能性があります」と彼は言います。

狂気との戦い

セキュリティ専門家の需要が非常に大きい理由の1つは、外部からの脅威の宝庫と戦っているだけではないということです。また、組織内からの健全な量のリスクを管理しています。これは、サーバーやその他のテクノロジーにアクセスできる従業員から発生する可能性があり、特に友好的な別れでない場合は、従業員が退職した後に発生する可能性があります。これを改善するために、Barcewiczは、2要素認証の実装やパスワードマネージャーのインストールなどの手順を実行することをお勧めします。

「あらゆるビジネスにとって最低限必要なのは、可能な場合は2段階のパスワード認証を使用することと、パスワードマネージャーツールを使用して異なるパスワードを使用することです」と彼は言います。「また、パスワード（機密性の高いWebサイトの場合）を3〜6か月ごとに変更することをお勧めしますが、2段階認証を使用すると、通常、これを頻繁に行う必要はありません。」

そしてBarcewiczは彼が彼の顧客に説教することを練習します。彼は個人的にWebベースのパスワードマネージャーを使用しており、ログインするすべてのWebサイトに対して個別のパスワードを自動的に生成します（2段階認証も同様）。これは、自動生成されたパスワードを破るのがより難しいためだと彼は言います。「ハッカーは常に正確なパスワードを探しているわけではありません」と彼は言います。「彼らは、他のサイトでこのように使用されることが多いことを知っているため、バリエーションやパターンを理解しようとしています。」

BarcewiczとGoelはどちらも、これらの話の教訓は、ビジネスオーナーにとって、最善の行動は、彼らが何をしているのかを知っているサードパーティのITセキュリティ評価者を雇うことであると述べています。

「あらゆるビジネスにとって最低限必要なのは、可能な場合は2段階のパスワード認証を使用することと、パスワードマネージャーツールを使用して異なるパスワードを使用することです」と彼は言います。

「良い評価は決して傷つきません」とGoelは言います。「しかし、あなたはお金を使わなければなりません。無料のツールをダウンロードして、聞きたいことを教えてくれる人を使用しないでください。パターントラフィック、データ、ユーザーの行動、その他の重要な領域などを調べてくれる人が必要です。」

Barcewiczは、変更への抵抗により、一部のクライアントが適切なサイバーセキュリティに投資することを妨げていると付け加えています。給与がハッキングされたクライアントの場合、経営幹部は依然としてサイバーセキュリティへのアプローチを改善することを拒否しました。「彼らは彼らの働き方を変えたくありませんでした、そしてお金は全く理由ではありませんでした」と彼は言います。「それは変化への抵抗でした。それが主な推進力でした。」

あなたの最もクレイジーなITセキュリティストーリーは何ですか？あなたはウェブカメラのスキャンダルを上回ってもらえますか？以下のコメントでお知らせください。