Opće prihvatljivo je da posao obavljamo iz kafića, s kauča, na aerodromu ili dok čekamo red u banci. I da, dok sve to radimo, koristimo svoj privatni telefon. Brzo odgovoriš na mail, pogledaš dokument na Teamsu, odgovoriš kolegi na Slacku – i sve to s istog uređaja na kojem inače skrolaš Instagram, igraš igrice, naručuješ hranu i gledaš TikTokove. Problem? Ogroman.

Taj isti privatni telefon – koji ti je zgodan jer ti je uvijek pri ruci – često je najranjivija točka u cijeloj sigurnosnoj strukturi tvrtke. A najgore od svega je to što većina ljudi toga uopće nije svjesna.

Svi smo čuli za “BYOD”, odnosno Bring Your Own Device, politiku gdje zaposlenici koriste vlastite uređaje za posao. Zvuči praktično i moderno – tvoje je, znaš ga koristiti, ne moraš nositi još jedan mobitel. No s privatnim uređajima dolazi i privatna opuštenost. Kada je zadnji put tvoj telefon ažuriran? Imaš li složenu lozinku? Koristiš li antivirus? Spojiš li se ponekad na javni Wi-Fi u kafiću, bez VPN-a?

E sad zamisli da taj isti uređaj ima pristup svim tvojim poslovnim mailovima, dokumentima i alatima koje koristiš na dnevnoj bazi. I zamisli da klikneš na onu poruku “vaša pošiljka nije isporučena, kliknite ovdje da pratite…” jer si u žurbi. Što se dogodi? Naizgled ništa – ali u pozadini tvoj telefon može postati ulazna točka za napad na cijelu mrežu tvrtke.

A onda kreće domino-efekt. Netko dođe do lozinki. Netko instalira zlonamjerni softver. Netko krene šifrirati podatke i tražiti otkupninu. I sve to zato što si ti, sasvim slučajno, napravio nešto što radiš i privatno svaki dan.

Mali, neoprezni potezi s privatnog telefona mogu imati ozbiljne posljedice – od curenja osjetljivih podataka, preko blokade poslovanja, do kršenja GDPR-a i paprenih kazni. A o šteti za reputaciju da ne govorimo. Ljudi možda i oproste grešku, ali ne zaboravljaju lako da im je netko „procurio” njihove osobne podatke.

No nemojmo biti fatalisti – rješenja postoje. Tvrtke koje ozbiljno pristupaju sigurnosti već imaju jasna pravila za korištenje osobnih uređaja. Koriste sustave za upravljanje uređajima (MDM), ne dopuštaju pristup bez dvostruke autentifikacije, redovito educiraju zaposlenike i jasno komuniciraju što je dopušteno, a što nije.

I ne, ovo nije priča samo za IT odjele. Ovo je odgovornost svakog zaposlenika. Od pripravnika do direktora. Pogotovo direktora – jer ako on ne poštuje pravila, zašto bi netko drugi?

Na kraju dana, svaki uređaj koji ima pristup poslovnim podacima – pa bio to i tvoj osobni iPhone ili Android – mora biti pod istim sigurnosnim kriterijima kao i službeni laptop. Jer hakerima je svejedno s kojeg si uređaja otvorio vrata. Bitno im je samo da si ih otvorio.

Zato sljedeći put kad odgovoriš na poslovni mail dok sjediš u tramvaju, razmisli – jesi li ti ona karika u lancu koja bi mogla ugroziti tvrtku?

Napisao: Bruno Bardić, Procudo d.o.o.

The post Vaš privatni telefon je sigurnosna rupa. I da – može uništiti firmu. appeared first on Procudo.

Napomena: Radi očuvanja sigurnosti i privatnosti klijenta, naziv tvrtke u ovom primjeru je izmijenjen. Svi prikazani problemi i implementirana rješenja temelje se na stvarnom scenariju.

 Industrija: Razvojni studio za softver u sektoru prijevoznih usluga

 Veličina tvrtke: 150 zaposlenika

Glavni izazov: Ransomware napadi i nedostatak kontrole nad osjetljivim podacima

Problem: Ransomware napadi i neadekvatna sigurnost podataka

Tvrtka CREDULUS D.O.O. , specijalizirana za razvoj softverskih rješenja, suočila se s ozbiljnim sigurnosnim prijetnjama:

Ransomware napad – Jedan zaposlenik nenamjerno je preuzeo zaraženi privitak iz e-maila, što je rezultiralo enkripcijom važnih dokumenata i prijetnjom napadača da će ih trajno obrisati ako se ne plati otkupnina.

Nedostatak kontrole nad osjetljivim podacima – Zaposlenici su dijelili interne dokumente putem nesigurnih platformi, što je dovelo do curenja informacija.

Neadekvatna provjera pristupa – Korisnički računi nisu imali Multi-Factor Authentication (MFA), što je napadačima olakšalo probijanje lozinki slabije sigurnosti.

Bez pravih sigurnosnih mjera, tvrtaka CREDULUS D.O.O.  je bila ranjiva na buduće napade, što je ugrožavalo poslovanje i povjerenje njihovih klijenata.

Rješenje: Implementacija Microsoft Defendera, Entra ID-a i Zero Trust modela

Kako bi zaštitila svoju IT infrastrukturu, tvrtka se odlučila za kompletnu sigurnosnu transformaciju uz pomoć Microsoft 365 rješenja.

Microsoft Defender for Office 365 – Postavljen je anti-phishing i anti-malware sustav koji automatski blokira sumnjive privitke i URL-ove u e-mailovima.

 Entra ID (bivši Azure AD) – Implementirana je Multi-Factor Authentication (MFA) i pravila za upravljanje identitetima, čime je smanjena mogućnost neovlaštenog pristupa korisničkim računima.

Zero Trust pristup – Uvedeno je pravilo da nitko, čak ni unutar tvrtke, nema automatski pristup osjetljivim podacima. Pristup dokumentima sada zahtijeva autentifikaciju i provjeru uređaja.

 Microsoft Purview (Data Loss Prevention) – Onemogućeno je slučajno ili namjerno dijeljenje povjerljivih podataka izvan organizacije.

 Sigurnosna edukacija zaposlenika – Održane su radionice o prepoznavanju phishing prijevara i najboljim praksama cyber sigurnosti. Radionice se održavaju 2 puta godišnje, i svi novi zaposlenici moraju proći sigurnosni tečaj!

Rezultat: Povećana sigurnost i produktivnost

Nakon implementacije sigurnosnih mjera, rezultati su bili iznimno pozitivni:

 80% manje pokušaja neautoriziranog pristupa – Zahvaljujući MFA-u i Zero Trust modelu, pokušaji cyber napada na korisničke račune znatno su smanjeni.

 95% zaštita od phishing napada – Microsoft Defender sada automatski prepoznaje i blokira sumnjive e-mailove prije nego što dođu do zaposlenika.

Povećana produktivnost – Zaposlenici sada imaju siguran, ali i pojednostavljeni način pristupa resursima bez straha od cyber prijetnji.

Bolja kontrola nad podacima – Zahvaljujući Microsoft Purview rješenju, osjetljivi podaci ostaju unutar organizacije, a svaki pokušaj neovlaštenog dijeljenja se sprječava.

Edukacijom zaposlenika ojačana je posljednja linija obrane sustava, ljudski faktor!

Zaključak:

Digitalna sigurnost nije opcija, već nužnost. Tvrtka CREDULUS D.O.O. pokazala je da pravovremena implementacija Microsoft 365 sigurnosnih rješenja može uvelike smanjiti rizike i osigurati nesmetano poslovanje.

Zanima vas kako da zaštitite svoju tvrtku i poslovanje?
Kontaktirajte nas i saznajte kako možemo osigurati vaše poslovanje!

The post Kako je tvrtka Credulus d.o.o. poboljšala sigurnost i produktivnost uz Microsoft 365? appeared first on Procudo.

U ovom tekstu ćemo opisati kako su se odigrali cyber napadi na Football Australia, Welsh Rugby Union, Aston Villa Football Club, Manchester United, FC Barcelonu, FC Lazio i Zimske olimpijske igre (2018 godine).

1. Football Australia: Data breach

U ožujku 2024. godine, Football Australia je doživjela veliki data breach. Taj je breach nastao zbog toga što je organizacija ostavila tajne ključeve izložene online. To je hakerima dalo potencijalni pristup ogromnoj količini podataka, uključujući osobne informacije igrača,  njihove adrese, kontakte i medicinske podatke.

Ovaj incident je izazvao paniku među igračima i njihovim obiteljima, a organizacija je odmah krenula s implementacijom novih sigurnosnih mjera kako bi spriječila slične napade u budućnosti.

Izvor: https://www.theguardian.com/sport/2024/feb/01/football-australia-data-leak-breach-exposes-players-contracts-fans-personal-details

2. Welsh Rugby Union: Javno dostupni podaci

U veljači 2024. godine, Welsh Rugby Union (WRU) je bio pogođen “curenjem podataka”. Do curenja je došlo zbog toga što je WRU ostavio podatke javno dostupnim na Amazon Web Services (AWS). Taj paket podataka je sadržavao osobne podatke o gotovo 70.000 WRU članova. Podaci su mogli biti iskorišteni za phishing napade ili društveni inženjering, što znači da su hakeri mogli koristiti ove podatke da bi prevarili WRU članove da im daju još više osobnih informacija.

Ovaj napad je ukazao na kritične sigurnosne propuste i potaknuo uniju da modernizira svoje sigurnosne protokole. Članovi su bili savjetovani da promijene svoje lozinke i budu oprezni prema potencijalnim phishing napadima.

Izvor: https://www.techdigest.tv/2024/05/aston-villa-football-club-leaks-members-data.html

3. Aston Villa Football Club: Curenje podataka

U siječnju 2024. godine, Aston Villa Football Club je bio žrtva “curenja podataka”. To je ugrozilo imena, datume rođenja, adrese, telefonske brojeve, email adrese i detalje o članstvu navijača. Ovi podaci mogu se koristiti za phishing napade, društveni inženjering i krađu identiteta. Aston Villa još uvijek nije komentirala breach.

Izvor: https://www.techdigest.tv/2024/05/aston-villa-football-club-leaks-members-data.html

4. Manchester United: Napad ransomwareom

U studenom 2020., Manchester United je pretrpio veliki ransomware napad koji je paralizirao njihove IT sustave. Klub je brzo reagirao, angažirajući stručnjake za cyber sigurnost i surađujući s britanskim Nacionalnim centrom za cyber sigurnost (NCSC). Iako nisu procurile informacije o otkupnini, napad je ozbiljno utjecao na operacije kluba, ističući važnost proaktivnih sigurnosnih mjera.

Izvor: https://www.nytimes.com/athletic/4230637/2020/11/21/manchester-united-it-systems-hit-by-cyber-attack/

5. FC Barcelona: Hakerski napad na društvene mreže

U veljači 2020., FC Barcelona je pretrpio cyber napad na svoje društvene mreže. Grupa hakera poznata kao OurMine preuzela je kontrolu nad službenim Twitter računom kluba, objavljujući lažne vijesti o transferima igrača. Iako financijski podaci nisu bili ugroženi, incident je ukazao na potrebu za jačim sigurnosnim mjerama za zaštitu digitalnih platformi.

Izvor: https://www.businessinsider.com/olympics-fc-barcelona-twitter-accounts-hacked-by-our-mine-2020-2

6. Lazio FC: Prevara e-mailom

Lazio FC je 2018. godine bio žrtva sofisticirane phishing prevare koja je rezultirala gubitkom od oko 2 milijuna eura. Prevaranti su se predstavljali kao predstavnici Feyenoord FC-a i naveli FC Lazio da uplati novac za transfer igrača na pogrešan bankovni račun. Ova prevara je pokazala koliko su sportske organizacije ranjive na socijalni inženjering i važnost edukacije zaposlenika o cyber prijetnjama.

Izvor:https://financialit.net/blog/what-lazios-eu2-million-transfer-payment-scam-teaches-us-about-modern-payment-fraud

7. Olimpijske igre: Napadi na IT infrastrukturu

Tijekom Zimskih olimpijskih igara 2018. u Pyeongchangu, došlo je do velikog cyber napada koji je ciljao IT infrastrukturu igara. Napadači su koristili zlonamjerni softver nazvan “Olympic Destroyer” kako bi poremetili mreže i sustave odgovorne za vođenje događaja. Organizatori su brzo reagirali kako bi minimizirali štetu, no incident je pokazao ranjivost velikih sportskih događaja na cyber napade.

Izvor: https://www.wired.com/story/untold-story-2018-olympics-destroyer-cyberattack/

Zaključak:

Ovi cyber napadi jasno pokazuju koliko su sportske organizacije postale primarne mete cyber kriminalaca. Bilo da se radi o krađi osjetljivih podataka, preuzimanju kontrole nad društvenim mrežama ili sofisticiranim phishing prevarama, sportske organizacije moraju ulagati u napredne sigurnosne mjere i educirati svoje zaposlenike kako bi se zaštitile od ovih prijetnji.

Ulaganje u cyber sigurnost nije samo pitanje zaštite podataka, već i očuvanja integriteta i ugleda organizacije.

Ako imate bilo kakvih pitanja ili trebate savjet o kibernetičkoj sigurnosti, kontaktirajte nas!  Naš tim stručnjaka vam je na raspolaganju.

The post Kako cyber napadi ugrožavaju sportske organizacije? appeared first on Procudo.