Kampania e-mailowa podszywająca się pod kadrę kierowniczą
Sekurak opisał kampanię obejmującą ponad milion wiadomości e-mail, których celem było nakłanianie odbiorców do wykonania transakcji finansowych. Atakujący podszywali się pod przedstawicieli kadry kierowniczej, a rozsyłane wiadomości wykorzystywały między innymi motyw faktur i komunikacji wyglądającej na wewnętrzną korespondencję organizacji.
Opis kampanii wskazuje na wykorzystanie wiarygodnie wyglądającej wiadomości oraz autorytetu osoby zarządzającej jako sposobu wywierania presji na odbiorcę. Materiał odwołuje się do analizy badaczy Microsoftu. Istotą zagrożenia jest próba przekonania pracownika, że dyspozycja finansowa pochodzi od osoby uprawnionej i powinna zostać wykonana bez dodatkowego potwierdzenia.
Na takie próby szczególnie narażeni są pracownicy księgowości, administracji, zakupów oraz inne osoby obsługujące płatności i faktury. Znaczenie kampanii wynika z jej skali oraz z wykorzystania relacji służbowych, które mogą skłaniać odbiorcę do szybkiej reakcji. Szczegóły każdej dyspozycji należy jednak oceniać indywidualnie. Źródło.
- Potwierdzaj każdą nietypową dyspozycję płatniczą niezależnym kanałem u osoby wskazanej jako nadawca.
- Sprawdź w procedurach księgowych, czy zmiana rachunku lub pilny przelew wymaga dodatkowej autoryzacji.
- Przypomnij pracownikom obsługującym faktury, aby zgłaszali wiadomości wykorzystujące presję czasu lub autorytetu.
Naruszenia sklepów powiązane z aplikacjami Ribon
BleepingComputer poinformował, że platforma BigCommerce ostrzegła wielu sprzedawców o naruszeniach danych. Według relacji atakujący przejęli dane uwierzytelniające związane z zewnętrznymi aplikacjami Ribon, a uzyskany dostęp wykorzystali do umieszczania złośliwych skryptów w sklepach internetowych działających na platformie.
Mechanizm opisany przez źródło składał się z dwóch zasadniczych elementów: przejęcia danych uwierzytelniających do aplikacji zewnętrznych oraz użycia tego dostępu do wstrzyknięcia złośliwego kodu do sklepów. Relacja wspiera więc ocenę, że integracja podmiotu trzeciego może stać się drogą dostępu, jeśli powiązane z nią poświadczenia zostaną skompromitowane.
Zdarzenie dotyczy sprzedawców korzystających z BigCommerce i wskazanych aplikacji Ribon, a pośrednio może mieć znaczenie dla osób odwiedzających zmodyfikowane sklepy. Złośliwy skrypt umieszczony w witrynie tworzy ryzyko dla jej integralności. Zakres naruszeń należy potwierdzać na podstawie indywidualnych komunikatów otrzymanych przez poszczególnych sprzedawców. Źródło.
- Sprawdź w panelu administracyjnym sklepu listę aplikacji Ribon oraz zakres przyznanych im uprawnień.
- Zweryfikuj kod sklepu i historię zmian pod kątem skryptów, których administratorzy nie dodawali.
- Zmień poświadczenia powiązane z zagrożoną integracją, jeżeli otrzymany komunikat BigCommerce tego wymaga.
Kara dla Google za przetwarzanie danych lokalizacyjnych
The Record podał, że irlandzka Komisja Ochrony Danych ma nałożyć na Google karę przekraczającą 403 miliony euro, odpowiadającą około 462 milionom dolarów. Sprawa dotyczy przetwarzania danych lokalizacyjnych przez firmę i jest wynikiem postępowania regulatora rozpoczętego na początku 2020 roku.
Podstawą doniesienia jest rezultat postępowania prowadzonego przez irlandzki organ ochrony danych. Z dostępnego opisu wynika, że regulator oceniał sposób przetwarzania danych lokalizacyjnych przez Google, a konsekwencją ma być wysoka kara finansowa. Sama informacja nie pozwala jednak przesądzać, jakie szczegółowe praktyki lub wymagania prawne zadecydowały o jej wysokości.
Sprawa ma znaczenie dla organizacji wykorzystujących lokalizację użytkowników, ponieważ pokazuje możliwą skalę konsekwencji regulacyjnych związanych z przetwarzaniem tej kategorii informacji. Dla użytkowników jest to również przypomnienie, że dane o położeniu mają istotną wartość prywatnościową. Ocenę własnej zgodności należy oprzeć na konkretnych procesach i obowiązkach prawnych. Źródło.
- Sprawdź w używanych usługach ustawienia udostępniania lokalizacji i wyłącz dostęp, którego nie potrzebujesz.
- Zweryfikuj w organizacji, które aplikacje pozyskują dane lokalizacyjne oraz w jakim uzasadnionym celu.
- Skonsultuj z osobą odpowiedzialną za prywatność podstawę prawną procesów wykorzystujących lokalizację użytkowników.
Amerykańska propozycja alarmowania o incydentach związanych z AI
SecurityWeek poinformował o przedstawionej przez Stany Zjednoczone propozycji systemu zgłaszania incydentów związanych ze sztuczną inteligencją w ramach rozmów z Chinami. Relacja umieszcza tę propozycję w szerszym kontekście konkurencji technologicznej oraz amerykańskiego podejścia zakładającego unikanie spowalniania rozwoju AI.
Doniesienie dotyczy propozycji mechanizmu alarmowego, a nie potwierdzonego wdrożenia albo zawartego porozumienia. Dostępna relacja wspiera jedynie stwierdzenie, że pomysł został przedstawiony podczas rozmów. Dlatego nie należy przypisywać mu konkretnych procedur, zakresu zgłoszeń, uczestników operacyjnych ani skutków, dopóki takie elementy nie zostaną oficjalnie określone.
Potencjalne znaczenie tej inicjatywy dotyczy państw, podmiotów rozwijających systemy AI oraz organizacji analizujących ryzyka wynikające z poważnych incydentów technologicznych. Na tym etapie materiał opisuje jednak stanowisko negocjacyjne, więc nie daje podstaw do traktowania propozycji jako obowiązującego mechanizmu raportowania lub wspólnej procedury reagowania. Źródło.
- Oddzielaj w analizach zapowiedzi polityczne od uzgodnionych mechanizmów posiadających opublikowane zasady działania.
- Sprawdzaj oficjalne komunikaty przed zmianą procedur raportowania incydentów związanych ze sztuczną inteligencją.
- Ustal wewnętrznie, gdzie organizacja dokumentuje zdarzenia dotyczące AI, niezależnie od rozmów międzypaństwowych.