Кіберзлодії шукають пенсійні рахунки

Гетті

Покращено безпеку даних для податкових декларацій, кредитних карток та інших традиційних цілей кіберзлодіїв. Зараз онлайн-злодії здійснюють витончені атаки на пенсійні плани роботодавців і облікові записи в планах.

Безпека даних у пенсійних планах відрізняється, і безпеку можна порушити різними способами. Кіберзлодії шукають найбільш вразливу точку кожного плану.

Я знаю одного пенсіонера великого роботодавця, який нещодавно зрозумів, що його місячна пенсія не була внесена до звичайної дати. Він зв’язався з адміністратором пенсійного забезпечення, який після деяких досліджень виявив, що банківський рахунок, призначений для отримання депозиту, було змінено.

Пенсіонер не змінив рахунок. Натомість запит подав невідомий. Запит на зміну містив усю відповідну та точну інформацію, тому його обробив працівник плану.

На щастя, ні пенсіонер, ні план не втратили грошей. Виплату швидко було припинено, а фінансовий рахунок пенсіонера було повторно призначено як місце для внесення депозитів. Адміністратор плану провів швидку перевірку та виявив, що запити на зміни були подані для кількох інших пенсіонерів, і всі виплати надходили на той самий банківський рахунок.

Цей пенсіонер не став жертвою кіберзлочинців, звернувши пильну увагу на свої рахунки та визнавши, що його щомісячний платіж не надходив у звичайний день місяця. Він швидко зв’язався з адміністратором і переконався, що зміна не пройшла.

Хакери використовують кілька загальних підходів, щоб викрасти пенсійні плани та рахунки.

Один із підходів — спробувати традиційні способи зламати систему електронної пошти. Старомодні методи злому іноді все ще можуть надати доступ до корпоративної системи електронної пошти.

У наші дні кіберзлочинці частіше використовують «фішингові» електронні листи, щоб обманом змусити співробітника або пенсіонера розкрити інформацію про доступ. Зазвичай під час фішингової атаки зловмисники надсилають електронний лист цільовому ключовому співробітнику або пенсіонеру та створюють вигляд, що електронний лист надійшов від справжнього службовця компанії (зазвичай керівника вищого рівня) або зовнішнього постачальника.

У фішинговому електронному листі запитується конкретна інформація, а якщо він направлений до працівника, він може вимагати список особистої інформації певної кількості працівників або пенсіонерів. Якщо одержувач електронного листа не попереджений, конфіденційна інформація надсилається зловмисникам.

Інший підхід полягає в тому, що кіберзлодії купують особисту інформацію про власника пенсійного рахунку через темну мережу та використовують цю інформацію для доступу до облікового запису пенсіонера.

Незалежно від того, яку стратегію використано, коли кіберзлодій отримає інформацію, її можна використати для входу в обліковий запис пенсіонера чи працівника та перенаправлення платежів чи розподілу.

У недавньому випадку, про який я знаю, злодії використали поєднання методів нової та старої школи. Інформація про пенсіонера, вочевидь, була придбана в темній мережі. Потім злодії завантажили відповідну форму з веб-сайту пенсійного плану, роздрукували її, заповнили вручну та надіслали поштою адміністратору. Адміністратор регулярно опрацьовував паперовий документ.

Один із способів захистити себе – це знати заходи безпеки пенсійного плану. Зокрема, дізнайтеся, які кроки потрібно зробити, щоб переконатися, що будь-який запит на зміну облікового запису є законним. Що він робить, щоб підтвердити особу користувача? Чи використовується двофакторна автентифікація перед доступом до облікового запису онлайн або внесенням змін?

Звичайно, жоден із цих заходів безпеки даних не має значення, коли кіберзлодії йдуть за старої школи та подають паперові запити на зміни. Запитайте, чи адміністратор плану вживає будь-яких додаткових заходів після того, як виявить, що інформація в паперовому запиті є точною. Чи телефонує особа для перевірки запиту? Чи надсилається він першокласним листом особі з підтвердженням запиту?

Інший спосіб захистити себе – це встановити особисту практику кібербезпеки.

Більшість експертів з кібербезпеки вважають, що життєво важливу особисту інформацію про вас можна придбати в темній мережі. Звичайно, захищайте цю інформацію якнайкраще. Не повідомляйте свій номер соціального страхування та іншу важливу інформацію, якщо в цьому немає необхідності. Але ви повинні припустити, що це вже є.

Ось чому ви повинні регулярно контролювати свої облікові записи. Якщо депозити підлягають оплаті в певну дату, щомісяця перевіряйте свої рахунки приблизно на цю дату, щоб переконатися, що депозити зроблені. Якщо депозит не внесено, зверніться до адміністратора плану.

Крім того, регулярно входьте у свій обліковий запис і перевіряйте його на наявність активності. Шукайте несанкціоновані зміни та транзакції. Переконайтеся, що ваша адреса, бенефіціар, рахунок для отримання переказів та інша інформація не змінені.