Чи можете ви уявити своє життя без електронної пошти?
Ми використовуємо їх для всього – для спілкування з клієнтами та замовниками, для бронювання готелів або для того, щоб надіслати скаргу в магазин через пошкодження купленого нами товару. Але чи замислювалися ви коли-небудь про те, наскільки безпечними є ваші електронні листи?
І подивіться, скільки людей з різних вікових груп покладатися на електронну пошту для спілкування:
- 94% покоління Z
- 98% міленіалів
- 98% покоління X
- 95% з бумерів
- і навіть 90% безшумного покоління!
Додайте до цього, що email-маркетинг був обраний як найефективніший канал маркетологів, опитаних у Звіті Hubspot про стан маркетингу за 2022 рік, і ви зможете зрозуміти, чому email-маркетинг процвітає, незважаючи на те, що так багато людей роками пророкували йому смерть.
Чому безпека електронної пошти важлива?
На жаль, електронні листи також є одним з найцінніших методів для зловмисників, щоб атакувати компанію або викрасти персональні дані звичайних користувачів. Звіт CISCO про тенденції загроз кібербезпеки у 2021 році виявив, що близько 90% витоків даних відбувається через фішинг електронної пошти.
І це ще не кінець тривожних новин:
- 3,4 мільярди фішингових листів надсилаються щодня
- У 2022 році, на 569% збільшилася кількість шкідливих фішингових електронних листів і на 478% – кількість опублікованих звітів про загрози, пов’язані з обліковими даними.
- У 2022 році кількість атак на компрометацію ділової електронної пошти (BEC) зросла на 81%
- Без належної підготовки з безпеки, кожен третій працівник потрапляє на фішингові шахрайства
-
Лише 15% з ІТ administrators enforce the use of two-factor authentication.
Кіберзлочинці також користуються тим, що сьогодні люди отримують так багато електронних листів, що у них навряд чи вистачає часу на те, щоб уважно читати кожен лист і перевіряти його на наявність спаму. Особливо це стосується працівників, які в середньому отримують 100-120 електронних листів щодня. У кого є час перевіряти кожен лист на відповідність вимогам безпеки, будь то діловий чи особистий?
Отже, трохи соціальної інженерії – і злочинці можуть швидко змусити їх натиснути на фішингове посилання або завантажити шкідливе вкладення. Це на додаток до хакерських атак на робочі телефони, якими користуються співробітники, як-от VOIP-системи .
На щастя, є кілька простих речей, які ви можете зробити, щоб захистити свої електронні поштові скриньки – а отже, і свої особисті та ділові дані. Тож давайте розглянемо 8 найкращих практик безпеки електронної пошти, які можуть значно ускладнити “роботу” кіберзлочинців.
Створюйте надійні паролі
Використання надійних паролів – один з найкращих способів захистити свої поштові скриньки та особисту інформацію в них від хакерів. Ось кілька способів підтримувати високі стандарти безпеки з точки зору паролів:
- Не використовувати очевидну особисту інформацію та загальні слова
- Поєднання букв, цифр і символів
- Мати щонайменше 10 символів (експерти рекомендують 14-16)
Проте, зважаючи на те, скільки онлайн-акаунтів (як приватних, так і пов’язаних з роботою) ми всі використовуємо, створити, а потім запам’ятати 20 чи більше складних паролів може бути доволі складно.
Ось де інструменти для керування паролями можуть бути неймовірно корисними. Ці інструменти можуть генерувати унікальні, надзвичайно складні для перебору паролі для кожної програми, а потім зберігати їх у своїй базі даних – тоді користувачам потрібно буде запам’ятати лише один “головний пароль”, щоб розблокувати базу даних.
Ще одним популярним варіантом зараз є парольні фрази – паролі, що складаються з ланцюжка слів, а не випадкових символів. Оскільки вони зазвичай довші за звичайні паролі, їх важче підібрати грубим перебором. Крім того, за допомогою парольних фраз легше створювати паролі для акаунтів, які легко запам’ятовуються, але при цьому є безпечними.
Щоб перевірити, наскільки надійно захищені ваші власні паролі, ви можете скористатися Security.org’s Інструмент “Наскільки надійним є мій пароль”. Ось як це виглядає для одного з наших акаунтів:
Не використовуйте повторно паролі в різних акаунтах
Повторне використання паролів – ще одна поширена проблема безпеки. Наприклад, дослідження First Contact показало, що 51% людей використовують один і той самий пароль для робочих та особистих акаунтів.
Ще гірше те, що 70% користувачів, які мали свої паролі зламані все ще користувалися ними!
Причина, чому це погана ідея, проста. Кіберзлочинці добре знають, скільки людей повторно використовують свої паролі, тому вони завжди перевіряють, скільки акаунтів можна розблокувати одним паролем. Наприклад, якщо ви використовуєте один пароль для 5 особистих акаунтів, то в разі витоку пароля всі 5 акаунтів будуть скомпрометовані.
Використовувати один і той самий пароль для робочих і приватних акаунтів особливо небезпечно, оскільки таким чином хакери можуть швидко отримати доступ до вашої робочої поштової скриньки і даних, що в ній зберігаються. Безпека корпоративної електронної пошти значно відрізняється від електронної пошти, яку ви використовуєте для особистих потреб, а шкідливий вміст робочих листів набагато гірший, ніж нігерійське шахрайство у вашій особистій електронній пошті.
Використовуйте багатофакторну автентифікацію
І якщо вже ми заговорили про захист акаунтів, то додавання додаткових заходів верифікації також може помітно підвищити безпеку вашого облікового запису. Завдяки 2FA та MFA, навіть якщо хакери викрадуть логін і пароль, вони не зможуть отримати доступ до поштової скриньки, поки не підтвердять свою особу за допомогою додаткових перевірок безпеки – і цього може бути достатньо, щоб вони здалися.
Після того, як впровадили 2FA і вимагають від своїх користувачів використовувати його під час кожного входу в систему, У Google заявили, що кількість порушень акаунтів зменшилася на 50%.
Як додати його до свого акаунта, наприклад, Gmail? Насправді це дуже просто. Щоб захистити свій особистий акаунт за допомогою 2FA, вам потрібно зробити наступне:
- Відкрийте свій обліковий запис Google.
- На панелі навігації виберіть Безпека.
- У розділі “Вхід до Google” виберіть “2-етапна перевірка”, а потім “Почати”.
- Дотримуйтесь інструкцій на екрані.
Тим часом, для бізнес-акаунтів, ви можете знайти опцію 2FA у вашій адміністративній консолі, в розділі Меню → Безпека→ Автентифікація→ 2-етапна перевірка. Звідти ви також можете встановити, чи буде MFA обов’язковою для всіх користувачів або тільки для певних груп, і які методи вони можуть вибрати для перевірки.
Поштові системи, такі як Gmail, помітять підозрілу активність і попросять вас пройти двофакторну автентифікацію, перш ніж дозволити вам переглянути будь-який вміст листа. Якщо ви дійсно намагаєтеся увійти в систему, ви зможете зробити це за лічені секунди. Це може запобігти багатьом загрозам електронної пошти.
Навчіть співробітників найкращим практикам безпеки електронної пошти
Навіть найскладніші паролі та кілька додаткових перевірок безпеки не допоможуть, якщо працівники не знають і не розуміють, чому захист їхніх облікових записів такий важливий. Verizon Data Breach Report (DBIR) за 2023 рік виявив, що необережність користувачів стала причиною 98% витоків даних – і кіберзлочинці точно знають, як використати це на свою користь.
Регулярне навчання з кібербезпеки в рамках їхнього безперервне управління ефективністю це чудовий спосіб розповісти працівникам про наслідки витоку даних і про те, що вони можуть зробити, щоб запобігти цьому. Ви можете використовувати їх для обговорення політики безпеки електронної пошти компанії, загроз, з якими вони можуть зіткнутися, та рекомендованих найкращих практик для захисту своїх акаунтів.
Наприклад, ви можете розповісти їм про важливість шифрування електронної пошти, про те, що не варто відкривати підозрілі електронні листи або заходити в електронну пошту через публічну мережу wi-fi. Також не відкривати небажані листи, намагатися користуватися антивірусним програмним забезпеченням і загалом остерігатися невідомих відправників.
Тренінги з кібербезпеки також є чудовою практикою для навчання ваших співробітників тому, як вони повинні реагувати, коли помічають, що порушення вже сталося, і кого вони повинні сповіщати про це порушення. Таким чином, витік можна буде локалізувати швидше, а отже, зменшити завдані ним збитки.
Будьте обережні з вкладеннями та підозрілими посиланнями
94% шкідливого програмного забезпечення доставляється електронною поштою – або через вкладення, що виглядають як справжні, або через посилання на веб-сайти, які здаються авторитетними. І хоча алгоритми Gmail та антивірусне програмне забезпечення можуть виявляти і блокувати більшість підозрілих вкладень і веб-сайтів, деякі більш складні атаки все одно можуть пройти повз радари.
Ось чому звичайні користувачі та співробітники повинні бути обережними, коли отримують електронні листи з вкладеннями або з проханням перейти за посиланням, що міститься в них. Ось кілька ознак того, що вкладення або посилання можуть бути від хакерів:
- Розширення файлу не відповідає типу файлу (наприклад, він закінчується подвійним розширенням, як doc.exe, або має лише розширення виконуваного файлу). Особливо підозрілими мають бути вкладення з розширеннями exe, jar або rar/zip).
- Адреса відправника дещо відрізняється від тієї, яку ви можете знайти на їхньому сайті або у вашому списку розсилки – це вірна ознака спаму.
- Електронний лист, який, здавалося б, надійшов з надійного джерела (наприклад, вашого банку), містить орфографічні, граматичні, форматні або інтерфейсні помилки.
- Повідомлення закликає вас відкрити вкладення або перейти за посиланням якомога швидше, оскільки в іншому випадку ви можете зіткнутися з певними наслідками (сумнозвісне “Ваша кредитна картка буде незабаром заблокована” є найкращим прикладом тут).
Щоб перестрахуватися, краще завжди телефонувати відправнику, щоб розпитати його про лист, якщо у вас є сумніви, і сканувати всі отримані вкладення на наявність вірусів або шкідливого програмного забезпечення. Або ж ви можете просто скопіювати ім’я відправника, посилання або частину повідомлення і ввести його в пошукову систему – інші користувачі вже можуть позначити його як небезпечний.
Регулярно оновлюйте антивірус або антивірусну програму
Сучасні антивірусні рішення здатні захистити ваші пристрої від численних загроз – вірусів, троянів, шкідливих програм, програм-вимагачів і підозрілих веб-сайтів. Звісно, якщо вони регулярно оновлюються. Кіберзлочинці винаходять нові методи атак на пристрої та викрадення даних практично щодня – і щодня, Виявлено 560 000 нових шкідливих програм.
Якщо антивірусні програми, які ви використовуєте, не оновлюються регулярно, вони можуть проігнорувати нову загрозу, наражаючи на небезпеку ваш обліковий запис електронної пошти та весь пристрій.
Більшість популярних платформ з кібербезпеки такі як Страйк натовпу або альтернативи мають можливість встановлювати ці оновлення автоматично, тож якщо ви хочете, щоб ваша платформа завжди була актуальною, варто поставити галочку напроти цієї опції.
Використовуйте протоколи автентифікації електронної пошти
Впровадження протоколів автентифікації для ваших робочих доменів також може зробити ваші акаунти набагато безпечнішими та виявити зловмисні наміри за допомогою різних форм ідентифікації.
Протоколи автентифікації електронної пошти були розроблені для запобігання фішинговим атакам, підміні електронної пошти та BEC-атакам, перевіряючи, чи надійшов лист від легітимного відправника. Простіше кажучи, ці протоколи перевіряють, чи нові імейли для маркетингової кампанії надіслані вами, чи хтось видає себе за ваш бренд.
Наразі ми маємо три протоколи автентифікації:
- SPF (Sender Policy Framework) – Рамки політики відправника (Sender Policy Framework) – Перевіряє IP-адресу відправника, щоб переконатися, що кожен лист надходить з надійної IP-адреси.
- DKIM (Domain Keys Identified Mail) – ідентифікована пошта доменних ключів використовує шифрування з відкритим/закритим ключем для підписання електронних повідомлень і доведення того, що повідомлення не було змінено.
- DMARC (Звітність та відповідність автентифікації повідомлень на основі домену) – гарантує, що імейл відповідає вимогам SPF та DKIM перед доставкою.
Використовуючи ці протоколи, ви можете запевнити своїх клієнтів і підписників, що ваші домени не стануть жертвами підміни імейлів і що листи, які вони отримують, точно надходять від вас. Ми згадували про деякі інші переваги цих протоколів у нашій іншій статті про методи автентифікації тож, можливо, ви також захочете її прочитати.
Розсилаючи розсилки, переконайтеся, що ваші списки чисті
Наша остання порада – регулярно почистіть свої списки електронної пошти.
Гаразд, ви чули, що очищення списків розсилки може підвищити показники доставлення, покращити репутацію вашого домену та підвищити рентабельність інвестицій, але як це пов’язано з безпекою? Насправді, дуже велике! Вивчаючи адреси у вашому списку, ви можете виявити неактивні та застарілі адреси, а також будь-які підозрілі адреси, які можуть належати спамерам або інтернет-провайдерам, з метою знайти та покарати спамерів.
Якщо вас помітять, що ви надсилаєте листи на ці домени, є велика ймовірність, що репутація вашого домену постраждає, а в найгіршому випадку ви навіть потрапите до чорного списку.
Як ви можете виявити всі ці токсичні імейли у вашому списку, не витрачаючи кілька днів (або більше) на їхню ручну перевірку? Перевірка електронної пошти вишибали може допомогти вам у цьому.
Просто додайте свій список адрес (до 250 тис. адрес) до програми, і Bouncer покаже, які з них належать реальним користувачам, з якою ймовірністю вони будуть повернуті, а також покаже вам:
- зламані або зламані адреси електронної пошти
- недійсні адреси або домени
- пастки для спаму і т.д.
Bouncer також оцінює токсичність імейлів (від 1 до 5), щоб ви знали, які адреси слід видалити одразу.
Звучить корисно, чи не так? Тоді, як щодо використання Bouncer для вашої наступної кампанії? З бездоганно чистим списком розсилки зробити вашу наступну кампанію успішною, а також захистити ваш домен електронної пошти буде простіше, ніж будь-коли.
Час захистити свої електронні скриньки
Щоб захистити свою особисту та ділову електронну пошту (і дані в ній) від кіберзлочинців, вам потрібно вжити всіх можливих заходів безпеки і попрощатися з тривогою щодо зловмисних дій, потенційних загроз і підозрілих повідомлень.
Надійні та регулярно змінювані паролі, додавання багатофакторної автентифікації, регулярне оновлення антивірусних програм, а також відстеження будь-яких спроб фішингу або зараження – все це важливо, коли мова йде про захист ваших облікових записів.
А завдяки посиленому захисту облікового запису ви зможете легко відбити будь-яку фішингову атаку або спробу злому.
ПОШИРЕНІ ЗАПИТАННЯ: Найкращі практики безпеки електронної пошти
Як захистити свій професійний обліковий запис електронної пошти?
Найкращий спосіб зробити свій обліковий запис більш безпечним – це використовувати надійні та унікальні паролі для кожного облікового запису, який ви використовуєте – для цього можна використовувати менеджери паролів. Розумною ідеєю буде також увімкнути двофакторну (або більше) автентифікацію для додаткового рівня безпеки. Якщо ви використовуєте електронну пошту Exchange Online, подумайте про впровадження надійного рішення для резервного копіювання даних для Microsoft 365 для захисту від потенційної втрати або пошкодження даних.
Як я можу виявити фішингові атаки та уникнути їх?
Хоча на перший погляд вони можуть виглядати точнісінько як справжні електронні листи, насправді є кілька ознак фішингових повідомлень, за якими їх легко розпізнати. Найхарактерніша з них полягає в тому, що вони наполегливо просять надати особисту або фінансову інформацію, погрожуючи серйозними наслідками, якщо ви не надасте її.
Коли ви отримуєте такий лист (наприклад, від вашого банку), спершу перевірте, чи правильна адреса відправника – злочинці зазвичай використовують адреси, які схожі на домени з хорошою репутацією, але мають одну або кілька відмінностей (наприклад, різні доменні імена).
Якщо в листі є орфографічні чи граматичні помилки або логотип виглядає неправильно, це також має викликати у вас підозри.
Що таке багатофакторна автентифікація і чому я повинен використовувати її для електронної пошти?
Багатофакторна автентифікація (MFA) додає додатковий рівень безпеки до вашого облікового запису електронної пошти, вимагаючи два або більше різних типів факторів автентифікації під час входу. Наприклад, пароль і одноразовий код підтвердження, підтвердження з довіреного пристрою або сканування відбитків пальців.
Використання MFA значно зменшує ризик того, що хтось отримає доступ до вашої поштової скриньки, навіть якщо ваш пароль буде скомпрометований.
Чи існують якісь конкретні практики безпеки електронної пошти для бізнесу?
Створення політики кібербезпеки для бізнес-акаунтів електронної пошти та проведення регулярних тренінгів для співробітників – це чудовий спосіб переконатися, що всі працівники знають, як вони можуть захистити свої акаунти та пристрої від кіберзагроз.
У політиці ви можете вказати, як вони можуть створювати надійні паролі, коли і як вони можуть використовувати приватні пристрої для роботи, або які рекомендації щодо відкриття отриманих вкладень.
