- Email: biuro@kicb.pl
- Rondo Organizacji Narodów Zjednoczonych 1, 00-124 Warszawa
Najnowocześniejsze ataki coraz częściej omijają zabezpieczenia technologiczne, uderzając bezpośrednio w „czynnik ludzki”. Ministerstwo Cyfryzacji w swoich najnowszych wytycznych zwraca uwagę na zjawisko, które powinno zaniepokoić każdego menedżera i specjalistę HR – rekrutację jako narzędzie szpiegostwa i infiltracji organizacji przez grupy typu APT (Advanced Persistent Threat).
Ataki typu Advanced Persistent Threat to nie są działania przypadkowych hakerów. To wyrafinowane, długofalowe kampanie często powiązane z obcymi wywiadami, których celem jest przeniknięcie do struktur organizacji posiadających dostęp do wrażliwych danych lub infrastruktury krytycznej. Zamiast szukać luk w oprogramowaniu, atakujący postanowili wejść głównym wejściem, aplikując na otwarte wakaty. Dla atakującego idealny scenariusz to uzyskanie statusu pracownika, co otwiera przed nim dostęp do wewnętrznych systemów, baz danych i strategicznych informacji, a wszystko to pod płaszczykiem legalnego zatrudnienia.
Zagrożenie w tej metodzie tkwi w jej profesjonalizmie i cierpliwości. Napastnicy nie działają pośpiesznie, tworzą wiarygodne profile zawodowe, przygotowują fałszywe certyfikaty i budują spójną historię zatrudnienia, która bez trudu przechodzi przez standardowe sito rekrutacyjne. Proces rekrutacji, który z założenia opiera się na zaufaniu i budowaniu relacji, staje się tutaj największą słabością. Kiedy kandydat okazuje się idealnym dopasowaniem do roli, naturalną reakcją rekrutera jest chęć jak najszybszego zamknięcia procesu i zatrudnienia eksperta. Atakujący wykorzystują ten pośpiech i naturalną potrzebę ufności, aby stać się swoistym koniem trojanskim wewnątrz firmy, zanim ktokolwiek zorientuje się, że ma do czynienia z zagrożeniem.
W obliczu tak ukierunkowanych działań, dotychczasowe metody weryfikacji kandydatów mogą okazać się niewystarczające. Kluczowym krokiem jest wdrożenie pogłębionej weryfikacji, która wykracza poza zwykłe czytanie CV. Organizacje powinny położyć większy nacisk na rzetelne sprawdzanie referencji oraz historii zawodowej, szczególnie w przypadku stanowisk o wysokim poziomie uprawnień.
Oto zbiór najważniejszych zasad bezpieczeństwa na etapie rekrutacji:
1. Nie polegaj tylko na mailu czy LinkedInie. Rekomenduje się kontakt telefoniczny (najlepiej na numer firmowy/oficjalny) oraz weryfikację tożsamości podczas rozmów wideo.
2. Sprawdzanie referencji – należy zweryfikować, czy firma, w której kandydat rzekomo pracował, faktycznie istnieje i czy osoba udzielająca referencji jest realnym pracownikiem (np. kontaktując się przez oficjalną recepcję lub dział HR tej firmy, a nie na numer podany w CV).
3. Sprawdzenie spójności historii zawodowej w różnych źródłach publicznych.
4. Bezpieczna komunikacja z kandydatem zamiast prywatnych komunikatorów (np. Signal, WhatsApp).
5. Całość procesu rekrutacyjnego powinna odbywać się przez oficjalne, monitorowane kanały firmowe (oficjalne e-maile, platformy rekrutacyjne).
6. Kandydat może wysłać „portfolio” lub „list motywacyjny”, który jest złośliwym oprogramowaniem. Każdy plik od kandydata powinien być skanowany przez systemy bezpieczeństwa przed otwarciem przez rekrutera.
7. Zarządzanie dostępami – minimalizacja uprawnień już na etapie onboardingu.
8. Nowy pracownik nie powinien otrzymywać pełnych dostępów do systemów krytycznych pierwszego dnia. Dostęp powinien być przyznawany stopniowo, po przejściu weryfikacji bezpieczeństwa (background check) i wdrożeniu.
9. Na etapie rekrutacji kandydaci nie powinni mieć wglądu do wewnętrznej dokumentacji technicznej, schematów sieciowych czy baz danych, nawet jeśli jest to „test umiejętności”. Zadania testowe powinny być odizolowane od realnych systemów.
10. Zespół rekrutacyjny musi rozpoznawać techniki manipulacji, znać typowe metody socjotechniczne, wiedzieć, kiedy zgłosić incydent.
11. Rekrutacja zewnętrzna – jeśli firma korzysta z firm zewnętrznych do pozyskiwania pracowników należy upewnić się, że firma rekrutacyjna sama stosuje wysokie standardy bezpieczeństwa. Atakujący mogą przejąć konto headhuntera, aby „podrzucić” swojego kandydata z rekomendacją. Należy również wymagać od firm zewnętrznych przestrzegania standardów bezpieczeństwa podczas całego procesu selekcji.
Ostatecznym wnioskiem płynącym z zaleceń Ministra Gawkowskiego jest konieczność ściślejszej współpracy między działami HR, a zespołami IT oraz bezpieczeństwa (SOC/CSIRT). Rekruterzy muszą zostać przeszkoleni z zakresu technik socjotechnicznych, aby potrafili dostrzec niepokojące sygnały, które mogą sugerować, że kandydat nie jest tym, za kogo się podaje. Wymaga to stworzenia jasnych procedur, które nie tylko usprawnią proces zatrudniania, ale przede wszystkim uczynią go szczelnym. Pamiętajmy, że w dobie cyfrowych zagrożeń, każdy etap rekrutacji to moment, w którym możemy – lub nie – zabezpieczyć przyszłość naszej organizacji.
Artykuł powstał na bazie rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa dotyczących przeciwdziałania atakom socjotechnicznym, z którymi można zapoznać się pod poniższym linkiem: Zalecenia Pełnomocnika Rządu ds. Cyberbezpieczeństwa – czytaj
Najnowsze komentarze