Sicherheitspflichten der Mitarbeiter

Was ist Sicherheitspflichten der Mitarbeiter?

Ein Anrufer, der sich als Arzt ausgibt, erreicht die Patientenverwaltung mit einem sterbenden Patienten und einem gesperrten Konto. Als Beweis bietet er die ersten Ziffern einer Mitarbeiter-ID an und führt den Agenten dann zu einem ähnlichen Portal, um ein Zurücksetzen des Passworts zu autorisieren. Drei Stunden später sind Tausende Patientenakten verschwunden. Sie verfolgen die Angriffskette, ermitteln den Zeitpunkt, an dem sie hätte gestoppt werden können, setzen das Passwort zurück, melden sich für die Multi-Faktor-Authentifizierung an und reichen den Bericht ein. Eine Anrufer-ID und eine Teil-ID-Nummer stellen keinen Identitätsnachweis dar.

Was Sie lernen in Sicherheitspflichten der Mitarbeiter

• Die Identität eines unerwarteten Anrufers über eine Nummer aus dem internen Verzeichnis prüfen, nicht über Angaben des Anrufers
• Dringlichkeit, behauptete Autorität und Appelle an das Mitgefühl als das Druckmuster erkennen, das einer Zugangsdaten-Anfrage vorausgeht
• Eine täuschend echte Portal-Domain erkennen, bevor Zugangsdaten eingegeben werden, und jedes von einem Anrufer veranlasste Zurücksetzen des Passworts als feindlich behandeln
• Eine bestätigte Kompromittierung von Zugangsdaten eindämmen, indem das Passwort sofort geändert und die App-basierte Multi-Faktor-Authentifizierung eingerichtet wird
• Einen Vorfallbericht erstellen, der die Behauptungen des Anrufers, die gefälschte Domain und die gefährdeten Daten festhält, damit das Sicherheitsteam handeln kann

Sicherheitspflichten der Mitarbeiter — Trainingsschritte

1. Ein normaler Montag bei Meridian Healthcare

   Es ist ein ganz normaler Montagmorgen. Sie haben es sich gerade mit Ihrem Kaffee gemütlich gemacht und sich im Patientenverwaltungsportal angemeldet.

2. Ein dringender Anruf

   Alices Telefon klingelt. Die Anrufer-ID zeigt „Dr. Rajan Mehta – Kardiologie“. Der Mann am Telefon klingt eindringlich, fast panisch, und braucht Hilfe beim Zugriff auf Patientenakten.

3. Der Verifizierungstrick

   Der Anrufer bietet an, seine Identität zu „verifizieren“. Er gibt Alice die ersten paar Ziffern seiner Mitarbeiter-ID und bittet sie, nachzuschauen und den Rest vorzulesen. Es fühlt sich wie ein Beweis an – aber er hat Alice nur dazu gebracht, seine Identität für ihn zu vervollständigen.

4. Weiterleitung zum „Quick-Reset Tool“

   Da Alice den Anrufer nun für legitim hält, schickt er sie zu einem „IT Quick-Reset Tool“ und bittet sie, das Zurücksetzen mit ihren eigenen Zugangsdaten zu autorisieren.

5. Zugangsdaten auf der Phishing-Seite eingeben

   Alice öffnet die vom Anrufer angegebene URL. Die Seite sieht aus wie ein IT-Tool von Meridian Healthcare – aber die Domain ist meridianhc-portal.net und nicht die echte meridianhc.com. In ihrer Eile, dem „sterbenden Patienten“ zu helfen, bemerkt sie den Unterschied nicht.

6. „Bearbeitung“ der Autorisierung

   Auf der Seite wird die Meldung „Autorisierung wird verarbeitet“ angezeigt und angegeben, dass Alice innerhalb von 24 Stunden eine Bestätigungs-E-Mail erhalten wird. Es sieht nach Routine aus – aber ihre Zugangsdaten wurden gerade vom Angreifer erbeutet.

7. Konsequenzen enthüllt

   Drei Stunden später kommt eine dringende E-Mail vom CISO. Auf dem Patientenverwaltungssystem wurde ein unbefugter Zugriff festgestellt. 2.300 Patientenakten mit Namen, Sozialversicherungsnummern, Versicherungsdaten und Krankengeschichten wurden auf einen externen Server exportiert. Die verwendeten Zugangsdaten: die von Alice.

8. Die Untersuchung des Vorfalls

   Alices Magen dreht sich um. Sie klickt auf den Link zum Dashboard zur Vorfalluntersuchung und meldet sich an, um das gesamte Ausmaß des Schadens zu sehen.

9. Die Angriffskette verstehen

   Das Dashboard zur Vorfalluntersuchung zeigt die gesamte Angriffskette. Jeder Schritt wird dargelegt: die gefälschte Anrufer-ID, der gefälschte Verifizierungstrick, die Phishing-URL auf einer externen Domain und die Erfassung der Zugangsdaten.

10. Was hätte Alice tun sollen?