Sociální inženýrství je způsob manipulace uživatelů s cílem získat od nich informace důvěrného charakteru anebo je přinutit k vykonání požadované akce. Pro tento účel se nově začaly využívat platformy pro týmovou spolupráci, systémy využívané k provozu webových stránek/e-shopů nebo systémy pro posílání e-mailových kampaní. A právě jeden z nich byl napaden.

Systém MailChimp je celosvětově velmi populárním nástrojem pro rozesílání newsletterů. Hack tohoto systému proto udělal vrásky nejednomu marketingovému manažerovi. Právě tito zaměstnanci ho totiž ve velkém měřítku využívají k rozesílání různých kampaní. „Hackerům se v MailChimpu podařilo získat přístup k více jak 100 zákaznickým účtům. Jedním z postižených e-mailových seznamů byla databáze společnosti Trezor, která vyrábí krypto-peněženky. Útočníci se následně snažili získat přihlašovací údaje ke kryptoměnovým peněženkám tím způso­bem, že jejich majitelům jménem Trezoru rozeslali informační e-mail přímo z MailChimpu,“ poodkrývá praktiku Martin Lohnert, specialista pro oblast kyber­bez­peč­nos­ti v technologické společnosti Soitron. V e-mailu klienti Trezoru obdrželi tvrzení, že jejich účty byly kompro­mi­to­vá­ny v důsledku úniku dat. E-mail obsahoval odkaz na údajnou aktua­li­zo­va­nou verzi aplikace Trezor Suite spolu s pokyny k nastavení nového přístupového PINu – přičemž se však jednalo o podvržený phishingový web určený k získání jejich přihlašovacích údajů.

Tento případ jasně ukazuje na riziko používání služeb třetích stran, ve kterých jsou uloženy informace. Přestože jde o renomované společnosti a služby, jsou mnohdy zranitelné a nelze jim bezmezně důvěřovat. „IT oddělení firmy může mít sebelepší ochranu vnitřního prostředí, ale pokud nebude řešit, jak jsou na tom jejich dodavatelé, nebo za jakých podmínek společnost využívá externí systémy, nebude jim to stačit. I jedna kompromitovaná služba či aplikace, může ohrozit celý byznys či reputaci firmy,“ upozorňuje Martin Lohnert.

Pokud se tedy firma rozhodne využít nějaké řešení třetí strany, vždy by se měla zabývat i jejím zabezpečením – na jak vysoké úrovni je, přičemž se nemůže spokojit pouze s marketingovým tvrzením, ale jít hlouběji. Zamýšlet se a připravovat se na situace, jako ta, která postihla MailChimp.