7 min lexim
Plani i verifikimit
Një zakon pas të gjithave
Phishing i shkruar nga IA, video deepfake, klonim zëri, identitete sintetike: secili është një maskim i ndryshëm, por të gjithë ndajnë një pikë të vetme të dobët. Secili prej tyre ka nevojë që ti të pranosh një pretendim identiteti pa e kontrolluar, dhe të veprosh shpejt para se ta bësh këtë. Hiqja këtë dhe e gjithë kategoria e ka të vështirë.
Pra nuk të duhet një marifet i veçantë për çdo kërcënim. Të duhet një zakon, i zbatuar sa herë një kërkesë është njëherësh e ndjeshme dhe shtytëse. Ky është plani i verifikimit, dhe ka tri pjesë të thjeshta.
Plani me tri pjesë
1. Konfirmo në një kanal të veçantë e të besuar
Zakoni më i dobishëm në gjithë këtë kurs: kur një kërkesë prek para, kredenciale, kode njëpërdorimshe, ose të dhëna të ndjeshme, konfirmoje në një kanal të veçantë e të besuar para se të veprosh.
"I veçantë e i besuar" do të thotë një rrugë që e zgjodhe ti dhe që tashmë i beson, jo ajo ku mbërriti kërkesa:
- Të erdhi një email i dyshimtë? Mos iu përgjigj. Telefonoje personin në një numër që e ke tashmë.
- Të erdhi një telefonatë ose mesazh zanor urgjent? Mbylle dhe telefono në një numër të njohur, ose kontaktoje në një mënyrë tjetër.
- Në një videotelefonatë që kthehet te paratë? Konfirmoje përmes një kanali tjetër para se të lëvizësh gjë.
Rregulli që e bën këtë të funksionojë: mos përdor kurrë të dhënat e kontaktit që jepen brenda vetë mesazhit të dyshimtë. Një mashtrues me kënaqësi do të të japë një numër që të çon te bashkëpunëtori i tij. E gjithë poenta është të dalësh jashtë kanalit që kontrollon sulmuesi.
2. Vendos fjalë të sigurta paraprakisht
Disa kërkesa s'presin dot një ritelefonim, dhe disa zëra tingëllojnë saktësisht si duhet. Një fjalë e sigurt është një shkurtore që e vendos paraprakisht: një fjalë ose shprehje që e di vetëm familja jote, ose një frazë sfide e rënë dakord brenda një ekipi. Nëse një telefonatë në panik ose një udhëzim urgjent pretendon se vjen nga dikush që i beson, ti kërkon fjalën e sigurt. Personi i vërtetë e di. Një klon ose imitues jo.
Nuk kushton asgjë dhe funksionon pikërisht kur gjykimi yt është nën presionin më të madh.
3. Ngadalëso kur urgjenca takon paratë
Pothuajse secili prej këtyre mashtrimeve funksionon me urgjencë të prodhuar: vepro tani, mbaje të qetë, mos kontrollo me askënd. Ai presion nuk është efekt anësor, është vetë sulmi. Urgjenca ekziston për të të ndaluar të bësh pikërisht atë që kërkon ky plan.
Prandaj trajtoje ndërthurjen e urgjencës dhe parave si vetë alarmin. Sa herë ndihesh i nxituar drejt një pagese, një transferte, një kodi apo një hyrjeje, ajo ndjesi është shenja jote për të ngadalësuar e verifikuar, jo arsyeja jote për të nxituar.
Këshillë
Ndërto një refleks: urgjenca plus paratë barazohet me verifiko. Në çastin që një kërkesë të shtyn të lëvizësh fonde ose të japësh një kod me nxitim, ndalu dhe konfirmoje në një kanal të veçantë e të besuar para se të bësh gjë.
Një shembull i punuar
Një punonjës merr një email, gjoja nga një furnitor i njohur, që kërkon të ndryshojë llogarinë bankare për pagesën e radhës. Ky është mashtrimi me email biznesi (BEC), mashtrimi i pagesës së furnitorit i trajtuar te Moduli 4; këtu thjesht e zbatojmë planin kundër tij. Email-i është i rrjedhshëm, koha përputhet me një faturë të vërtetë, dhe thekson butësisht afatin.
Plani e bën reagimin të qartë, sado i lëmuar të jetë mesazhi:
- Kanal i veçantë e i besuar: telefono furnitorin në numrin që e ke tashmë në dosje, jo në një numër nga email-i.
- Ngadalëso: një ndryshim i të dhënave të pagesës plus presion kohor është modeli klasik, prandaj pikërisht këtu duhet ndalur.
- Fjalë e sigurt ose kontroll i rënë dakord: nëse ekipi ka një rregull që ndryshimet e të dhënave bankare konfirmohen me telefon, ndiqe çdo herë, pa përjashtime për kërkesa "urgjente".
Një zakon, i zbatuar njëlloj çdo herë, mbron njëherësh nga të gjitha mashtrimet e fuqizuara nga IA në këtë modul.
Zbatoje librin nën presion
Të lexosh tri shprehitë nuk është e njëjta gjë me t'i përdorur ato një pasdite kur personi që të duhet nuk kapet dhe afati është i vërtetë. Ky ushtrim të vë pikërisht në atë pasdite.
Praktikë e njësisë · 20 deri në 25 min
Zbato librin e verifikimit kur nuk funksionon herën e parë
I di të tri shprehitë. Këtu i zbaton kundër dikujt që e priste këtë. Puna jote rri në këtë shfletues: asgjë nuk ngarkohet, nuk vlerësohet dhe nuk ruhet.
Situata
Ti merresh me pagesat për një organizatë të vogël në Tiranë. Vjen një email nga drejtori yt, që këtë javë është jashtë shtetit. Një furnitor që e paguan çdo muaj ka të dhëna të reja bankare, dhe fatura skadon sot. Email-i lexohet pikërisht si i drejtorit: e njëjta përshëndetje, e njëjta shprehi për të nënshkruar me inicialin e parë, dhe i referohet faturës së muajit të kaluar me numrin e saj të vërtetë.
Raundi 1 · Lëvizja jote e parë
Çfarë bën së pari?
Nëse ngrin, ke gjithmonë një lëvizje të sigurt
Njerëzit ngrijnë këtu sepse mendojnë se duhet të vendosin nëse mesazhi është i vërtetë. Nuk duhet, dhe zakonisht nuk munden.
Ka një lëvizje që është gjithmonë e disponueshme dhe kurrë e gabuar: mos i ndrysho të dhënat e pagesës mbi bazën e mesazhit që të kërkoi t'i ndryshosh. Lënia e të dhënave pikërisht siç ishin nuk kushton asgjë, nuk prish asgjë, dhe mund të kthehet nesër. Dërgimi i parave te një llogari e re nuk mundet.
Pra pyetja e parë nuk është kurrë "a është kjo e vërtetë?". Është "cila është gjëja më e vogël që mund të bëj, që e mban sotmen në punë dhe e lë të nesërmen të hapur?"
Nëse kjo iu duk e thjeshtë
Po sikur të ishte vërtet drejtori? Shumica e këshillave për sigurinë nënkuptojnë në heshtje se mesazhi i dyshimtë është armiqësor. Zakonisht nuk është, dhe një proces që funksionon vetëm kur ke të drejtë nuk është proces.
Pra vlerësoje ndershmërisht gabimin në anën tjetër. Nëse refuzon dhe e ke pasur gabim, një drejtor i vërtetë vonohet pak dhe ndoshta mërzitet, dhe një furnitor i vërtetë paguhet te llogaria e vjetër, që ende punon. Kaq është e gjithë kostoja. Nëse pranon dhe e ke pasur gabim, paratë ikin brenda një ore dhe nuk kthehen. Këto dy gabime nuk janë të njëjtës madhësi, dhe një rregull i mirë ndërtohet rreth asaj shpërpjesëtimi, jo rreth mprehtësisë sate.
Ka një kosto të dytë që shpesh nuk shihet: fërkimi bie mbi personin më të ri në zinxhir, i cili është edhe ai që më pak mund t'i thotë jo një drejtori. Një rregull që thotë "përdor gjykimin tënd" ia ngarkon në heshtje rrezikun atij personi. Një rregull që thotë "ky hap bëhet çdo herë, për të gjithë, përfshirë drejtorin" ia heq nga supet. Prandaj rregulli që shkrove duhet të emërtojë një hap, jo një qëndrim.
Radha jote: merr një miratim të vërtetë që ndodh aty ku punon ose studion. Shkruaj sa do të kushtonte të kishe gabim në secilin drejtim, dhe thuaj nga cili prej të dyve po të mbron realisht procesi yt i tanishëm.
Gjete diçka të paqartë, të vjetruar ose që mund të përmirësohet? Sugjero një përmirësim
Provo veten
Udhëzim për edukatorin · 50 minuta, ose 30 për formën e shkurtër
Përgatitja
- • Printo një paketë edukatori. Printo një grup kartash rolesh për çdo grup prej katërsh; secili duhet të marrë VETËM kartën e vet dhe nuk duhet t'i shohë të tjerat
- • Grupet me katër veta funksionojnë më mirë: një financier, një drejtor, një koleg, një vëzhgues. Me tre, hiq vëzhguesin; me pesë, shto një vëzhgues të dytë
- • Ule financierin ashtu që të mos e shohë kartën e drejtorit. Asimetria është gjithë qëllimi dhe shembet nëse kartat ndahen
- • Mbaje ushtrimin në ekran gati për pas, por mos e hap të parin: nëse zhvillohet vetëm para versionit në dhomë, i hiqet presioni që e jep dhoma
Materialet
- • Karta rolesh të printuara, një grup për çdo grup pune, të prera e të mbajtura ndaras
- • Paketa e edukatorit me tri raundet dhe kohët
- • Letër për çdo financier që të shkruajë rregullin e vet në fund
Udhëzime për zhvillimin
- • Raundi 1, 10 minuta: financieri e zgjedh me zë lëvizjen e parë. Karta e drejtorit i thotë të vazhdojë të shtyjë, me ngrohtësi e jo me ashpërsi. Mos e lejo dhomën të debatojë ende
- • Raundi 2, 15 minuta: njofto se drejtori tani nuk kapet dhe afati është sot. Ky është raundi që bën mësimin, ndaj mbroje heshtjen ndërsa financieri vendos
- • Raundi 3, 15 minuta: çdo financier shkruan një rregull procesi në letër. Pastaj shkëmbeni letrat mes grupeve dhe çdo grup të përpiqet ta thyejë rregullin që mori
- • Diskutimi, 10 minuta: vetëm tani hape ushtrimin në ekran dhe lini të shohin degën që nuk morën
Diskutimi
- • Financierë: në cilin çast dëshirove më shumë të bëje thjesht atë që të kërkohej?
- • Drejtorë: çfarë thatë që funksionoi, dhe a ju duk sikur po bënit diçka të gabuar?
- • Cila lëvizje e zgjidhi, dhe a e gjeti dikush atë që e bën të panevojshëm verifikimin e ndryshimit?
- • E kujt është puna të mbajë sikletin e të thënit jo, dhe a është i njëjti person edhe në vendin tuaj të punës?
Hyrje e sugjeruar
Mos e shpjego librin e verifikimit që në fillim. Shpërnda kartat e roleve, lexoje situatën me zë, dhe jepi financierit dy minuta të vendosë lëvizjen e parë, ndërsa drejtori tashmë po e shtyn. Mos emërto asgjë deri pas raundit të parë.
Keqkuptim i mundshëm
Grupet zakonisht vendosin se detyra është të dallojnë falsifikimin. Nuk është: mesazhi është ndërtuar të mos dallohet dhe ushtrimi e thotë këtë. Detyra është të gjejnë një lëvizje që është e sigurt qoftë i vërtetë qoftë jo mesazhi, prandaj pagesa te llogaria që është tashmë në dosje e zgjidh.
Përgjigjja e pritshme
Në fund çdo financier di të emërtojë një lëvizje që e përmbush afatin pa vepruar mbi ndryshimin, dhe di të formulojë një rregull procesi që emërton një shkas dhe një hap të detyrueshëm, e jo që i kërkon një personi të jetë i vëmendshëm.
Versioni i shkurtuar
Për 30 minuta, hiq shkëmbimin e rregullave në raundin 3 dhe mbaje shkrimin. Kurrë mos e hiq raundin 2: pa të, ushtrimi mëson se verifikimi funksionon gjithmonë.
Diskutimi përmbyllës
- • Mesazhi nuk ishte i dallueshëm, dhe kjo ishte me qëllim
- • Dy kërkesa, jo një: mund të paguash dhe prapë ta refuzosh ndryshimin
- • Një rregull ia kalon vëmendjes, sepse vëmendja është një person që e ka ditën e mirë
Përshtatja sipas grupit
- Dyshe
- Vetëm dy veta: luaj financierin dhe drejtorin, dhe lexoje vetë me zë rreshtin e kolegut.
- Grupe të vogla
- Katër për grup është forma e menduar. Ndërroni rolet për një xhiro të dytë nëse ka kohë; roli i drejtorit mëson po aq sa ai i financierit.
- E gjithë klasa
- Zhvillo një grup në mes, me të tjerët duke vëzhguar, pastaj vëzhguesit shkruajnë rregullin. Më i ngadaltë, por presioni duket nga gjithë dhoma.
Instalimi dhe zgjidhja e problemeve
- • Një financier që paguan menjëherë nuk ka dështuar; pyet dhomën çfarë informacioni do t'i kishte ndihmuar, dhe lëri të zbulojnë se nuk kishte asnjë
- • Nëse një drejtor nuk arrin ta bëjë presionin, merre vetë rolin për një raund. Disa grupe kanë nevojë ta shohin se bëhet me mirësjellje
- • Nëse një grup shkon drejt e te përgjigjja e duhur, kaloje herët në raundin 3 dhe jepi rregullin më të vështirë për ta thyer
Gjete diçka të paqartë, të vjetruar ose që mund të përmirësohet? Sugjero një përmirësim
Nga vjen ky mësim
Ndërtuar mbi
- Workshop 5: AI Security Tools and Defending Against AI-Enabled Threats (udhëzuesi V3.0): zakonet e verifikimit
- Workshop 7: Social Engineering, Phishing and Deepfakes (udhëzuesi V3.0): mbrojtja dhe reagimi
- Fjalori: BEC
Kurset e alphaPlan ndërtohen mbi programe të zhvilluara në klasë, e nuk shpiken për web-in. Kur një pohim mbështetet mbi një standard të jashtëm ose mbi një rast të raportuar, ai emërtohet më sipër që ta kontrollosh vetë e të mos na besosh në fjalë.
shënim: ky material u krijua në kuadër të projektit 'U.S. Cybersecurity Leadership in AI for Albania', financuar nga departamenti i shtetit i shteteve të bashkuara. mendimet, gjetjet dhe përfundimet e paraqitura këtu janë të autorit(ëve) dhe nuk pasqyrojnë domosdoshmërisht ato të departamentit të shtetit të shteteve të bashkuara.
Disclaimer: This material was created on behalf of the 'U.S. Cybersecurity Leadership in AI for Albania' project, funded by the United States Department of State. The opinions, findings, and conclusions stated herein are those of the author(s) and do not necessarily reflect those of the United States Department of State.
ShënimGjete diçka të paqartë, të vjetruar ose që mund të përmirësohet? Sugjero një përmirësim