30 min lexim

Moduli 6 nga 9, mësimi 5 nga 5. 0 nga 40 mësime të përfunduara.

American Corners

Plani i verifikimit

Një zakon pas të gjithave

Phishing i shkruar nga IA, video deepfake, klonim zëri, identitete sintetike: secili është një maskim i ndryshëm, por të gjithë ndajnë një pikë të vetme të dobët. Secili prej tyre ka nevojë që ti të pranosh një pretendim identiteti pa e kontrolluar, dhe të veprosh shpejt para se ta bësh këtë. Hiqua këtë mundësi dhe e gjithë kategoria e ka të vështirë të funksionojë.

Pra nuk të duhet një marifet i veçantë për çdo kërcënim. Të duhet një zakon, i zbatuar sa herë një kërkesë është njëherësh e ndjeshme dhe shtytëse. Ky është plani i verifikimit, dhe ka tri pjesë të thjeshta.

Plani me tri pjesë

1. Konfirmo në një kanal të veçantë e të besuar

Zakoni më i dobishëm në gjithë këtë kurs: kur një kërkesë prek para, kredenciale, kode njëpërdorimshe, ose të dhëna të ndjeshme, konfirmoje në një kanal të veçantë e të besuar para se të veprosh.

"I veçantë e i besuar" do të thotë një rrugë që e zgjodhe ti dhe që tashmë i beson, jo ajo ku mbërriti kërkesa:

Të erdhi një email i dyshimtë? Mos iu përgjigj. Telefonoje personin në një numër që e ke tashmë.
Të erdhi një telefonatë ose mesazh zanor urgjent? Mbylle dhe telefono në një numër të njohur, ose kontaktoje në një mënyrë tjetër.
Në një videotelefonatë që kthehet te paratë? Konfirmoje përmes një kanali tjetër para se të lëvizësh gjë.

Rregulli që e bën këtë të funksionojë: mos përdor kurrë të dhënat e kontaktit që jepen brenda vetë mesazhit të dyshimtë. Një mashtrues me kënaqësi do të të japë një numër që të çon te bashkëpunëtori i tij. E gjithë ideja është të dalësh jashtë kanalit që kontrollon sulmuesi.

2. Vendos fjalë të sigurta paraprakisht

Disa kërkesa s'presin dot një ritelefonim, dhe disa zëra tingëllojnë saktësisht si duhet. Një fjalë e sigurt është një shkurtore që e vendos paraprakisht: një fjalë ose shprehje që e di vetëm familja jote, ose një frazë sfide e rënë dakord brenda një ekipi. Nëse një telefonatë në panik ose një udhëzim urgjent pretendon se vjen nga dikush që i beson, ti kërkon fjalën e sigurt. Personi i vërtetë e di. Një klon ose imitues jo.

Nuk kushton asgjë dhe funksionon pikërisht kur gjykimi yt është nën presionin më të madh.

3. Ngadalëso kur urgjenca ka të bëjë me para

Pothuajse secili prej këtyre mashtrimeve funksionon me urgjencë të prodhuar: vepro tani, mbaje të qetë, mos kontrollo me askënd. Ai presion nuk është efekt anësor, është vetë sulmi. Urgjenca ekziston për të të ndaluar të bësh pikërisht atë që kërkon ky plan.

Prandaj trajtoje ndërthurjen e urgjencës dhe parave si vetë alarmin. Sa herë ndihesh i nxituar drejt një pagese, një transferte, një kodi apo një hyrjeje, ajo ndjesi është shenja jote për të ngadalësuar e verifikuar, jo arsyeja jote për të nxituar.

Këshillë

Ndërto një refleks: urgjenca plus paratë barazohet me verifiko. Në çastin që një kërkesë të shtyn të lëvizësh fonde ose të japësh një kod me nxitim, ndalu dhe konfirmoje në një kanal të veçantë e të besuar para se të bësh gjë.

Një shembull i punuar

Një punonjës merr një email, gjoja nga një furnitor i njohur, që kërkon të ndryshojë llogarinë bankare për pagesën e radhës. Ky është mashtrimi me email biznesi (BEC), mashtrimi i pagesës së furnitorit i trajtuar te Moduli 4; këtu thjesht e zbatojmë planin kundër tij. Email-i është i rrjedhshëm, koha përputhet me një faturë të vërtetë, dhe thekson butësisht afatin.

Plani e bën reagimin të qartë, sado i lëmuar të jetë mesazhi:

Kanal i veçantë e i besuar: telefono furnitorin në numrin që e ke tashmë në dosje, jo në një numër nga email-i.
Ngadalëso: një ndryshim i të dhënave të pagesës plus presion kohor është modeli klasik, prandaj pikërisht këtu duhet ndalur.
Fjalë e sigurt ose kontroll i rënë dakord: nëse ekipi ka një rregull që ndryshimet e të dhënave bankare konfirmohen me telefon, ndiqe çdo herë, pa përjashtime për kërkesa "urgjente".

Një zakon, i zbatuar njëlloj çdo herë, mbron njëherësh nga të gjitha mashtrimet e fuqizuara nga IA në këtë modul.

Zbatoje librin nën presion

Të lexosh tri shprehitë nuk është e njëjta gjë me t'i përdorur ato një pasdite kur personi që të duhet nuk kapet dhe afati është i vërtetë. Ky ushtrim të vë pikërisht në atë pasdite.

Praktikë e njësisë · 20 deri në 25 min

Zbato udhëzuesin e verifikimit kur nuk funksionon herën e parë

I di të tri shprehitë. Këtu i përdor përballë dikujt që i ka parashikuar. Puna jote mbetet në këtë shfletues: asgjë nuk ngarkohet, nuk vlerësohet dhe nuk ruhet.

Kontrollet e aktivitetit po bëhen gati. Këtë pjesë mund ta lexosh tani; zgjedhjet do të aktivizohen sapo faqja të jetë gati.

Situata

Ti merresh me pagesat për një organizatë të vogël. Vjen një email nga drejtori yt, i cili këtë javë është jashtë shtetit. Një furnitor që e paguan çdo muaj ka të dhëna të reja bankare dhe fatura duhet paguar sot. Email-i tingëllon pikërisht sikur ta ketë shkruar drejtori: ka të njëjtën përshëndetje dhe të njëjtin zakon për ta mbyllur me inicialin e parë, si dhe i referohet faturës së muajit të kaluar me numrin e saj të vërtetë.

Raundi 1 · Lëvizja jote e parë

Çfarë bën së pari?

Përgjigju email-it dhe kërkoji drejtorit të konfirmojë se është vërtet aiTelefono numrin e celularit në nënshkrimin e email-itTelefonoji drejtorit në numrin që ke ruajtur tashmë në telefonPyet kolegun në tavolinën ngjitur nëse i duket në rregullKryeje. Drejtori është në udhëtim dhe formulimi është pikërisht i tiji

Nëse ngec, ke gjithmonë një lëvizje të sigurt

Njerëzit bllokohen këtu sepse mendojnë se duhet të vendosin nëse mesazhi është i vërtetë. Nuk është e nevojshme dhe zakonisht as mund ta dinë.

Ka një lëvizje që mund ta bësh gjithmonë dhe që nuk është e gabuar: mos i ndrysho të dhënat e pagesës mbi bazën e mesazhit që të kërkoi t'i ndryshosh. Lënia e të dhënave pikërisht siç ishin nuk kushton asgjë, nuk prish asgjë, dhe mund të kthehet nesër. Dërgimi i parave te një llogari e re nuk zhbëhet dot.

Pra pyetja e parë nuk është kurrë "a është kjo e vërtetë?". Është "cila është gjëja më e vogël që mund të bëj për ta zgjidhur detyrën e sotme pa mbyllur mundësitë për nesër?"

Nëse kjo t'u duk e thjeshtë

Po sikur të ishte vërtet drejtori? Shumica e këshillave për sigurinë nënkuptojnë në heshtje se mesazhi i dyshimtë është armiqësor. Zakonisht nuk është, dhe një proces që funksionon vetëm kur ke të drejtë nuk është proces.

Pra llogarit me ndershmëri koston e gabimit në secilin drejtim. Nëse refuzon dhe e ke pasur gabim, një drejtor i vërtetë vonohet pak dhe ndoshta mërzitet, dhe një furnitor i vërtetë paguhet te llogaria e vjetër, që ende punon. Kaq është e gjithë kostoja. Nëse pranon dhe e ke pasur gabim, paratë ikin brenda një ore dhe nuk kthehen. Këto dy gabime nuk kanë të njëjtën peshë dhe një rregull i mirë ndërtohet duke marrë parasysh atë shpërpjesëtim, jo mprehtësinë sate.

Ka një kosto të dytë që shpesh nuk shihet: barra e kundërshtimit i mbetet personit me më pak autoritet në zinxhir, i cili është edhe ai që e ka më të vështirë t'i thotë jo një drejtori. Një rregull që thotë "përdor gjykimin tënd" ia ngarkon në heshtje rrezikun atij personi. Një rregull që thotë "ky hap bëhet çdo herë, për të gjithë, përfshirë drejtorin" ia heq nga supet. Prandaj rregulli që shkrove duhet të emërtojë një hap, jo një qëndrim.

Radha jote: merr një proces real miratimi që përdoret aty ku punon ose studion. Shkruaj sa do të kushtonte të kishe gabim në secilin drejtim, dhe thuaj nga cili prej të dyve po të mbron realisht procesi yt i tanishëm.

Kjo pajisje mban mend vetëm raundin ku arrite dhe lëvizjet që zgjodhe.

Gjete diçka të paqartë, të vjetruar ose që mund të përmirësohet? Sugjero një përmirësim

Provo veten

Inxhinieria sociale dhe siguria e llogarisë

Udhëzim për edukatorin · 50 minuta, ose 30 për formën e shkurtër

Përgatitja

• Printo një paketë edukatori. Printo një grup kartash rolesh për çdo grup prej katërsh; secili duhet të marrë VETËM kartën e vet dhe nuk duhet t'i shohë të tjerat
• Grupet me katër veta funksionojnë më mirë: një financier, një drejtor, një koleg, një vëzhgues. Me tre, hiq vëzhguesin; me pesë, shto një vëzhgues të dytë
• Ule financierin në mënyrë që të mos e shohë kartën e drejtorit. Informacioni i pabarabartë është thelbi i aktivitetit dhe humbet nëse kartat ndahen
• Mbaje ushtrimin në ekran gati për pas, por mos e hap të parin: nëse zhvillohet vetëm para versionit në dhomë, i hiqet presioni që e jep dhoma

Materialet

• Karta rolesh të printuara, një grup për çdo grup pune, të prera e të mbajtura ndaras
• Paketa e edukatorit me tri raundet dhe kohët
• Letër për çdo financier që të shkruajë rregullin e vet në fund

Udhëzime për zhvillimin

• Raundi 1, 10 minuta: financieri e zgjedh me zë lëvizjen e parë. Karta e drejtorit i thotë të vazhdojë të shtyjë, me ngrohtësi e jo me ashpërsi. Mos e lejo dhomën të debatojë ende
• Raundi 2, 15 minuta: njofto se drejtori tani nuk mund të kontaktohet dhe afati është sot. Ky është raundi ku ndodh mësimi, ndaj ruaj heshtjen ndërsa financieri vendos
• Raundi 3, 15 minuta: çdo financier shkruan një rregull procesi në letër. Pastaj shkëmbeni letrat mes grupeve dhe çdo grup të përpiqet ta thyejë rregullin që mori
• Diskutimi, 10 minuta: vetëm tani hape ushtrimin në ekran dhe lini të shohin degën që nuk morën

Diskutimi

• Financierë: në cilin çast dëshiruat më shumë të bënit thjesht atë që ju kërkohej?
• Drejtorë: çfarë thatë që funksionoi, dhe a ju duk sikur po bënit diçka të gabuar?
• Cila lëvizje e zgjidhi, dhe a e gjeti dikush atë që e bën të panevojshëm verifikimin e ndryshimit?
• E kujt është puna të mbajë sikletin e të thënit jo, dhe a është i njëjti person edhe në vendin tuaj të punës?

Hyrje e sugjeruar

Mos e shpjego librin e verifikimit që në fillim. Shpërnda kartat e roleve, lexoje situatën me zë, dhe jepi financierit dy minuta të vendosë lëvizjen e parë, ndërsa drejtori tashmë po e shtyn. Mos emërto asgjë deri pas raundit të parë.

Keqkuptim i mundshëm

Grupet zakonisht vendosin se detyra është të dallojnë falsifikimin. Nuk është: mesazhi është ndërtuar të mos dallohet dhe ushtrimi e thotë këtë. Detyra është të gjejnë një lëvizje që është e sigurt qoftë i vërtetë qoftë jo mesazhi, prandaj pagesa te llogaria që është tashmë në dosje e zgjidh.

Përgjigjja e pritshme

Në fund çdo financier di të emërtojë një lëvizje që e përmbush afatin pa vepruar mbi ndryshimin, dhe di të formulojë një rregull procesi që emërton një shkas dhe një hap të detyrueshëm, e jo që i kërkon një personi të jetë i vëmendshëm.

Versioni i shkurtuar

Për 30 minuta, hiq shkëmbimin e rregullave në raundin 3 dhe mbaje shkrimin. Kurrë mos e hiq raundin 2: pa të, ushtrimi mëson se verifikimi funksionon gjithmonë.

Diskutimi përmbyllës

• Mesazhi nuk ishte lehtësisht i dallueshëm, dhe kjo ishte e qëllimshme
• Dy kërkesa, jo një: mund të miratosh pagesën dhe ta refuzosh ndryshimin
• Një rregull funksionon më mirë se mbështetja vetëm te vëmendja, sepse vëmendja ndryshon nga dita në ditë

Përshtatja sipas grupit

Dyshe: Vetëm dy veta: luaj financierin dhe drejtorin, dhe lexoje vetë me zë rreshtin e kolegut.
Grupe të vogla: Katër për grup është forma e menduar. Ndërroni rolet për një xhiro të dytë nëse ka kohë; roli i drejtorit mëson po aq sa ai i financierit.
E gjithë klasa: Zhvillo një grup në mes, me të tjerët duke vëzhguar, pastaj vëzhguesit shkruajnë rregullin. Më i ngadaltë, por presioni duket nga gjithë dhoma.

Instalimi dhe zgjidhja e problemeve

• Një financier që paguan menjëherë nuk ka dështuar; pyet dhomën çfarë informacioni do t'i kishte ndihmuar, dhe lëri të zbulojnë se nuk kishte asnjë
• Nëse një drejtor nuk arrin ta bëjë presionin, merre vetë rolin për një raund. Disa grupe kanë nevojë ta shohin se bëhet me mirësjellje
• Nëse një grup shkon drejt e te përgjigjja e duhur, kaloje herët në raundin 3 dhe jepi rregullin më të vështirë për ta thyer

Kartat e roleve dhe fleta e rregullit Paketa e edukatorit dhe kartat e roleve

Gjete diçka të paqartë, të vjetruar ose që mund të përmirësohet? Sugjero një përmirësim

Nga vjen ky mësim

Ndërtuar mbi

Workshop 5: AI Security Tools and Defending Against AI-Enabled Threats (udhëzuesi V3.0): zakonet e verifikimit
Workshop 7: Social Engineering, Phishing and Deepfakes (udhëzuesi V3.0): mbrojtja dhe reagimi
Fjalori: BEC

alphaPlan tregon nëse një mësim vjen nga një program i zhvilluar në klasë apo është shkruar për këtë shteg. Kur një pohim mbështetet mbi një standard të jashtëm ose mbi një rast të raportuar, ai emërtohet më sipër që ta kontrollosh vetë e të mos na besosh në fjalë.

shënim: ky material u krijua në kuadër të projektit 'U.S. Cybersecurity Leadership in AI for Albania', financuar nga departamenti i shtetit i shteteve të bashkuara. mendimet, gjetjet dhe përfundimet e paraqitura këtu janë të autorit(ëve) dhe nuk pasqyrojnë domosdoshmërisht ato të departamentit të shtetit të shteteve të bashkuara.

Disclaimer: This material was created on behalf of the 'U.S. Cybersecurity Leadership in AI for Albania' project, funded by the United States Department of State. The opinions, findings, and conclusions stated herein are those of the author(s) and do not necessarily reflect those of the United States Department of State.

Shënim

Gjete diçka të paqartë, të vjetruar ose që mund të përmirësohet? Sugjero një përmirësim