Man-in-the-middle

Čo to znamená

Útok man-in-the-middle, teda človek uprostred, je útok, pri ktorom sa útočník nepozorovane vloží do komunikácie medzi dvoma stranami. Obe strany si myslia, že komunikujú priamo spolu, ale útočník správy číta a môže ich meniť, napríklad vymeniť číslo účtu na faktúre.

Technicky môže ísť o odpočúvanie nezabezpečenej Wi-Fi siete, falošný prístupový bod v kaviarni, podvrhnutú webovú stránku či presmerovanie prevádzky. V podnikateľskej praxi sa útok často prepája s BEC podvodom, keď útočník získa prístup do e-mailovej schránky a sleduje fakturačnú komunikáciu.

Obranou je najmä šifrovanie komunikácie a overovanie, s kým naozaj komunikujeme. Šifrované spojenie s platným SSL/TLS certifikátom zabráni čítaniu a zmene dát cestou, ak prehliadač certifikát overí a používateľ neignoruje varovania.

Ako to funguje v praxi

Najväčšie finančné riziko pre firmy predstavuje zmena platobných údajov. Útočník pošle faktúru alebo e-mail, ktorý vyzerá ako od známeho dodávateľa, s informáciou o novom bankovom účte. Každú zmenu účtu treba overiť telefonicky na čísle, ktoré firma už pozná, nie na čísle z e-mailu.

Na cestách a vo verejných sieťach je vhodné používať VPN a nepripájať sa do nezabezpečených Wi-Fi sietí pri práci s bankou alebo účtovným systémom. Dvojfaktorové overenie sťaží útočníkovi zneužitie ukradnutého hesla, aj keď ho zachytí.

V e-mailovej komunikácii pomáha nastavenie overovacích záznamov domény, ktoré sťažujú podvrhnutie odosielateľa, a školenie zamestnancov, aby si všímali drobné rozdiely v adresách. Interné pravidlo dvoch podpisov pri zmene účtu dodávateľa výrazne znižuje riziko podvodu.

Na čo si dať pozor

Varovanie prehliadača o neplatnom certifikáte nikdy neignorujte. Práve ono môže znamenať, že sa niekto snaží spojenie odpočúvať. Pri internetovom bankovníctve a firemných systémoch treba stránku otvárať cez uložený odkaz, nie cez odkazy v e-mailoch, ktoré môžu viesť na phishingovú kópiu.

Ak firma zaplatí na podvrhnutý účet, treba okamžite kontaktovať banku, ktorá sa môže pokúsiť platbu zastaviť, a podať trestné oznámenie. Účtovne a daňovo ide o škodu, nie o úhradu záväzku, a pôvodný dodávateľ má stále nárok na zaplatenie, ak sa nepreukáže jeho podiel na chybe.