През последната учебна година 808 училищни организации от системата K-12 получиха неприятни новини. Центърът за споделяне и анализ на информация за множество щати (MS-ISAC) ги информира, че профили или идентификационни данни на техните служители се разпространяват на нелегални пазари и в тъмната мрежа. Това представлява 808 от общо 6 116 членове на центъра в сегмента K-12, като атакуващите използват тези идентификационни данни за първоначален достъп, след което достигат до следващия училищен район.
В случаите, проследени от MS-ISAC, атакуващ компрометира чрез фишинг легитимен акаунт на училищен район, след което го използва, за да изпраща фишинг съобщения до контактите на този акаунт, включително служители в други райони. Съобщенията идват от реални потребителски профили през автентифицирани имейл маршрути, което отслабва филтрите, на които разчитат училищата. Центърът за интернет сигурност (CIS), който управлява MS-ISAC, нарича това „прескачане чрез превземане на профили“ (account takeover hopping) и оценява с висока увереност, че практиката ще продължи и през тази учебна година. Киберпрестъпниците също така са се представяли за училищни директори и инспектори от отвлечени профили, за да извършват измами.
Атакуващите започват от хората
„Независимо дали става въпрос за насочен фишинг (spear phishing), телефонни обаждания или масови имейли, хората са любопитни и по природа искат да помогнат. Престъпниците са си престъпници и обикновено поемат по пътя на най-малкото съпротивление, спекулирайки с емоциите. Знаем, че един-единствен компрометиран акаунт е напълно достатъчен, за да се премине към по-доходоносна цел“, заяви Рой Парк, директор по киберсигурност и цифрова поверителност в Службата по образование на окръг Сан Хоакин (Калифорния).
Зловредният софтуер достига до персонала и през браузъра. От 1 796 инфекции от десетте фамилии зловреден код, най-често засичани при членовете от K-12, 1 159 (около 65%) произхождат от злонамерени реклами в легитимни уебсайтове. Анализаторите са регистрирали и 285 инцидента с ClickFix – примамка, която подтиква потребителите сами да изпълнят злонамерени команди. Обученията, изградени единствено около разпознаването на подозрителни имейл съобщения, пропускат учителя, който се заразява със зловреден софтуер, докато просто чете новините.
По един или двама души на район
CIS и MS-ISAC анкетираха 426 ИТ и специалисти по сигурност в училищата през август и септември. Шестдесет и шест процента имат само един или двама души, отговорни за киберсигурността, а 11% нямат специализиран персонал по сигурност. Седемдесет процента са забавили проекти за сигурност, покупки или наемане на хора поради бюджетни ограничения. Осемдесет и седем процента определят фишинга или компрометирането на имейли като най-често срещания инцидент.
Готови да блокират, по-малко готови да се възстановят
Осемдесет и три процента от анкетираните училищни райони са внедрили многофакторна автентикация (MFA) и същият процент филтрират имейлите, докато 59% поддържат план за реагиране при инциденти. Петнадесет процента провеждат редовни учения за реагиране при инциденти, а едва 9% определят стратегията си за сигурност като напълно реализирана.
Центърът за операции по сигурността (SOC) на MS-ISAC анализира 2 707 инцидента, при които злонамерена дейност е достигнала до управляван от училище лаптоп, Chromebook, десктоп компютър или сървър. В 1 711 от тях (около 63%) атакуващите са опитали да избегнат засичане, най-често чрез деактивиране или модифициране на инструменти за сигурност (наблюдавано в 881 случая). Екип от двама души трябва да приема конзола за сигурност, която внезапно затихне, като повод за незабавна проверка.
Петдесет и един процента от анкетираните райони са претърпели киберинцидент през последните 12 месеца. Двадесет и два процента съобщават за нарушен учебен процес в класните стаи, а 2% съобщават за затваряне на училища.
„Училищата работят усилено всеки ден за подобряване на киберсигурността, често с малки екипи и много ограничени ресурси. Но средата около тях се променя бързо, особено след като изкуственият интелект трансформира както възможностите, така и рисковете за общността в сектора K-12. Училищата и районите, които ще бъдат най-добре подготвени за бъдещето, са тези, които инвестират в такава киберустойчивост, която гарантира, че даден киберинцидент няма да прерасне в криза за цялата общност“, сподели Ранди Роуз, вицепрезидент по операции за сигурност и разузнаване на заплахи в Центъра за интернет сигурност.
CIS препоръчва на технологичните лидери в училищните райони да разширят използването на MFA, да следят за изтекли идентификационни данни, да преразгледат привилегированите акаунти и да провеждат поне едно симулационно (tabletop) и едно оперативно учение за реагиране годишно с участието на ръководството. За щатските власти се препоръчва периодично финансиране на споделени услуги за мониторинг и реагиране при инциденти, от които районите могат да се възползват.