10.2. Elektron biznesga qaratilgan tahdidlar

Elektron biznesga qaratilgan tahdidlar juda xilma-xil. Ularni tartibga solishning eng qulay yo'li nishoniga qarab guruhlashdir, chunki har bir guruh o'ziga xos himoya chorasini talab qiladi (10.4-rasm).

Birinchi guruh, xaridorga qaratilgan tahdidlar. Bunga soxta onlayn do'konlar, haqiqiy saytga o'xshatib yaratilgan fishing sahifalari va karta ma'lumotini o'g'irlashga urinishlar kiradi. Xaridor bu yerda eng zaif tomon hisoblanadi, chunki uning texnik bilimi cheklangan bo'ladi. Ko'pincha soxta sayt haqiqiysidan faqat manzildagi bitta harf bilan farq qiladi.

Ikkinchi guruh, sotuvchiga qaratilgan tahdidlar. Bunga o'g'irlangan karta bilan to'lov qilish, soxta buyurtma berish va tovarni olgandan keyin to'lovni asossiz qaytarib olishga urinish kiradi. Bu holatlarda zarar ko'radigan tomon aynan sotuvchi bo'ladi, chunki u ham tovarni, ham pulni yo'qotishi mumkin.

Uchinchi guruh, platformaga qaratilgan tahdidlar. Bunga veb-ilovadagi zaifliklardan foydalanish, ma'lumotlar bazasini o'g'irlash va xizmat ko'rsatishdan voz kechishga undovchi hujumlar (DDoS) kiradi. Oxirgi tur elektron biznes uchun ayniqsa og'riqli, chunki sayt ishlamay qolgan har bir soat bevosita yo'qotilgan daromad demakdir. Bunday hujumlar ko'pincha eng gavjum savdo kunlariga to'g'rilab uyushtiriladi.

To'rtinchi guruh, ta'minot zanjiriga qaratilgan tahdidlar. Bunga hamkor tashkilot orqali kirish, tashqi kutubxona yoki modulga zararli kod joylash va to'lov terminallariga hujum kiradi. Bu guruh eng xavfli hisoblanadi, chunki hujum ishonchli deb qaralgan yo'ldan keladi va odatdagi himoya vositalari uni sezmasligi mumkin.

Kirish voqeasida tasvirlangan hujum turi bugungi kunda ham eng samarali usullardan biri bo'lib qolmoqda. Uning mantiqi sodda: yirik va yaxshi himoyalangan tashkilotga to'g'ridan-to'g'ri hujum qilish qiyin, biroq unga ulangan kichik hamkor odatda ancha kam himoyalangan bo'ladi. Hujum bosqichlari quyidagicha kechadi (10.5-rasm).

Avval tajovuzkor nishon tashkilotning hamkorlarini aniqlaydi, bu ma'lumot ko'pincha ochiq manbalardan topiladi. So'ngra hamkor xodimiga fishing xati yuboriladi va uning kirish ma'lumotlari qo'lga kiritiladi. Keyin bu ma'lumotlar bilan asosiy tashkilot tarmog'iga kiriladi. Tarmoq ichida yetarli ajratish bo'lmasa, tajovuzkor asta-sekin siljib, o'ziga kerakli tizimga yetib boradi. Nihoyat, u yerga zararli dastur o'rnatiladi va ma'lumot yig'ish boshlanadi.

Bu hujum turidan himoyalanishning bir necha yo'li bor. Birinchidan, hamkorlarga beriladigan kirish huquqi imkon qadar cheklangan bo'lishi kerak: hamkor faqat o'ziga zarur tizimga kirishi lozim, boshqasiga emas. Ikkinchidan, tarmoq segmentlarga ajratiladi, toki bir qismga kirgan shaxs boshqasiga erkin o'ta olmasin. Uchinchidan, hamkor hisoblari uchun ham ko'p omilli autentifikatsiya talab qilinadi. To'rtinchidan, hamkorlar faoliyati alohida kuzatiladi va odatdan tashqari harakat aniqlanganda tekshiriladi.

Yettinchi bobda ko'rilganidek, hujumlarning katta qismi texnik zaiflikdan emas, inson omilidan boshlanadi. Elektron biznesda bu qonuniyat yanada yaqqolroq ko'rinadi, chunki bu yerda ishtirokchilar soni ko'p va ularning malakasi turlicha.

Elektron tijoratda ijtimoiy injiniring bir necha shaklda uchraydi. Xaridorga «buyurtmangiz to'xtatildi, ma'lumotni tasdiqlang» degan mazmundagi soxta xat yuboriladi va u soxta to'lov sahifasiga yo'naltiriladi. Sotuvchining xodimiga «katta buyurtma bo'yicha hujjat» degan bahona bilan zararli fayl jo'natiladi. Yetkazib berish xizmati nomidan qo'ng'iroq qilib, mijozdan karta ma'lumotlarini so'rash urinishlari ham keng tarqalgan.

Ushbu hujumlarning umumiy jihati shundaki, ular shoshilinchlik hissini uyg'otadi: «hoziroq tasdiqlang, aks holda buyurtma bekor qilinadi». Shoshilish esa odamni tekshirmasdan harakat qilishga majbur qiladi. Shu sababli elektron biznesda mijozlarni ham, xodimlarni ham xabardor qilish himoyaning ajralmas qismi hisoblanadi.