中小零售商要特别小心在线诈骗

铺面租金随着地价水涨船高,新世代的员工们宁愿啃老也不肯接受低薪金,不景气宏观经济之下,线下体验线上购买的省钱之道盛行,让不少中小零售门店苦不堪言,只能在一拨投资打了水漂之后关门大吉,将机会和风险留给新的冒险家。

旧时做生意讲天时、地利与人和,现在电子商务、无处不在的互联网以及快捷便利的物流等等已经打破了传统的时空限制,让商业竞争变得白热化,利润当然被挤到了最小化。当然这更是商业竞争之道——以最优惠的价格提供最好的产品和服务。

传统的门店的“触网”行为并不仅仅是开个“网店”,更多的是某品牌的一个分销网络终端。背靠大树好乘凉,不管是直销分销还是代理加盟,诺大的中国,都是中小零售厂商和店面门市的竞争舞台。

信息化着实帮助中小零售商提升了商业竞争力,不仅能够极大帮助前端的营销和客服,更能科学指导设计开发、生产制造和物流配送。随之如个人电脑之类计算终端的成本剧降,基于云计算的CRM和ERP应用的日渐成熟,零售业信息化的普及势不可挡。实际上,我们在街头随便观察便可轻易看到多数店面都已经放置了网络收银设备和个人电脑设备。

然而大小零售商和店主儿们往往并非信息安全方面的专家,他们能够朦胧地意识到业务相关的潜在安全威胁,却无法清晰认识和掌控它们。

而那些形形色色的网络犯罪分子则将目光开始转移这些中小零售商,因为从他们这里窃取重要数据和偷钱相对于那些大型机构要容易得多。中小零售商那儿值钱的数据多为客户信息,而控制了POS机则可获得大量银行卡及信用卡等资料。

老板们可能觉得需要花费功夫教会店员们学习和掌握的信息系统,不会轻易被远在异国天边的网络黑客控制,实际上,正是这种信息安全意识的无知、大意和疏忽,让他们的商业竞争力受挫,进而导致客户流失、商业信誉受损甚至企业破产。

此外,乔装打扮成顾客进入店面的攻击者更为可怕,他们更可能轻易了解店面的信息系统和设备,进而快速定位安全防范弱点并加之利用和操控。

如何才能有效防范呢?昆明亭长朗然科技有限公司的零售业安全解决方案专员Bob Xue称:首先要解决的问题是安全观念的改变。知己知彼,认识不到那些潜在的商业安全风险才最可怕。其次,则是针对这些安全风险,实施和部署适当的风险控管措施。

中小零售商的信息安全管理也要遵循信息安全管理体系的标准,不过多数零售商并没有足够的资源来进行必要的工作,然而亭长朗然公司仍然建议老板们要监督执行如下必要的核心控管措施:

1.保障通讯的安全,在供应链、门市终端和中央信息系统之间设置VPN加密数据通讯;
2.设置高强度的密码和多重认证措施,特别注意强制门市终端更改默认密码;
3.加固各类终端的安全,这些终端包括但并不限于POS机、台式机、笔记本、智能手机、平板电脑等等;
4.加强对全体员工进行信息安全意识教育,让他们了解到基本的安全常识,知晓如何防范社交工程学攻击和保障客户隐私数据的安全,更要让他们养成良好的安全习惯,防止出现随意接受恶意附件的行为。
5.强化店面的物理安全,防范针对信息系统和设备的攻击和窃取,假如是日货品牌,则要多加注意在特殊时期悬挂国旗,在必要时加强保安力量甚至临时关门以防止被打砸抢。

针对零售业的在线诈骗数量巨大,想不成为受害者,必须加强对员工进行安全意识培训,同时改进网络信息安全控管措施。

高级持续性威胁防范

一家成功的公司难以避免会成为攻击者的目标,而这些攻击者的幕后主使者往往都是国外政府机构或商业竞争对手。

攻击者交叉混合使用例如互联网、邮件、物理现场、社交工程学等多种攻击渠道,并配合采用全方位的计算机入侵技术,来蒙骗他们的攻击目标,进而在一段较长的时间内隐蔽地窃取信息。这就是人们常说的高持续性威胁、进阶持续性渗透攻击,Advanced Persistent Threat,简称APT。

攻击者们向目标公司员工发送含有恶意代码附件的邮件,一但开启了附件,便会激活恶意代码。恶意代码会刺探和映射网络拓扑,以找寻包含特定目标信息数据的战略系统。接下来,恶意代码和黑客会在目标公司寻找有高级管理权限的用户,并且捕获他们的帐户特权。

需要了解APT攻击者们常用的招数:

  • 鱼叉式网络钓鱼——诱使您点击消息中的链接或开启附件,感染您的系统进而在您不知情的情况下窃取数据。
  • 社交工程学——攻击者们在社交网络上援助您、和您建立连接和交往,并且让您向其披露敏感信息。

保持安全,远离高持续性威胁

  • 在线上时,小心谈论与您的工作相关的内容,只披露尽可能少的信息。
  • 不要通过电话、邮件或当面响应敏感信息索取请求,将这些请求引导到公共关系部门。
  • 不要访问不当的网站;不要点击任何可疑的链接或邮件中的附件。
  • 不要将未经许可的及可疑的USB设备插入工作电脑;不要将工作电脑与私人计算设备连接起来。

高级持续性威胁应对战略方法漫谈

说到这种复杂的攻击,很多极客们都喜欢搬来大数据、人工智能之类的流行术语来忽悠人,其实这些极客们夸夸其谈的可能并没有什么大的错误,只是太理想化,太遥远。

说到底,再复杂、高级、隐避和持久的安全威胁也是由一个个单独的威胁组合而成。往往它们在一整个链条,也就是多个条件协同工作才能生效,在我们斩断其中一两个关键威胁节点之后,其实他们的效力已经微乎其微了。

我这么说可能会引起那些坚定的“木桶理论”和“多重防御理论”者们的不满,仿佛我说了实话,触及了他们的核心利益。其实我没有否认那些理论虽然让企业级的网络安全消费者们多花些钱,但是多部署实施一些安全控制措施,也就相当于在斩断高级可持续性威胁的某些节点威胁。昆明亭长朗然科技有限公司的网络安全顾问董志军说:不过话说回来,我也不是任何单一理论的支持者,信息安全管理毕竟一道体系性的工作,应对复杂的高级持续性威胁,最终还是得依赖全面完整的体系,而不是什么大数据和人工智能。

昆明亭长朗然科技有限公司创作了大量的信息安全培训内容资源,包括课程课件、动画视频、电子图片等等。也有针对如信息安全管理体系、等级保护要求、安全法规及行业标准等等配置相应的培训课程,欢迎有兴趣和需求的客户与伙伴们联系我们,观摩与检视课程内容,购买与代理相关信息安全意识培训内容资源和相关服务。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898