Az eredeti történet szerint az egyik kikötőben egy maláj erőművész jött a hajó fedélzetére, aki bilincset tört, szöget evett, és hatalmas izmait játszatta néhány fillérért. Később a japán dzsiudzsicu birkózás fogásait mutatta be a matrózoknak.

Aztán arra biztatta Fülig Jimmyt, hogy bátran üssön oda teljes erőből, mert ő a hindu önvédelemmel kivédi, és majd lesz meglepetés. A folytatás csakugyan nagy meglepetést okozott. Mert hogy valaki egyetlen pofontól valóságos szaltót csináljon, négy utast és több kisasztal málnaszörpöt felborítson, az igazán meglepő.

Mindez úgy merült most fel, hogy már sokadszor kerül elő a dolgozók biztonságtudatossági tesztjén az a körülmény, hogy olyan kattintásmágnes körleveleket kapnak, ami valóban felkelti az érdeklődésüket, kíváncsiak lesznek, és természetesen nincs nagybetűkkel odaírva: vigyázat, ez csak egy kiberbiztonsági gyakorlat. Miért is lenne? A hamis telefonszámlás e-maileknél vagy a csaló csomagküldős SMS-eknél sincs odaírva: halihó, clickbait, ezt egy főcsaló küldte.

Korábban már foglalkoztunk pár posztban hasonló esetekkel, ahol a munkavállalókat tette próbára a cégvezetés és az IT biztonsági csapat. Nyilván olyan érdekes, vonzó dologról szólt a levél, ami pontosan az egészséges gyanakvást, a biztonságtudatos hozzáállást hivatott mérlegre tenni, nyitottá téve, hogy ki az aki végül könnyűnek találtatik.

2020. decemberében a GoDaddy domain kezelő cégnél olyan e-mailt küldtek körbe, amelyben 650 dolláros üdülési bónuszt ígértek az alkalmazottaknak. 2021-ben a West Midlands Trains vasúttársaságnál látszólag a bérszámfejtési osztályáról írtak, hogy a Covid megpróbáltatásai miatt egyszeri pénzjutalmat ajánlanak fel számukra. 2024-ben a Kaliforniai Santa Cruz Egyetem (UCSC) hallgatói kaptak olyan figyelmeztető e-mailt, hogy az egyik ott dolgozó ebola-vírussal fertőződött meg, további részletekért kattintsanak a linkre.

És akkor itt a friss eset: egy kanadai egészségügyi szervezet bocsánatot kért, miután informatikai csapatuk olyan adathalász tesztet hajtott végre, amely során hamisan ajánlottak fel alkalmazottaiknak egy extra fizetett szabadnapot. Az e-mail tartalmazott egy linket, amelyre kattintva ezt az állítólagos fizetett szabadságnapot lehetett igényelni.

Az egészségügyi dolgozók persze leterheltek, sokan fásultak vagy a kiégés határán dolgoznak, de ezzel együtt hatalmas hiba erre hivatkozva elnézést kérni és azt ígérni, hogy majd kivizsgálják, ki engedélyezte a teszt e-mail kiküldését.

Szóval határozott ellenvélemény: teljes félreértés a helyzet ilyetén való utólagos kezelése. Tényleg nem lehet minden pofon mellé forgalmi rendőrt állítani, ahogy a kibervilágban a támadók sem szoktak előzetesen bejelentkezni: a felkészülés pontosan az ilyen váratlan helyzetekre akar felkészíteni.

A csapdába beleesni időnként még fekete öves szereplők is szoktak, gondoljunk csak Steve Jobsra, aki egyszer adathalász Amazon webáruházra kattintott, vagy a New York Times szerkesztőségre, ahol a clickbaites PDF mellékletre való óvatlan kattintásuk után a kínai támadók hónapokig ki-be jártak a rendszerükben.

A "Korreláció számítás a textiliparban" vagy az "Idősoros normalizálás a padlóburkolati lapok csúszási koefficiensében" tárgysorú levelek senkinek nem vonzóak, senkit nem csalogatnak megnyitásra, az ilyen fajta levelekre való nemkattintások csak hamis pozitív következtetésekre adnának okot a vezetőségnek. Világos, hogy az ember rögtön izgatott lesz, ha például látszólag a HR osztály ír neki, hogy azonnali hatállyal kirúgták, és pontosan az ilyen helyzetekben kellene higgadtan ellenőrizni a feladót, a linket, a csatolt mellékletet, a téma hihetőséget, telefonon külön ellenőrizni, rákérdezni, stb.

Az igazán profi megtévesztő tesztek után viszont nem kellene folyamatosan elnézéseket kéregetni, hanem rendszeressé kellene tenni a biztonsági képzéseket, és utána teljesen indokolt a biztonságtudatos, óvatos, gyanakvó figyelem elvárása. Pláne amikor időszakonként szimulált adathalász kampányokkal ellenőrzik is ezeket az elvárt képességeket, majd utána közösen kiértékelik, megbeszélik az eredményeket.