Prawdopodobnie pracownicy zostali nabrani na wypełnienie i odesłanie formularza W-2 (formularz podatkowy, który obejmuje także poufne informacje jak: numery pracowniczych ubezpieczeń społecznych, wynagrodzenia i adresy), który to został wysłany w sfałszowanym e-mailu pochodzącym od „oddziału księgowego” firmy.
Nie jest to najbardziej wyrafinowany atak na świecie, ale jest on niezwykle skuteczny – uderza w najsłabsze ogniwo każdej z firm – pracowników.
Rzecznik firmy Eric DeRitis potwierdza szczegóły ataku na Seagate:
„W dniu 1 marca, Seagate Technology dowiedział się, że formularz informacyjny W-2 został odesłany nieuprawnionej osobie trzeciej w odpowiedzi na e-mail, który był elementem ataku phishingowego.
Informacja została wysłana przez pracownika, który uwierzył, że e-mail był wysłany przez jeden z wewnętrznych działów firmy.
Kiedy dowiedzieliśmy się o tym natychmiast powiadomiliśmy władze federalne, które w tej chwili prowadzą śledztwo. Głęboko żałujemy tego błędu i oferujemy nasze najszczersze przeprosiny wszystkim podlegającym. Seagate agresywnie analizuje, jakie zmiany musi wprowadzić w swoich zabezpieczeniach i będzie je wprowadzać tak szybko jak to możliwe.”
Największym zagrożeniem jest to, że przestępcy użyją skradzionych informacji by utworzyć konto online w Internal Revenue Service (odpowiednik polskiego Urzędu Skarbowego) i będzie się w jej imieniu starał o zwrot podatku.
Przestępcy bardzo aktywnie wykorzystują ludzkie słabości by wyłudzić poufne dane z firmy. Jest wysoce prawdopodobne, że firma Seagate nie będzie jedyną z większych firm, która zostanie zaatakowana w ten sposób.
Wdrożenie ścisłej kontroli nad dostępem do poufnych informacji w organizacji oraz szkolenie dla pracowników może wzmocnić ochronę i zmniejszyć ryzyko kolejnych ataków. Połączenie tych dwóch praktyk pomoże uświadomić pracowników i zwrócić ich uwagę na inne podejrzane e-maile.
