oszustwo wewnętrzne

Oszustwo wewnętrzne to nadużycie popełnione przez osobę z organizacji, wykorzystującą własne uprawnienia.

Oszustwo wewnętrzne w środowisku komputerowym

Oszustwo wewnętrzne to nadużycie wykonane przez osobę, która ma legalny dostęp do zasobów organizacji, lecz wykorzystuje go niezgodnie z przydzielonym zakresem obowiązków. W systemie komputerowym sprawca może posłużyć się kontem użytkownika, uprawnieniami administratora, dostępem do aplikacji finansowej, skrzynki pocztowej, udziału sieciowego albo urządzenia końcowego. Istotą problemu nie jest samo włamanie z zewnątrz, lecz użycie zaufanego dostępu do zmiany danych, pozyskania informacji, obejścia kontroli lub ukrycia operacji.

Przykładami są zmiana numeru rachunku kontrahenta w systemie księgowym, tworzenie fikcyjnych dokumentów, zatwierdzanie własnych operacji, kopiowanie plików na nośnik USB, usuwanie zapisów z lokalnego komputera albo wykorzystanie firmowego konta do wyłudzenia płatności. Do nadużycia może dojść celowo, na przykład wskutek przywłaszczenia środków, lub przez przejęcie konta pracownika i wykorzystanie jego sesji przez inną osobę. Z punktu widzenia analizy technicznej oba przypadki wymagają ustalenia, kto, z jakiego urządzenia i w jakim czasie wykonał konkretną czynność.

Ślady pozostawiane przez nadużycie uprawnień

Podstawowym źródłem dowodów są dzienniki zdarzeń rejestrujące logowania, wylogowania, nieudane próby uwierzytelnienia, zmiany uprawnień, modyfikacje plików oraz operacje wykonywane w aplikacjach. W systemach Windows istotne mogą być między innymi zdarzenia logowania i wylogowania w dzienniku Security, a w systemach Linux wpisy uwierzytelniania w plikach takich jak /var/log/auth.log lub /var/log/secure, zależnie od dystrybucji. Sam fakt zalogowania nie dowodzi jeszcze oszustwa, dlatego trzeba go połączyć z adresem IP, nazwą stacji roboczej, identyfikatorem sesji, czasem systemowym i zakresem wykonanych zmian.

Ważne są również logi serwera plików, systemu ERP lub CRM, bramy pocztowej, zapory sieciowej, usługi VPN oraz ochrony endpointów. Podejrzany wzorzec może obejmować logowanie poza zwykłymi godzinami pracy, dostęp do katalogów niezwiązanych ze stanowiskiem, masowe kopiowanie danych, nagłą zmianę uprawnień albo wykonanie operacji z urządzenia, którego pracownik wcześniej nie używał. Analiza powinna uwzględniać synchronizację czasu, ponieważ rozbieżność zegarów między komputerem, serwerem i systemem logowania może zmienić kolejność zdarzeń.

Kontrole ograniczające możliwość oszustwa

Najważniejszą kontrolą jest zasada najmniejszych uprawnień: konto powinno otrzymywać tylko taki dostęp, jaki jest potrzebny do wykonywania konkretnej pracy. Uprawnienia administracyjne należy oddzielić od zwykłego konta użytkownika, a konta współdzielone zastąpić indywidualnymi identyfikatorami. Uwierzytelnianie wieloskładnikowe ogranicza ryzyko wykorzystania samego hasła, natomiast regularny przegląd członkostwa w grupach pozwala wykryć dostęp pozostawiony po zmianie stanowiska lub zakończeniu współpracy.

Kontrole techniczne powinny obejmować rejestrowanie zmian w krytycznych danych, zatwierdzanie operacji przez drugą osobę, blokadę masowego eksportu oraz alerty dotyczące nietypowych logowań i transferów. Przydatne jest rozdzielenie ról: osoba wprowadzająca dane nie powinna samodzielnie zatwierdzać płatności ani usuwać śladu własnej operacji. Logi powinny być przechowywane poza komputerem użytkownika, z ograniczeniem prawa ich modyfikacji, ponieważ lokalny administrator może próbować usunąć wpisy wskazujące na nadużycie.

W przypadku podejrzenia incydentu nie należy od razu kasować konta, czyścić dysku ani instalować systemu od nowa. Takie działania mogą zniszczyć informacje potrzebne do odtworzenia przebiegu zdarzeń. Bezpieczniejsza kolejność obejmuje ograniczenie dostępu, zabezpieczenie logów, wykonanie kopii obrazu nośnika, zapisanie listy aktywnych sesji i ustalenie, jakie dane mogły zostać zmienione. Następnie można porównać kopie zapasowe z bieżącym stanem plików oraz sprawdzić, czy na komputerze pojawiły się nieznane programy, reguły przekierowania poczty lub dodatkowe konta.

Diagnostyka komputera po podejrzeniu nadużycia

Diagnostyka stacji roboczej powinna objąć historię logowania, procesy uruchomione podczas zdarzenia, zadania harmonogramu, usługi systemowe, podłączane nośniki USB, historię połączeń sieciowych oraz pliki utworzone lub zmodyfikowane w podejrzanym czasie. Warto porównać konfigurację komputera z zatwierdzonym wzorcem i sprawdzić integralność ważnych plików systemowych. Nie każda nietypowa aktywność oznacza oszustwo: aktualizacja programu, synchronizacja chmurowa lub automatyczna kopia zapasowa również mogą powodować dużą liczbę operacji.

Jeżeli komputer ma zostać przekazany do analizy, należy zanotować jego stan, godzinę zabezpieczenia, podłączone urządzenia oraz osoby mające z nim kontakt. Odpowiedzialna diagnostyka obejmuje także sprawdzenie, czy przyczyną nie był złośliwy program przechwytujący sesję albo zapisane hasło w przeglądarce. Po zakończeniu analizy można usunąć nieautoryzowane oprogramowanie, zmienić poświadczenia, przywrócić właściwy model uprawnień i wdrożyć dodatkowe monitorowanie. W przypadku laptopa lub komputera PC serwis może technicznie sprawdzić stan systemu, dysku, kont użytkowników i podstawowych mechanizmów bezpieczeństwa, zachowując kolejność działań potrzebną do wyjaśnienia incydentu.