Czym jest whaling?
Whaling to zaawansowany rodzaj ataku typu spear phishing, w którym cyberprzestępcy celują w kluczowych członków organizacji lub podszywają się pod nich, aby oszukać innych. Często spotykanym przykładem jest celowanie w CEO firmy lub udawanie CEO, aby oszukać inne ważne elementy organizacji, takie jak CFO, działy płac, zespoły bezpieczeństwa, czy rzecznicy prasowi.
Cyberprzestępcy mogą wykorzystywać złożone strategie socjotechniczne do skutecznego przeprowadzania ataków wielorybniczych, ponieważ wiedzą, że liderzy nowoczesnych organizacji stosują różne strategie i narzędzia ograniczające phishing. Niestety, złapanie atakujących może być trudne, ponieważ często maskują oni swoje lokalizacje i ukrywają swoje cyfrowe ślady.
Czym różni się whaling od phishingu?
Zanim zagłębimy się w to, czym jest wielorybnictwo i jak działają ataki wielorybnicze, powinniśmy odpowiedzieć na często zadawane pytanie: czym jest phishing w cyberbezpieczeństwie? W skrócie, phishing polega na tym, że podmioty stanowiące zagrożenie fałszywie przedstawiają się jako zaufane strony, aby zdobyć zaufanie ofiary i ukraść jej pieniądze lub poufne informacje. Wbrew powszechnemu przekonaniu, ataki phishingowe nie ograniczają się do wiadomości e-mail. Na przykład ataki phishingowe wykorzystujące wiadomości tekstowe nazywane są smishinga ataki phishingowe wykorzystujące komunikację głosową nazywane są vishing.
E-maile phishingowe zwykle celują w wielu użytkowników Internetu i są łatwiejsze do wykrycia, ponieważ cyberprzestępcy projektują je dla masowego odbiorcy. W rzeczywistości codziennie wysyłają miliardy takich e-maili. Jednak ataki phishingowe mogą być bardziej ukierunkowane.
Czym jest atak spear-phishing?
Atak typu spear-phishing to bardziej ukierunkowany rodzaj ataku phishingowego, w którym aktorzy zagrożeń dostosowują wiadomości e-mail do ataku na określoną grupę osób, takich jak pracownicy działu finansowego. Mogą oni zbierać dane z oprogramowania szpiegującego lub źródeł w Internecie, takich jak strony mediów społecznościowych, aby gromadzić nazwiska, stanowiska, adresy e-mail i inne informacje w celu zaprojektowania przekonującego ataku typu spear-phishing. Podobna taktyka może pomóc hackers w przeprowadzaniu ataków typu whaling.
Dlaczego nazywa się to atakiem whaling?
Terminy phishing, spear-phishing i whaling są analogiczne do rybołówstwa. Podczas gdy rybacy zarzucają wędkę z przynętą do wody, licząc na złowienie jednej z wielu ryb w morzu, haker wysyła e-maile phishingowe do wielu osób, licząc na złapanie przynajmniej jednej ofiary. Podobnie jak niektórzy eksperci od rybołówstwa używają włóczni do polowania na pojedyncze ryby, cyberprzestępcy używają spear-phishingu dla konkretnych celów.
Jeśli chodzi o wieloryby, te ssaki są największe w morzu i stanowią cenny cel dla niektórych rybaków. Podobnie, ataki whaling w cyberbezpieczeństwie również celują w lukratywne ofiary, takie jak dyrektorzy w firmie.
Jak działa atak whaling?
Cele wysokiego szczebla są nieufne wobec ataków phishingowych, hackers stosują różne strategie, aby ich kampania była skuteczna. Na przykład, mogą pozyskać stronę LinkedIn członka zarządu, aby nadać swojej kampanii osobisty charakter. W rzeczywistości naruszenia bezpieczeństwa są powodem, dla którego być może w ogóle nie powinieneś korzystać z LinkedIn. Atakujący może również badać żargon branżowy, aby wyglądać na legalnego i wykorzystywać emocje celu, oferując lukratywne możliwości biznesowe. Po zakończeniu fazy zbierania danych wywiadowczych mogą wykorzystać następujące wektory ataku phishingowego:
- E-maile: Jak wspomniano powyżej, e-maile dostosowane do manipulowania celami są powszechnym wektorem ataku i wykorzystują złośliwe załączniki, linki lub strony internetowe.
- Telefon: Brytyjskie Narodowe Centrum Cyberbezpieczeństwa zauważyło, że atakujący mogą wykorzystywać wiadomości e-mail i połączenia telefoniczne w strategii 1-2 ciosów, w której połączenie telefoniczne następuje po wiadomości e-mail w celu wzmocnienia phishingu.
- Pretexting: Oszust może zaprzyjaźnić się z celem w mediach społecznościowych, udając potencjalnego partnera biznesowego, romans, kolegę z branży lub autorytet, jak urzędnik podatkowy.
- Nabieranie: Atakujący może skusić cel do użycia autentycznie wyglądającego, zainfekowanego pendrive'a, zostawiając go w biurze, szafce na siłowni lub wysyłając go pocztą do domu.
Jaki jest cel ataków whaling?
- Pieniądze: Atakujący mogą użyć ataku spear-phishing, aby oszukać ofiary i skłonić je do przelania pieniędzy lub wyłudzić środki od organizacji po eksfiltracji danych.
- Kontrola: Haker może użyć skradzionych danych uwierzytelniających do przemieszczania się poziomo w sieci organizacji lub otwierania tylnych drzwi.
- Atak na łańcuch dostaw: Atak w łańcuchu dostaw ma miejsce, gdy hackers atakują organizacje, naruszając wrażliwe elementy ich łańcucha dostaw. W przypadku phishingu wielorybów cyberprzestępca może teoretycznie zaatakować rząd, hakując jego dostawcę w celu przeprowadzenia ataku typu man-in-the-middle.
- Szpiegostwo korporacyjne: Z sukcesem przeprowadzony atak whaling może skutkować kradzieżą własności intelektualnej lub innych tajemnic handlowych, co pomaga konkurentom, czasem nawet w innym kraju.
- Złośliwe oprogramowanie: Gang cyberprzestępców może nakłonić ofiary ataku do zainstalowania niebezpiecznego złośliwego oprogramowania, takiego jak ransomware, keyloggery lub rootkity.
- Osobista wendeta: Ofiara ataku whaling może ponieść katastrofalne straty w zakresie swojej reputacji.
Jaki jest przykład whaling?
Na przestrzeni lat miało miejsce wiele ataków whaling, które niektóre organizacje medialne zwą również „przekrętami na e-maile od CEO”. Oto kilka przykładów:
2015: W hongkońskim oddziale firmy bezprzewodowej Ubiquiti Networks Inc. oszukano pracownika finansowego na 46,7 miliona dolarów po otrzymaniu fałszywego e-maila.
2015: Dyrektor finansowy z giganta produkującego zabawki Mattel przelał 3 miliony dolarów oszustowi po otrzymaniu fałszywej prośby, która wyglądała jak od nowego CEO.
2016: Austriacki producent lotniczy FACC zwolnił swojego CEO po utracie 58 milionów dolarów w wyniku oszustwa e-mailowego.
2016: Pracownik działu HR Snapchat ujawnił dane o wynagrodzeniach pracowników po oszustwie e-mailowym na CEO.
2017: Hakerzy wyłudzili 50,000 dolarów od właściciela małej firmy w ataku typu man-in-the-middle whaling.
2020: Cyberprzestępcy wykorzystali złośliwy link, aby oszukać współzałożyciela australijskiego funduszu hedgingowego, co zmusiło firmę do zamknięcia.
Jak zapobiegać atakom whaling?
Organizacja może zmniejszyć zagrożenie atakami whaling, ucząc się jak wykrywać próby phishingu ze strony hakerów, takich jak sprawdzanie adresu URL, adresu e-mail, linków i załączników w wiadomości e-mail pod kątem czerwonych flag. Podobnie, język, ton i gramatyka e-maila mogą być wskazówkami. Poza szkoleniem przeciw phishingowi, symulowane ataki whaling mogą także zwiększyć umiejętności wykrywania phishingu w zespole. Dla dodatkowej ochrony firmy powinny stosować oprogramowanie zabezpieczające, które blokuje wektory ataku whaling, takie jak strony internetowe oszustów.