Что такое фишинг?
Фишинг - это форма киберпреступности, когда преступники пытаются получить от вас конфиденциальную информацию по электронной почте с помощью мошеннических ссылок, предлагая вам заполнить форму с вашими персональными данными. Затем они могут использовать эту информацию, чтобы получить ваши учетные данные для входа в социальные сети, банковские счета и многое другое.
Как работает фишинг?
Фишинг может происходить через электронные письма, телефонные звонки или текстовые сообщения. Мошенники отправляют сообщения, которые кажутся реальными и срочными, прося человека принять меры. Например, электронное письмо может выглядеть так, будто оно отправлено надежным банком, просящим человека обновить информацию о своем аккаунте, чтобы избежать проблем. Поскольку сообщение кажется срочным и реальным, люди могут поделиться конфиденциальной информацией, такой как пароли и номера кредитных карт, которую затем мошенники могут использовать в своих целях.
Выдавая себя за законное лицо, злоумышленник заманивает жертв на поддельный сайт, где их убеждают ввести конфиденциальную информацию. Эта тщательно продуманная маска, а также чувство срочности, позволяют фишинговой атаке успешно собирать ценную личную информацию, оставляя ничего не подозревающую жертву уязвимой для кражи личных данных и финансовых потерь.
Отправитель: В фишинговой атаке отправитель имитирует (или 'спуфит') кого-то надежного, о ком получатель, вероятно, будет знать. В зависимости от типа фишинговой атаки, это может быть отдельное лицо, например, член семьи получателя, генеральный директор компании, в которой он работает, или даже кто-то знаменитый, кто якобы что-то раздает. Часто фишинговые сообщения мимикрируют под электронные письма от крупных компаний, таких как PayPal, Amazon или Microsoft, а также банков или государственных учреждений.
Сообщение: Под видом кого-то заслуживающего доверия, злоумышленник попросит получателя кликнуть на ссылку, скачать вложение или отправить деньги. Когда жертва открывает сообщение, она находит пугающее предупреждение, призванное преодолеть здравый смысл, заполнив её страхом. Сообщение может требовать, чтобы жертва перешла на сайт и предприняла немедленные действия, иначе ей грозят последствия.
Место назначения: Если пользователи клюнут на приманку и нажмут на ссылку, они попадут на имитацию законного веб-сайта. Здесь их просят войти в систему, введя имя пользователя и пароль. Если они достаточно доверчивы, чтобы согласиться, учетные данные попадают к злоумышленнику, который использует их для кражи личных данных, ограбления банковских счетов и продажи личной информации на черном рынке. URL-адрес назначения в фишинговом письме часто выглядит очень похоже на законный URL-адрес, что может еще больше обмануть жертву.
Как распознать фишинг?
Фишинговые попытки — это мошеннические действия, при которых злоумышленники используют электронные письма или текстовые сообщения, стремясь обмануть людей на раскрытие конфиденциальной информации, такой как пароли, номера банковских счетов или номера социального страхования. Распознавание фишинга может быть достигнуто путем внимательности к определенным признакам.
Обычно фишинговые сообщения могут казаться исходящими от надежных источников, таких как банки, компании, выпускающие кредитные карты, или знакомые онлайн-платформы. Они часто создают чувство срочности, намекая на подозрительную деятельность или проблемы с вашим аккаунтом, побуждая вас действовать без промедления.
Некоторые общие признаки фишинга включают неожиданные сообщения, запрашивающие личную или финансовую информацию, незнакомые адреса электронной почты отправителей, универсальные приветствия, орфографические и грамматические ошибки и обманчивые URL-адреса. Проявляя осторожность и проверяя любые подозрительные сообщения напрямую у вовлеченных организаций перед ответом, люди могут лучше защитить себя от фишинговых попыток. Сейчас мы хотим более подробно рассмотреть признаки фишинга и помочь вам их обнаружить.
Признаки фишинга
Обнаружение фишинговых попыток может стать вызовом, но с помощью бдительности, базовых рекомендаций и дозы здравого смысла вы можете значительно снизить риски. Обратите внимание на несоответствия или странности в электронном письме. Используйте 'тест запаха', чтобы определить, если что-то кажется неправильным для вас. Доверяйте своим инстинктам, но избегайте страха, так как фишинговые аферы часто используют страх, чтобы притуплять ваше суждение.
Вот дополнительные признаки фишинговых попыток:
Признак 1: Электронное письмо предлагает предложение, которое кажется слишком хорошим, чтобы быть правдой.
Оно может утверждать, что вы сорвали джекпот, выиграли роскошный приз или другие невероятные награды.
Признак 2: Отправитель узнаваем, но это не тот, с кем вы обычно взаимодействуете.
Даже если имя отправителя вам знакомо, проявляйте осторожность, если это не тот, с кем вы регулярно общаетесь, особенно если содержание письма не относится к вашим обычным рабочим задачам. Точно так же будьте осторожны, если вы в списке адресатов вместе с незнакомыми людьми или коллегами из несвязанных отделов.
Признак 3: Сообщение вызывает страх.
Будьте осторожны, если электронное письмо использует заряженный или тревожный язык, чтобы вызвать чувство срочности, побуждая вас кликнуть и «действовать немедленно», чтобы предотвратить закрытие аккаунта. Помните, что легитимные организации не будут запрашивать личную информацию по электронной почте.
Признак 4: Сообщение содержит неожиданные или странные вложения.
Эти вложения могут содержать вредоносное ПО, программы-вымогатели или другие онлайн-угрозы.
Признак 5: Сообщение содержит ссылки, которые кажутся сомнительными.
Даже если предыдущие индикаторы не вызывают подозрений, никогда не доверяйте встроенным гиперссылкам вслепую. Наведите курсор на ссылку, чтобы увидеть фактический URL. Обратите особое внимание на незначительные опечатки в знакомом URL-адресе сайта, так как это тревожный сигнал обман. Всегда безопаснее вручную ввести URL в браузер, чем кликать по встроенной ссылке.
Кто становится целью фишинга?
Фишинг — это угроза для всех, нацеленная на различных людей и отрасли, от корпоративных руководителей до обычных пользователей социальных сетей и клиентов онлайн-банкинга. Широкий масштаб фишинга делает важным быть осторожными в Интернете и принимать превентивные меры. Бдительность и проактивность могут значительно снизить риск стать жертвой фишинговых афер, обеспечивая более безопасное онлайн-опыт для всех.
Как защитить себя от фишинговых атак
Как уже было сказано, фишинг — это угроза с равными возможностями, которая может появиться на настольных компьютерах, ноутбуках, планшетах и смартфонах. Большинство интернет-браузеров имеют способы проверки безопасности ссылок, но первой линией защиты от фишинга является ваше суждение. Научитесь распознавать признаки фишинга и старайтесь практиковать безопасные компьютерные практики, всякий раз, когда вы проверяете свою электронную почту, читаете посты в Facebook или играете в свою любимую онлайн-игру.
Лаборатории Malwarebytes поделились некоторыми ключевыми практиками для защиты от фишинговых атак:
- Не открывайте е-мейлы от незнакомых вам отправителей.
- Никогда не кликайте на ссылку внутри письма, если вы точно не знаете, куда она ведет.
- Если вас просят предоставить конфиденциальную информацию, проверьте, начинается ли URL страницы с 'HTTPS' вместо просто 'HTTP'. 'S' означает 'защищенный'. Это не гарантия, что сайт является легитимным, но большинство легитимных сайтов используют HTTPS, потому что это более безопасно. Сайты HTTP, даже легитимные, уязвимы для хакеров.
- Включите многофакторную аутентификацию (MFA): Используйте MFA, где это возможно, чтобы добавить дополнительный уровень безопасности. Даже если пфишеры получат ваш пароль, им придется пройти дополнительные шаги проверки, чтобы получить доступ к вашей учетной записи.
- Обратите внимание на цифровой сертификат веб-сайта.
- Чтобы усилить защиту, если вы получаете письмо от источника, в котором не уверены, перейдите по указанной ссылке вручную, введя легитимный адрес сайта в свой браузер.
- Наведите указатель мыши на ссылку, чтобы увидеть, является ли она легитимной.
- Если вы подозреваете, что письмо не является легитимным, возьмите имя или текст из сообщения и введите его в поисковую систему, чтобы узнать, существуют ли известные фишинговые атаки с использованием тех же методов.
Мы настоятельно рекомендуем использовать надежные антивирусные/антивредоносные решения, такие как Malwarebytes Premium, чтобы повысить вашу цифровую безопасность. Большинство современных средств кибербезопасности, оснащенных умными алгоритмами, могут выявлять вредоносные ссылки или вложения, предоставляя надежную защиту даже от хитрых фишинговых атак.
Если фишинговая тактика ускользнула от вашего внимания, наша надежная защита сохранит вашу информацию под вашим контролем. Мы предлагаем бесплатную пробную версию Malwarebytes, позволяя вам испытать его превосходную защиту перед покупкой.
Различные типы фишинговых атак
Фишинговые атаки используют обманные методы для незаконного сбора конфиденциальной информации и проявляются в различных формах, каждая из которых имеет свои особенности. Ниже приведены конкретные методы, которые фишинг-атаки применяют, чтобы обмануть свои цели:
Копьевой фишинг
Целевой фишинг — это направленный вид фишинга, где злоумышленники адаптируют сообщения для конкретных лиц или организаций, используя собранные данные для повышения достоверности обмана. Для этого требуется предварительное исследование, чтобы узнать имена, должности, адреса электронной почты и подобную информацию.
Хакеры просматривают Интернет, чтобы сопоставить эту информацию с другими данными о коллегах цели и имена ключевых сотрудников их организаций. На основе этого фишер создает правдоподобное электронное письмо.
Пример: Мошенники могут изображать себя руководителями, чтобы обманным путем заставить сотрудников одобрить мошеннические платежи.
Фишинг китов
Фишинг китов нацелен на высокопоставленных лиц, таких как руководители, знаменитости или топ-менеджеры. Мошенники пытаются обмануть их, чтобы те раскрыли личные или профессиональные данные.
Понимание и выявление разнообразных форм фишинговых атак жизненно важно для внедрения эффективных защитных мер, которые обеспечат безопасность и целостность личных и корпоративных активов.
Фишинг электронной почты
Фишинговые письма, распространенные с самого начала электронной почты, содержат обманные письма, которые выглядят так, будто они отправлены от надежных источников (например, банков, интернет-ритейлеров), побуждая получателей нажимать на ссылки или скачивать вложения.
Примеры:
- Атака с использованием компрометации деловой переписки (BEC): Атака компрометации деловой переписки (BEC) ориентирована на кого-то из финансового отдела организации, часто CFO, и старается обмануть его на отправку крупных сумм денег. Злоумышленники часто используют тактику социальной инженерии, чтобы убедить получателя, что отправка денег является срочной и необходимой.
- Клоновый фишинг: При этой атаке преступники создают копию — или клон — ранее доставленных, но легитимных писем, которые содержат либо ссылку, либо вложение. Затем фишер заменяет ссылки или прикрепленные файлы на вредоносные подделки, замаскированные под оригинал. Невидящие пользователи либо кликают на ссылку, либо открывают вложение, позволяя злоумышленникам захватить их системы. После этого фишер может подделать личность жертвы, маскируясь под надежного отправителя для других жертв в той же организации.
- 419/Nigerian мошенничество: Обширное фишинговое письмо от кого-то, заявляющего себя принцем из Нигерии, является одной из самых ранних и длительных мошеннических схем в Интернете. Этот «принц» предлагает вам деньги, но говорит, что вам нужно сначала отправить ему небольшую сумму, чтобы их получить, или же заявляет, что он в беде и нуждается в финансовой помощи для ее решения. Номер «419» связан с этой схемой и отсылает к статье Уголовного кодекса Нигерии, касающейся мошенничества, и наказания для преступников.
Вишинг (голосовой фишинг)
Злоумышленники выдают себя за официальных лиц (например, банковских служащих или представителей правоохранительных органов) по телефону, чтобы спровоцировать людей раскрыть конфиденциальную информацию или перевести деньги.
Smishing (SMS-фишинг)
Подобно вишингу, «смс-фишинг» отправляет мошеннические сообщения с призывом к получателям перейти по вредоносным ссылкам или предоставить личные данные.
Catphishing
Обманная тактика, при которой злоумышленники создают фальшивые онлайн личности, чтобы заманить людей в романтические отношения для получения денежных выгод или доступа к личной информации.
Примеры фишинговых атак
Пример фишинговой попытки, где мошенник делает вид, что это уведомление от PayPal, прося получателя нажать кнопку «Подтвердить сейчас». Если навести указатель мыши на кнопку, в красном прямоугольнике отобразится истинное место назначения URL.
Вот еще одно изображение фишинговой атаки, на этот раз заявляющее, что она от Amazon. Обратите внимание на угрозу закрыть аккаунт, если ответ не поступит в течение 48 часов.
Нажав на ссылку, вы попадаете на эту форму, которая приглашает вас предоставить информацию, необходимую фишеру для ограбления ваших ценностей:
Почему фишинг является эффективным?
Фишинг особенно эффективен благодаря эксплуатации человеческой психологии, а не за счет использования сложных технических приемов. Часто фишинговые атаки маскируются под срочные сообщения от влиятельных фигур, обманывая людей, играя на их доверии и страхе.
Адам Куджава из Malwarebytes Labs подытожил: «Фишинг выделяется как самый простой, но в то же время самый мощный кибератака, ориентированная в первую очередь на самый уязвимый, но самый сильный элемент: человеческий разум». Отсутствие технической сложности и способность вызывать немедленную реакцию подчеркивают, почему фишинг остается широко распространенной и серьезной угрозой в Интернете.
«Фишинг — это самый простой вид кибератак, и в то же время самый опасный и эффективный.»
Фишеры не пытаются использовать техническую уязвимость в операционной системе вашего устройства — они используют социальную инженерию. От Windows и iPhone до Mac и Android, ни одна операционная система не может быть полностью защищена от фишинга, насколько бы сильной ни была ее защита. В действительности злоумышленники часто прибегают к фишингу, потому что не могут найти технические уязвимости.
Зачем тратить время на взлом уровней безопасности, когда можно обмануть кого-то, чтобы он сам передал вам ключи? Часто самым слабым звеном в системе безопасности является не уязвимость в компьютерном коде, а человек, который не проверяет, откуда пришло письмо.
Теперь, когда мы рассмотрели, что такое фишинг и как он работает, давайте посмотрим, с чего все началось, вернувшись к 1970-м годам с взломом телефонной системы, также известным как «фрикинг».
История фишинга
Термин «фишинг» сравнивает мошеннические попытки с рыбалкой, где наживка используется для заманивания жертв. Считается, что он возник из культуры «фрикинга» 70-х годов, занимавшейся взломом телефонных систем. До того как термин «фиши
нг» был придуман, аналогичная техника была представлена на технической конференции в 1987 году. Первое известное использование термина датируется 1996 годом и связано с хакером Каном С Смитом, в одной из схем, направленных на пользователей America Online (AOL), воспользовавшись популярностью AOL для имитации сотрудников, чтобы собрать информацию о пользователях.
Вступая в 2000-е, фишеры переориентировались на системы онлайн-оплаты, банковские и социальные медиа-платформы. Они создавали убедительные фальшивые домены, особенно подделывая eBay и PayPal, обманывая пользователей, чтобы те делились конфиденциальной информацией. Первая фишинговая атака, нацеленная на банк, была зарегистрирована в 2003 году. К середине 2000-х фишинг стал серьезной киберугрозой с организованными и сложными кампаниями, наносящими значительные финансовые потери.
Ущерб увеличивался с годами, включая заметные инциденты, такие как кампания, поддержанная государством, в 2011 году, крупная утечка данных в Target в 2013 году и высокопрофильные политические фишинговые атаки в 2016 году. Тенденция продолжалась в 2017 году, когда мошенники похитили более 100 миллионов долларов у таких технологических гигантов, как Google и Facebook.