Фішинг - вид поширеного інтернет-шахрайства, основне завдання якого - хитрістю отримати доступ до критично важливих даних. Даний спосіб робить акцент не на пошуку вразливостей в програмному забезпеченні, а на особливостях людської поведінки. Найчастіше використовується метод перенаправлення користувача на підроблений ресурс, детально імітує оригінал.
В середньому за рік, незважаючи на всі зусилля з протидії шахрайству, з'являється від 5 тисяч фішингових сайтів, кожен з яких може принести величезну кількість проблем користувачам, випадково на нього потрапили. Тому другий важливий аспект протидії даному виду шахрайства в мережі - просвітництво людей, щоб вони розуміли, що потрібно робити, щоб не опинитися жертвами шахраїв. А для цього потрібно як мінімум знати основні методики, які вони використовують. Отже.
Фішинг підміни
Класична методика, слабо змінилася з часів своєї першої появи. Зловмисники все так же розсилають електронні листи з посиланнями, які ведуть на фішингові сайти, прикидаючись представниками банків, податкових служб, інтернет-магазинів і інших ресурсів, на яких доводиться вводити особисті дані.
Кожен лист детально копіює оригінальний повідомлення, яке могли б насправді надіслати представники оригінальних ресурсів або сторінок. За невеликим винятком - додається посилання ведуть не на офіційний сайт, а на підробку, що копіює його з максимальною точністю.
Для мотивування користувача здійснити перехід по посиланню, використовується два методи - позитивний (можливість отримати щось хороше і корисне) і негативний (можливість уникнути чогось поганого чи небезпечного). Найчастіше, використовуються такі прийоми:
«Ваш обліковий запис була / буде заблокована». Необхідно пройти по посиланню і підтвердити особистість, щоб цього уникнути. Загроза втратити доступ до важливої інформації мотивує користувачів діяти швидко, не розбираючись, куди саме посилання веде.
«З вашого облікового запису кимось виявилися пов'язані підозрілі дії. Потрібно оновити установки безпеки ». Потрібно вести старий логін і пароль, щоб їх потім поміняти на «нові і нескомпрометованих».
«Ви отримали важливе повідомлення. Пройдіть в особистий кабінет, щоб ознайомитися з ним ». Користувачі вірять цьому прийому, оскільки офіційні фінансові організації справді не пересилають інформацію безпосередньо на імейл, а передають її в пошту «особистого кабінету». Посилання, ясна річ, веде на підроблений сайт.
«У вас спостерігається податкова заборгованість за минулий місяць, Пройдіть по посиланню, щоб усунути проблему». Дуже актуально в період подання податкових декларацій. Приводом пройти по посиланню можуть бути і інші моменти - прохання вислати відсутні документи або звіти, підтвердити право на часткове повернення податків і т.д.
Цілеспрямований фішинг
Фішинг підміни здійснюється масовими розсилками на електронні адреси, отримані шляхом злому або покупки діючих баз даних. Тобто атака йде масовано, але однаково в усіх ситуаціях. Сучасні користувачі вже знають на своєму гіркому досвіді, чим загрожує перехід за підозрілими посиланнями, тому в більшості своїй - не ведеться на цей прийом. Тому був придуманий більш таргетований метод.
Якщо в листі згадуються якісь особисті дані користувача - ім'я, посада, професія, відсилання до минулих місць роботи або контактам, то таке повідомлення викликає куди більше довіри. Причому цю інформацію користувачі зловмисникам надають самостійно - викладаючи її на спеціалізованих платформах і тематичних ресурсах. Наприклад - сервісі LinkedIn, де резюме потенційних співробітників і роботодавців знаходяться у вільному доступі.
Фішинг проти топ-менеджменту
Різновид цілеспрямованої атаки, метою якої є керівництво середньої та вищої ланки. Це вкрай вигідно шахраям тому, що саме у керівництва є право доступу до всієї конфіденційної інформації, а не тільки до її частини.
Отримавши доступ до акаунтів начальства, шахраї з їх допомогою організовують, наприклад, великі грошові перекази, нібито - узгоджений з керівництвом. Або іншим чином порушують роботу системи.
Саме тому вкрай важливо, щоб всі представники топ-менеджменту проходили програми з навчання основам інтернет-безпеки. Так як вдала фішингова атака проти них може завдати величезної шкоди всій організації.
Фішинг для доступу до хмарним сховищ
Далеко не вся конфіденційна інформація зберігається на захищених серверах або всередині корпоративних мереж. Багато хто не надто великі організації використовують для цієї справи хмарні сховища Google і Dropbox. Там зберігаються як службові документи, так і резервні копії локальних комп'ютерів.
Метод досягнення мети, втім, не змінюється - використовуються фішингові сайти, що імітують вхід на своєму обліковому записі Google або інший аналогічний сервіс. А веде на цей сайт посилання, вкладена в електронний лист.
Фішинг з прикріпленими файлами
Пройшовши за фішинговою посиланням, користувач позбавляється тільки частини своєї конфіденційної інформації. Але запустивши на своїй машині прикріплений до листа файл, він може постраждати значно сильніше. Програми-шпигуни, що фіксують введену з клавіатури інформацію, файли-трояни, віруси-шифрувальники - все це може ховатися під начебто невинною посиланням у вкладенні до листа. Так, сучасні антивірусні програми багато з цього блокують, але шахраї, на жаль, практично завжди на крок випереджають фахівців з інформаційної безпеки.
Фармінг
«Багаторівневий фішинг», з використанням не тільки соціальної інженерії, а й програмних методик. Сенс в чому. На першому рівні, користувач, пройшовши по шкідливої посиланням, заражає сою машину трояном з вкрай специфічним завданням - підміняти кеш DNS в момент входу на офіційний і цілком легальний сайт. Тобто користувач думає, що проходить по правильної посиланням, але автоматика пересилає його на фішингових сайтів. Даний вид шахрайство неймовірно ефективний і складний у виявленні, оскільки програми-трояни практично не відслідковуються в «сплячому» стані.
Захист від фішингу
Завжди перевіряйте URL-адресу на наявність помилок у написанні. Різниця в одну букву відокремлює офіційний ресурс від підробки.
Використовуйте лише безпечні https-з'єднання. S - означає наявність додаткової надбудови шифрування, що гарантує безпеку. Підроблені сайти, як правило, її не використовують.
Будь-які посилання в листах є підозрілими, навіть якщо приходять зі знайомих адрес. Вони завжди можуть бути зламані.
Якщо повідомлення надійшло від приватного і добре знайомого вам особи, то спочатку варто з ним зв'язатися і уточнити, чи не пересилав він вам якусь посилання. І так, робити це потрібно не через використовувану електронну пошту.
Вводити адреси, на які просять перейти підозрілих листах, потрібно або вручну, або через закладку в браузері. Однак це не допоможе від фармінга, так що не забувайте перевіряти сайт, на який ви зайшли, на предмет достовірності.
Не використовуйте відкритий Wi-Fi і не залишайте свою мережу відкритою.
Завжди і всюди, де це можливо, підключайте двухфакторну автентифікацію.
Висновки
Незважаючи на гадану простоту, фішинг є одним з найефективніших видів шахрайства в мережі інтернет. Оскільки орієнтується на найслабша ланка в ланцюжку мережевої безпеки - користувача. Втім, в більшості ситуацій, базові знання щодо захисту конфіденційної інформації і деяка параноя допоможуть вам захиститися від подібних атак. Як мінімум, варто завести кілька корисних звичок - регулярно оновлювати антивірус, нікому і ніколи не передавати свої паролі, водити адреси сайтів вручну, або за допомогою закладок в браузерах. І завжди перевіряти посилання і файли, додані до електронних листів.