Je opent je inbox. De onderwerpregel is dringend. Het beweert van uw bank te zijn. Ze zeggen dat je account is vergrendeld. Als u niet op de link klikt en nu niet inlogt, verliest u alles.
Je hart maakt een sprongetje. Die paniek? Dat is de haak.
Dit is phishing, een digitale oplichterij die is ontworpen om uw leven te stelen. Het gaat niet alleen om het verliezen van een paar honderd dollar. Het gaat over identiteitsdiefstal. Het gaat erom dat vreemden uw rekeningen leegmaken, aankopen doen in uw naam of zelfs uw computer gebruiken voor het witwassen van geld zonder dat u het weet.
De meeste mensen beschouwen phishing als een vervelende e-mail die zich voordoet als Amazon of een creditcardmaatschappij. En zeker, dat is het meest voorkomende gezicht van het beest. Maar de e-mail is slechts een lokmiddel. De val is veel dieper.
De anatomie van een digitale con
Phishing is geen magie. Het is een proces. Een koude, berekende cyclus die zich heeft ontwikkeld sinds het woord voor het eerst verscheen in 1996. De term zelf is een woordspeling op ‘vissen’, wat impliceert dat criminelen netten uitwerpen om te zien welke informatie ze kunnen vangen.
Hier ziet u hoe de machine feitelijk werkt.
Planning. De aanvallers beslissen op wie ze zich richten. Ze raden niet alleen. Ze gebruiken dezelfde technieken voor het verzamelen van gegevens als spammers. Ze schrapen adressen. Ze kopen lijsten. Ze identificeren het klantenbestand van een specifieke bank of retailer.
Opstelling. Zodra de doelen zijn gekozen, gaat de infrastructuur omhoog. Ze creëren een vervalst e-mailadres dat er legitiem uitziet. Ze bouwen een nepwebsite. Deze site weerspiegelt de echte site zo perfect dat zelfs een geoefend oog zou kunnen aarzelen.
De aanval. Het bericht belandt in je inbox. Er wordt gebruik gemaakt van psychologische druk. Het creëert urgentie. Er dreigt onmiddellijk verlies. Het vereist onmiddellijke actie.
Verzameling. U klikt. U typt uw wachtwoord. U vult uw burgerservicenummer in. De gegevens stromen naar de database van de aanvaller.
De nasleep. Dit is waar de echte schade plaatsvindt. De dieven gebruiken uw inloggegevens om illegale aankopen te doen. Ze plegen fraude. En hier is het beangstigende deel: uit onderzoek blijkt dat tot 25% van de slachtoffers nooit volledig herstelt van de financiële en emotionele gevolgen.
Waarom uw beveiligingssoftware u niet kan redden
We vertrouwen op firewalls en antivirussoftware om ons veilig te houden. Maar phishing hackt niet alleen uw computer. Het hackt jij.
Het maakt misbruik van zwakke punten in zowel de clientsoftware als de serverbeveiliging. Maar in de kern is het een ouderwetse drukte. Het berust op vertrouwen. Het gaat ervan uit dat een e-mail van “[email protected]” daadwerkelijk van uw bank afkomstig is.
De criminelen weten dat de meeste mensen gehaast zijn. Ze weten dat je moe bent. Ze weten dat u op de link klikt omdat de dreiging reëel aanvoelt.
De rode vlaggen spotten
Dus, hoe bescherm je jezelf? Je moet sceptisch zijn.
Wees op uw hoede met algemene begroetingen. “Beste klant” is een dode weggeefactie. Echte banken kennen meestal uw naam.
Pas op voor bedreigingen. Legitieme instellingen zullen u vertellen dat er een probleem is. Ze zullen u vragen om in te loggen op een beveiligd portaal om het probleem op te lossen. Ze zullen geen onmiddellijke actie via e-mail eisen.
Als u in een e-mail wordt gevraagd uw wachtwoord te verifiëren, verwijdert u deze. Verstrek nooit persoonlijke gegevens via een link in een e-mail.
Rapporteer het. Als u een poging vermoedt, meld dit dan bij de bevoegde autoriteiten. De fraudeafdeling van uw bank is meestal een goed begin.
De cyclus gaat door
Phishers zijn niet statisch. Na een aanval evalueren ze wat werkte. Ze passen hun berichten aan. Ze verfijnen hun nepwebsites. Ze beginnen de cyclus opnieuw.
Het eerste gedocumenteerde gebruik van ‘phishing’ was bijna dertig jaar geleden. De tactiek is veranderd, maar het doel blijft hetzelfde: vissen naar jouw informatie.
Controleer jij nog steeds je e-mail met datzelfde gevoel van urgentie?
Je zou je bankgegevens niet aan een vreemde geven. De meeste mensen weten beter. Toch vragen phishers er niet naar. Ze stelen. Om die referenties te krijgen, moeten ze de menselijke psychologie omzeilen. Dit is sociale engineering. Het gaat niet om het hacken van code. Het gaat over het hacken van vertrouwen.
Oplichters kopiëren bekende merken. Ze kopiëren legitieme e-mails exact. Vervolgens wisselen ze de links uit. Het slachtoffer klikt op een knop die er officieel uitziet. Het leidt naar een frauduleuze pagina. Het e-mailadres in het veld ‘Van:’ is vervalst. Het ziet er echt uit. Het antwoordadres is vals. De links zijn onduidelijk. Ze verbergen de ware bestemming. Maar het kopiëren van de look is slechts het halve werk.
De echte truc is urgentie. Phishingberichten vereisen onmiddellijke actie. Ze willen dat je reageert voordat je nadenkt.
“Handel nu, anders verlies je alles.”
Dat is de boodschap. Sommige bedreigingen beloven accountannulering. Anderen beweren dat je een aankoop hebt gedaan die je niet hebt gedaan. Je raakt in paniek. U wilt geen geld verliezen voor een transactie die u nooit heeft voltooid. Dus je klikt. Je volgt de link. Je geeft precies de informatie op waarvan je bang was dat ze die hadden.
Vertrouwen in automatisering speelt hierbij een grote rol. Mensen geloven dat computers objectief zijn. Ze denken dat algoritmen geen fouten maken. Phishers maken misbruik van deze blinde vlek.
Berichten beweren vaak dat er bij een “geautomatiseerde audit” afwijkingen zijn gevonden. Ze zeggen dat een geautomatiseerd proces verdachte activiteit heeft gedetecteerd. Het slachtoffer denkt dat iemand zijn account hackt. Ze geloven niet dat het systeem een fout heeft gemaakt. Het is gemakkelijker om je een dief voor te stellen dan een glitch.
Phishing is niet alleen meer e-mail. Oplichters werpen een breder net uit.
- Instantberichten
- Mobiele telefoonteksten (SMS)
- Chatrooms
- Valse banneradvertenties
- Prikborden en mailinglijsten
- Valse vacaturesites
- Valse browserwerkbalken
Het medium verandert. Het doel blijft hetzelfde.
Waarom complexe software phishing eenvoudiger maakt
Er bestaat een directe correlatie tussen de complexiteit van software en beveiligingsproblemen. Hoe meer functies een webbrowser of e-mailclient heeft, hoe meer kansen aanvallers hebben om door de kieren te glippen. Naarmate beveiligingsfilters verbeteren, evolueren phishing-tactieken om deze te omzeilen. Het is een wapenwedloop, en de tools waar gebruikers dagelijks op vertrouwen, bieden vaak mazen in de wet.
De meest voorkomende methode blijft adresspoofing. Bij de meeste e-mailclients kunnen gebruikers typen wat ze willen in de velden ‘Van’ en ‘Beantwoorden aan’. Dit gemak is handig voor mensen die meerdere identiteiten beheren, maar het is een goudmijn voor fraudeurs. Ze kunnen berichten opstellen die afkomstig lijken te zijn van vertrouwde bronnen. Sommige e-mailservers vergroten dit risico door verbindingen met de Simple Mail Transfer Protocol (SMTP)-poort zonder authenticatie toe te staan. Hierdoor kunnen aanvallers persoonlijke wachtwoorden volledig omzeilen, waardoor de server wordt geïnstrueerd om rechtstreeks kwaadaardige berichten te verzenden.
Naast valse afzenders gebruiken aanvallers verschillende technische trucs om gebruikers te misleiden en detectie te omzeilen.
Misleidende links en verborgen code
Verduisterde URL’s zijn een primaire vector. Deze links zien er legitiem uit, maar leiden gebruikers door naar kwaadaardige sites. Aanvallers gebruiken verschillende technieken om dit te bereiken:
- Typosquatting en IDN’s: Ze kunnen de URL van een bedrijf verkeerd spellen of internationale domeinnaamregistraties (IDN) gebruiken. Hierdoor kunnen ze tekens uit andere alfabetten gebruiken die identiek lijken aan Latijnse tekens, wat een lust voor het oog is.
- Hexadecimale formaten: URL’s kunnen in hexadecimaal worden gecodeerd om standaardscanners te verwarren.
- Omleidingsinstructies: Legitiem ogende URL’s kunnen verborgen instructies bevatten die verkeer naar een andere plek omleiden.
- Misleidende HTML: De weergegeven tekst kan geheel afwijken van de daadwerkelijke bestemming. Het kan bijvoorbeeld lijken alsof een link verwijst naar een gids over ‘zombiemachines’ op een gerenommeerde site, maar de onderliggende HTML leidt de browser naar een volledig niet-gerelateerd, kwaadaardig artikel.
Visuele en structurele misleiding
Aanvallers manipuleren ook wat u op uw scherm ziet. Door te detecteren welke browser en e-mailclient u gebruikt, kan een phisher valse afbeeldingen over elkaar heen leggen. Ze kunnen afbeeldingen van adresbalken en beveiligingshangsloten over de daadwerkelijke statusbalk plaatsen. Dit creëert een vals gevoel van veiligheid.
Pop-upvensters en frames zijn een andere veel voorkomende tactiek. Schadelijke code kan in onzichtbare frames rond een site worden uitgevoerd, of pop-ups kunnen de legitieme inhoud volledig bedekken. Zelfs e-mails in platte tekst kunnen misleidend zijn. Velen bevatten verborgen HTML-opmaak met onzichtbare woorden die zijn ontworpen om antispamfilters te omzeilen.
Het risico van pharming
DNS-cachevergiftiging, vaak pharming genoemd, is bijzonder gevaarlijk. Bij deze aanval wijzigt een aanvaller de DNS-serverinformatie. Dit kan gebeuren via social engineering, zoals het misleiden van klantenservicemedewerkers om wijzigingen aan te brengen.
Zodra de DNS-records zijn gewijzigd, wordt iedereen die de website van het vervalste bedrijf probeert te bezoeken, doorgestuurd naar een andere site. Dit heeft gevolgen voor iedereen in het netwerk, niet alleen voor individuele gebruikers. Het is moeilijk te detecteren omdat de browser van de gebruiker een legitiem ogend adres weergeeft, maar de inhoud volledig is aangetast.
Het landschap van social engineering is veranderd. U hebt niet langer een flitsende, nep-URL nodig om gegevens te stelen. De gevaarlijkste aanvallen vinden nu plaats in legitieme browsers.
Overweeg de proxycomputer. Dit apparaat bevindt zich tussen u en de doelwebsite. Het registreert elke transactie die u uitvoert. De site ziet er echt uit. De adresbalk toont het juiste domein. Maar het verkeer wordt gespiegeld.
Phishers die deze methoden gebruiken, hoeven hun links niet te verbergen omdat het slachtoffer zich op een legitieme website bevindt wanneer de diefstal van hun informatie plaatsvindt.
Dit is de val. U vertrouwt de URL. U typt uw wachtwoord. De proxy steelt het.
Malware: de verborgen medeplichtige
Phishing gaat niet alleen over e-mails. Het gaat erom wat er op uw machine draait. Aanvallers zetten kwaadaardige programma’s in om het zware werk te doen.
- Keyloggers leggen elke toetsaanslag vast. Uw wachtwoord? Weg.
- Trojaanse paarden met schermopname maken momentopnamen van uw activiteit. Ze rapporteren het terug aan de aanvaller.
- Trojaanse paarden met externe toegang (RAT’s) veranderen uw pc in een zombie. Uw computer wordt een knooppunt in een botnet. Het verzendt phishing-e-mails of host valse pagina’s.
- Bots chatten met je. Ze bootsen menselijk gedrag na op forums. Zij coördineren de zombienetwerken.
- Spyware houdt uw surfgedrag bij. Het leert je patronen. Het helpt aanvallers bij het plannen van de volgende aanval.
Uw machine is gecompromitteerd. De phisher hoeft u niet te misleiden zodat u op een link klikt. Ze hoeven alleen maar dat u een pagina bezoekt.
Zie jij het verschil?
Hoe goed weet jij eigenlijk waar je naar kijkt?
MailFrontier biedt een phishing-IQ-test. Er wordt gecontroleerd of u vervalsingen kunt herkennen. Next Generation Security Software publiceert een handleiding over andere technieken. Antiphishing.org breekt één aanval stap voor stap af.
Er is veel om bij te houden.
Antiphishing
Waarom basisbeveiliging de meeste oplichting tegenhoudt
Je kent de oefening al. Firewall ingeschakeld. Antivirus actief. Dit zijn niet alleen modewoorden; zij vormen uw eerste verdedigingslinie tegen phishing. Maar als je echte veiligheid wilt, moet je dichterbij kijken. Controleer op elke site het SSL-certificaat voordat u inlogt. Controleer uw bankafschriften regel voor regel.
Phishers zijn slordig. Ze laten vingerafdrukken achter in hun e-mails en websites. Wanneer u uw inbox opent, let dan op de rode vlaggen.
Algemene groeten zijn een dode weggeefactie. “Beste klant” schreeuwt oplichterij. Legitieme banken nemen meestal de tijd om uw echte naam in te typen. (Opmerking: Spear phishing is de uitzondering. Deze aanvallers doen hun huiswerk en gebruiken uw naam, dus wees niet op uw hoede omdat dit persoonlijk aanvoelt.)
Pas op voor bedreigingen. Als er in een e-mail staat: ‘Reageer binnen vijf dagen, anders annuleren we uw account’, verwijder deze dan. Echte bedrijven willen jouw bedrijf. Ze raken niet in paniek na een paar dagen stilte.
Geen enkel legitiem bedrijf vraagt via e-mail om wachtwoorden of SSN’s. Dit was al zo voordat phishing bestond. Het is nu nog steeds waar.
Links zijn waar de valstrik is gezet. Lange URL’s? Vreemde tekens zoals het @-symbool in het midden? Typefouten? Klik niet. Typ het adres handmatig. Het duurt twee seconden langer. Het zorgt ervoor dat je niet alles kwijtraakt.
Spelfouten zijn de oudste truc in het boek. Slechte grammatica ziet er niet professioneel uit en mag niet worden vertrouwd in een financiële boodschap.
Hoe overheden en ISP’s terugvechten
De oorlog is niet alleen tegen jou. Bedrijven en overheden duwen terug. De Amerikaanse overheid heeft banken eind 2006 verplicht tweefactorauthenticatie te gebruiken. Dat betekent meer dan alleen een wachtwoord. U heeft een fysiek token of een biometrische scan nodig. Het is voor de meeste criminelen een kleine hindernis die de aanvalsketen doorbreekt.
Internetproviders en softwareontwikkelaars bieden werkbalkbeveiliging. Deze tools verifiëren beveiligingscertificaten onmiddellijk. Ze vertellen u waar een site is geregistreerd. Ze analyseren links voordat u erop klikt. Sommige bieden zelfs visuele aanwijzingen (een groene balk of een specifiek logo) die bevestigen dat u zich op de echte site bevindt.
Gebruik ze.
Wat te doen als je verbrand bent
Als u denkt dat een e-mail nep is, reageer dan niet. Klik niet. Geef niets weg.
Meld dit aan het bedrijf waarvan de identiteit wordt nagebootst. Gebruik hun officiële website of bel ze rechtstreeks. Gebruik niet de contactgegevens in de verdachte e-mail. U kunt de poging ook melden bij het Landelijk Fraude Informatiecentrum en de Werkgroep Antiphishing.
Als u hen uw gegevens al heeft verstrekt, is de schade al aangericht. Maar je kunt het beperken.
- Neem onmiddellijk contact op met het vervalste bedrijf.
- Bel uw bank, kredietverstrekker of creditcardmaatschappij.
- Meld de fraude bij ten minste één groot kredietbureau: Equifax, Experian of TransUnion.
- Doe aangifte bij uw plaatselijke politie.
- Breng de Federal Trade Commission op de hoogte.
- Meld de cybercriminaliteit aan de FBI via het Internet Crime Complaint Center.
Verander uw wachtwoorden. Begin met de gecompromitteerde site. Verander ze vervolgens overal. Als je wachtwoorden hergebruikt, wacht je gewoon tot de andere schoen valt.
De omvang van de dreiging
Cijfers liegen niet. Alleen al in augustus 2005 waren er 13.776 phishing-aanvallen gelinkt aan 5.259 verschillende websites.
Ze richtten zich op 84 bedrijven. Maar drie bedrijven ontvingen 80 procent van de hits.
85 procent van deze aanvallen was gericht tegen banken en financiële instellingen. Het geld zit in de transacties.
Phishers slagen in ongeveer vijf procent van de gevallen. Dat is geen hoog conversiepercentage, maar qua volume is het enorm.
57 miljoen Amerikaanse internetgebruikers ontvingen minstens één phishing-e-mail. Tot 1,7 miljoen mensen gaven daadwerkelijk hun persoonlijke gegevens weg.
Bron: NGS Software en AntiPhishing.org
Uw gegevens beschermen tegen phishing-aanvallen
Bedrijven hebben ook een rol te spelen. Ze hebben meervoudige authenticatie nodig. Ze hebben e-mailauthenticatieprotocollen nodig. En ze moeten hun gebruikers opleiden. Jij bent de zwakste schakel. Maak jezelf sterker.
Als u een phishing-e-mail vermoedt, stop dan. Klik niet. Geef geen informatie. Meld het bij de organisatie. Verwijder het bericht.
Het is eenvoudig. Het is saai. Maar het werkt.
