Otwierasz swoją skrzynkę pocztową. Temat wiadomości e-mail wydaje się pilny. Podobno pochodzi z Twojego banku. Informuje Cię, że Twoje konto zostało zablokowane. Jeśli nie klikniesz w link i nie zalogujesz się od razu, stracisz wszystko.
Moje serce się zatrzymuje. Ta panika jest haczykiem.
To jest phishing, cyfrowe oszustwo mające na celu kradzież Twojego życia. Tu nie chodzi tylko o utratę kilkuset dolarów. Mówimy o kradzieży tożsamości. Chodzi o to, jak nieznajomi opróżniają Twoje konta, dokonują zakupów w Twoim imieniu, a nawet wykorzystują Twój komputer do prania pieniędzy bez ostrzeżenia.
Większość ludzi myśli o phishingu jako o paskudnej wiadomości e-mail udającej wiadomość od Amazona lub wystawcy karty kredytowej. I tak, to jest najczęstsza twarz tego zła. Ale ten list to tylko przynęta. Pułapka jest znacznie głębsza.
Anatomia oszustwa cyfrowego
Phishing to nie magia. To proces. Zimny, wyrachowany cykl, który ewoluował od czasu ukucia samego słowa w 1996 r. Sam termin jest grą słów z „łowieniem ryb”, co oznacza, że przestępcy zarzucają sieci, aby złapać jak najwięcej informacji.
Tak faktycznie działa ten mechanizm.
Planowanie. Atakujący decydują, kto będzie celem. Oni nie tylko zgadują. Używają tych samych metod gromadzenia danych, co spamerzy. Zbierają adresy. Kup bazy danych. Zidentyfikuj bazę klientów konkretnego banku lub sklepu detalicznego.
Przygotowanie. Po określeniu celów powstaje infrastruktura. Tworzą fałszywy adres e-mail, który wygląda na prawdziwy. Tworzą fałszywą stronę internetową. Ta strona kopiuje oryginał tak wiernie, że nawet doświadczone oko może się wahać.
Atak. Wiadomość ląduje w Twojej skrzynce odbiorczej. Wykorzystuje presję psychologiczną. Tworzy poczucie pilności. Grozi natychmiastowymi stratami. Wymaga natychmiastowego działania.
Gromadzenie danych. Kliknij link. Wpisz swoje hasło. Wpisz swój numer ubezpieczenia społecznego. Dane trafiają do bazy danych atakujących.
Konsekwencje Tutaj dochodzi do prawdziwych szkód. Złodzieje wykorzystują Twoje dane uwierzytelniające do dokonywania nielegalnych zakupów. Popełniają oszustwo. A oto najbardziej przerażająca część: badania pokazują, że aż 25% ofiar nigdy w pełni nie wraca do zdrowia po konsekwencjach finansowych i emocjonalnych.
Dlaczego oprogramowanie antywirusowe nie może Cię uratować
Aby zachować bezpieczeństwo, polegamy na zaporach sieciowych i oprogramowaniu antywirusowym. Jednak phishing nie polega wyłącznie na włamywaniu się do Twojego komputera. On hakuje Ciebie.
Wykorzystuje luki w oprogramowaniu klienckim i serwerowym. Ale w swej istocie jest to staromodne oszustwo. Opiera się na zaufaniu. Opiera się na założeniu, że wiadomość e-mail z adresu „[email protected]” faktycznie pochodzi z Twojego banku.
Przestępcy wiedzą, że większość ludzi się spieszy. Wiedzą, że jesteś zmęczony. Wiedzą, że klikniesz link, ponieważ zagrożenie wydaje się realne.
Jak rozpoznać znaki ostrzegawcze
Jak zatem się chronić? Musisz być sceptykiem.
Uważaj na ogólne pozdrowienia. „Szanowny kliencie” to wyraźny znak podróbki. Prawdziwe banki zazwyczaj znają Twoje imię i nazwisko.
Zwracaj uwagę na zagrożenia. Legalne organizacje poinformują Cię o problemie. Poproszą Cię o wejście do bezpiecznego portalu, aby go rozwiązać. Nie będą żądać natychmiastowych działań za pośrednictwem poczty elektronicznej.
Jeśli wiadomość e-mail zawiera prośbę o potwierdzenie hasła, usuń je. Nigdy nie podawaj danych osobowych za pośrednictwem łącza w wiadomości e-mail.
Zgłaszaj przypadki. Jeśli podejrzewasz próbę oszustwa, zgłoś to odpowiednim władzom. Zwykle dobrym miejscem na początek jest dział ds. oszustw w Twoim banku.
Cykl trwa
Rybacy nie pozostają statyczni. Po ataku oceniają, co zadziałało. Dostosowują swoje komunikaty. Wyjaśniają swoje fałszywe witryny. Rozpocznij cykl ponownie.
Pierwsze udokumentowane użycie słowa „phishing” miało miejsce prawie trzydzieści lat temu. Taktyka się zmieniła, ale cel pozostaje ten sam: wydobycie informacji.
Czy nadal sprawdzasz pocztę e-mail z taką samą pilnością?
Nie podałbyś danych swojego konta bankowego obcej osobie. Większość ludzi wie, że nie należy tego robić. Jednak oszuści nie pytają. Kradną. Aby uzyskać te referencje, muszą ominąć ludzką psychikę. To jest inżynieria społeczna. Tu nie chodzi o łamanie kodu. Chodzi o złamanie zaufania.
Oszuści kopiują znane marki. Dokładnie kopiują legalne e-maile. Potem zmieniają linki. Ofiara naciska przycisk, który wygląda na oficjalny. Prowadzi do fałszywej strony. Adres nadawcy w polu „Od:” jest sfałszowany. Wygląda naprawdę. Adres zwrotny jest fałszywy. Linki są ukryte. Ukrywają swój prawdziwy cel. Ale skopiowanie wyglądu to tylko połowa sukcesu.
Główną sztuczką jest stworzenie pilności. Wiadomości phishingowe wymagają natychmiastowego działania. Chcą, żebyś zareagował bez zastanowienia.
„Działaj teraz, inaczej wszystko stracisz”.
To jest przesłanie, które niosą. Niektóre groźby obiecują zamknięcie konta. Inni twierdzą, że dokonałeś zakupu, który nie miał miejsca. Panikujesz. Nie chcesz stracić pieniędzy na transakcji, której nigdy nie sfinalizowałeś. Więc naciskasz. Podążasz za linkiem. Oddajesz właśnie te informacje, których bałeś się stracić.
Zaufanie do automatyzacji odgrywa tutaj ogromną rolę. Ludzie wierzą, że komputery są obiektywne. Wierzą, że algorytmy nie popełniają błędów. Oszuści wykorzystują ten słaby punkt.
W raportach często podaje się, że „audyt komputerowy” wykazał nieprawidłowości. Mówią, że zautomatyzowany proces zidentyfikował podejrzaną aktywność. Ofiara uważa, że ktoś włamał się na jej konto. Nie wierzy, że system się pomylił. Łatwiej wyobrazić sobie złodzieja niż porażkę.
Phishing to nie tylko poczta e-mail. Oszuści zarzucają szerszą sieć.
- Wiadomości błyskawiczne
- Wiadomości tekstowe z telefonów komórkowych (SMS)
- Czaty
- Fałszywe banery reklamowe
- Fora i listy mailingowe
- Fałszywe strony wyszukiwania ofert pracy
- Fałszywe paski narzędzi przeglądarki
Zmienia się środek przekazu. Cel pozostaje ten sam.
Dlaczego zaawansowane oprogramowanie ułatwia phishing
Istnieje bezpośrednia korelacja pomiędzy złożonością oprogramowania a lukami w zabezpieczeniach. Im więcej funkcji ma przeglądarka internetowa lub klient poczty e-mail, tym więcej możliwości dla atakujących przedostania się niezauważonych. W miarę ulepszania filtrów bezpieczeństwa ewoluują taktyki phishingu umożliwiające ich obejście. To coś w rodzaju wyścigu zbrojeń, a narzędzia, z których użytkownicy korzystają na co dzień, często zawierają luki.
Najpopularniejszą metodą pozostaje podszywanie się pod adresy. Większość klientów poczty e-mail umożliwia użytkownikom wprowadzanie dowolnych danych w polach Od i Odpowiedz do. Ta przydatna funkcja jest przydatna dla osób zarządzających wieloma tożsamościami, ale staje się kopalnią złota dla oszustów. Mogą tworzyć wiadomości, które wydają się pochodzić z zaufanych źródeł. Niektóre serwery pocztowe zwiększają to ryzyko, umożliwiając połączenia z portem SMTP (Simple Mail Transfer Protocol) bez uwierzytelniania. Umożliwia to atakującym całkowite ominięcie haseł osobistych poprzez oszukanie serwera w celu bezpośredniego wysłania złośliwych wiadomości.
Oprócz fałszywych nadawców napastnicy wykorzystują kilka technik, aby oszukać użytkowników i uniknąć wykrycia.
Fałszywe linki i ukryty kod
Zaciemnione adresy URL są głównym wektorem ataku. Linki te wydają się uzasadnione, ale przekierowują użytkowników do złośliwych witryn. Aby osiągnąć ten cel, atakujący wykorzystują kilka technik:
- Typesquatting i IDN: Mogą błędnie wpisać adres URL firmy lub skorzystać z rejestracji międzynarodowej nazwy domeny (IDN). Dzięki temu mogą używać znaków z innych alfabetów, które wyglądają identycznie jak znaki łacińskie, oszukując oko.
- Formaty szesnastkowe: adresy URL mogą być zakodowane w formacie szesnastkowym, aby zmylić podstawowe roboty indeksujące.
- Instrukcje przekierowania: Prawidłowo wyglądające adresy URL mogą zawierać ukryte instrukcje przekierowujące ruch do innej lokalizacji.
- Hoax HTML: Wyświetlany tekst może całkowicie różnić się od rzeczywistego miejsca docelowego. Na przykład łącze może wyglądać tak, jakby prowadziło do samouczka na temat „samochodów zombie” w zaufanej witrynie, ale leżący u jego podstaw kod HTML kieruje przeglądarkę do zupełnie innego, złośliwego artykułu.
Oszustwo wizualne i strukturalne
Atakujący manipulują także tym, co widzisz na ekranie. Określając, jakiej przeglądarki i klienta poczty e-mail używasz, phisher może nałożyć fałszywą grafikę. Mogą umieszczać obrazy pasków adresu i ikon zabezpieczeń (kłódek) na górze rzeczywistego paska stanu. Stwarza to fałszywe poczucie bezpieczeństwa.
Wyskakujące okienka i ramki to kolejna popularna taktyka. Złośliwy kod może działać w niewidocznych ramkach otaczających witrynę, a wyskakujące okienka mogą całkowicie przesłaniać legalną treść. Nawet wiadomości tekstowe mogą być fałszywe. Wiele z nich zawiera ukryte znaczniki HTML z niewidocznymi słowami, które mają na celu ominięcie filtrów spamu.
Ryzyko pharmingu
Zatruwanie pamięci podręcznej DNS, często nazywane pharmingiem, jest szczególnie niebezpieczne. W tym ataku osoba atakująca zmienia informacje na serwerze DNS. Może się to zdarzyć poprzez inżynierię społeczną, na przykład nakłonienie przedstawicieli obsługi klienta do wprowadzenia zmian.
Po zmianie rekordów DNS każda osoba próbująca odwiedzić fałszywą witrynę firmy zostanie przekierowana na inną witrynę. Dotyczy to wszystkich użytkowników sieci, a nie tylko poszczególnych użytkowników. Jest to trudne do wykrycia, ponieważ przeglądarka użytkownika wyświetla legalnie wyglądający adres, ale treść jest całkowicie naruszona.
Krajobraz inżynierii społecznej uległ zmianie. Nie potrzebujesz już rzucającego się w oczy fałszywego linku, aby ukraść Twoje dane. Najbardziej niebezpieczne ataki mają obecnie miejsce w legalnych przeglądarkach.
Weź pod uwagę komputer proxy. To urządzenie znajduje się pomiędzy Tobą a docelową witryną internetową. Rejestruje każdą dokonaną transakcję. Strona wygląda na prawdziwą. Właściwa domena zostanie wyświetlona w pasku adresu. Ale ruch jest zdublowany.
Phisherzy korzystający z tych metod nie muszą maskować swoich linków, ponieważ w momencie kradzieży informacji ofiara znajduje się na legalnej stronie internetowej.
To pułapka. Ufasz adresowi URL. Wpisujesz swoje hasło. Serwer proxy kradnie to.
Złośliwe oprogramowanie: ukryty wspólnik
Phishing to nie tylko poczta elektroniczna. Chodzi o to, co działa na twoim komputerze. Aby wykonać zadanie, atakujący wdrażają złośliwe oprogramowanie.
- Cloggery przechwytują każdy naciśnięty znak. Jakie jest Twoje hasło? Zaginiony.
- Trojany zrzutowe robią zdjęcia Twojej aktywności. Wysyłają je z powrotem do atakującego.
- Trojany zdalnego dostępu (RAT) zamieniają Twój komputer w zombie. Twój komputer staje się węzłem botnetu. Wysyła e-maile phishingowe lub hostuje fałszywe strony.
- Boty komunikują się z Tobą. Naśladują ludzkie zachowanie na forach. Koordynują sieci zombie.
- Spyware śledzi Twoje nawyki przeglądania. Studiuje Twoje wzorce. Pomaga atakującym zaplanować następny atak.
Twój komputer został naruszony. Phisher nie musi namawiać Cię do kliknięcia łącza. Potrzebuje tylko, abyś odwiedził stronę.
Czy widzisz różnicę?
Jak dobrze tak naprawdę wiesz, na co patrzysz?
MailFrontier oferuje test IQ phishingu. Sprawdza, czy potrafisz rozpoznać podróbki. Oprogramowanie zabezpieczające nowej generacji publikuje przewodnik po innych technikach. Antiphishing.org krok po kroku rozbija jeden atak.
Trudno to wszystko śledzić.
Ochrona przed phishingiem
Dlaczego podstawowe zabezpieczenia powstrzymują większość oszustów
Tę procedurę już znasz. Zapora sieciowa jest włączona. Program antywirusowy jest aktywny. To nie tylko modne hasła; to Twoja pierwsza linia obrony przed oszustwami typu phishing. Ale jeśli chcesz prawdziwego bezpieczeństwa, musisz przyjrzeć się bliżej. Przed zalogowaniem sprawdź certyfikat SSL na dowolnej stronie internetowej. Dokładnie przestudiuj wyciągi bankowe linia po linii.
Osoby atakujące w ramach phishingu są nieostrożne. Zostawiają odciski palców w swoich e-mailach i na stronach internetowych. Otwierając skrzynkę pocztową, szukaj czerwonych flag.
Ogólne pozdrowienia są wyraźną oznaką oszustwa. „Szanowny Kliencie” krzyczy, że to oszustwo. Prawdziwe banki zazwyczaj poświęcają trochę czasu na wpisanie Twojego prawdziwego imienia i nazwiska. (Uwaga: wyłudzanie informacji typu spear jest wyjątkiem. Osoby atakujące przeprowadzają rekonesans i używają Twojego imienia i nazwiska, więc nie trać czujności tylko dlatego, że wiadomość e-mail wygląda na spersonalizowaną).
Uważaj na zagrożenia. Jeśli wiadomość e-mail zawiera informację: „Odpowiedz w ciągu pięciu dni, w przeciwnym razie usuniemy Twoje konto”, usuń ją. Prawdziwe firmy są zainteresowane Twoim biznesem. Nie wpadają w panikę z powodu kilkudniowej ciszy.
Żadna legalna firma nie prosi o hasła ani numery ubezpieczenia społecznego za pośrednictwem poczty elektronicznej. Tak było przed pojawieniem się phishingu. To nadal jest prawdą.
Linki to miejsca, w których ustawiona jest pułapka. Długie adresy URL? Dziwne znaki, takie jak znak @ na środku? Literówki? Nie naciskaj. Wprowadź adres ręcznie. Zajmie to dwie sekundy dłużej. Dzięki temu nie stracisz wszystkiego.
Literówki to najstarsza sztuczka w tej książce. Zła gramatyka wygląda nieprofesjonalnie i nie można ufać w komunikacji finansowej.
Jak rządy i dostawcy usług internetowych walczą z phishingiem
Wojna toczy się nie tylko przeciwko tobie. Przedsiębiorstwa i rządy stawiają opór. Rząd USA nałożył na banki obowiązek stosowania uwierzytelniania dwuskładnikowego do końca 2006 roku. Oznacza to coś więcej niż tylko posiadanie hasła. Potrzebujesz tokena fizycznego lub skanu biometrycznego. Jest to niewielka bariera, która przerywa łańcuch ataków większości przestępców.
Dostawcy usług internetowych i twórcy oprogramowania oferują ochronę za pomocą pasków narzędzi. Narzędzia te błyskawicznie sprawdzają certyfikaty bezpieczeństwa. Informują Cię, gdzie witryna jest zarejestrowana. Analizują linki zanim je klikniesz. Niektóre zapewniają nawet wskazówki wizualne — zielony pasek lub określone logo — które potwierdzają, że jesteś na prawdziwej stronie.
Użyj ich.
Co zrobić, jeśli jesteś ofiarą
Jeśli uważasz, że wiadomość e-mail jest fałszywa, nie odpowiadaj na nią. Nie klikaj linków. Nie przesyłaj żadnych danych.
Zgłoś to firmie, której nazwę wykorzystują oszuści. Skorzystaj z ich oficjalnej strony internetowej lub zadzwoń do nich bezpośrednio. Nie używaj informacji kontaktowych z podejrzanej wiadomości e-mail. Próbę oszustwa można także zgłosić do Krajowego Centrum Informacji o Nadużyciach i Grupy Roboczej ds. Zwalczania Phishingu.
Jeśli przekazałeś im już swoje dane, szkoda została wyrządzona. Ale możesz to ograniczyć.
- Natychmiast skontaktuj się z firmą, której dane zostały naruszone.
- Zadzwoń do swojego banku, wystawcy karty kredytowej lub wystawcy karty kredytowej.
- Zgłoś oszustwo co najmniej do jednego głównego biura informacji kredytowej: Equifax, Experian lub TransUnion.
- Złóż raport lokalnej policji.
- Zgłoś się do Federalnej Komisji Handlu (FTC).
- Zgłaszaj cyberprzestępczość FBI za pośrednictwem Internetowego Centrum Zgłaszania Przestępstw.
Zmień swoje hasła. Zacznij od zainfekowanej witryny. Następnie zmień je wszędzie. Jeśli będziesz nadal używać tych samych haseł, po prostu czekasz na następną katastrofę.
Zakres zagrożenia
Liczby nie kłamią. Tylko w sierpniu 2005 r. miało miejsce 13 776 ataków phishingowych z udziałem 5 259 różnych witryn internetowych.
Ich celem były 84 firmy. Ale trzy firmy odpowiedziały na 80 procent wszystkich ataków.
85 procent tych ataków było skierowanych przeciwko bankom i instytucjom finansowym. Pieniądze są w transakcjach.
Atakującym w ramach phishingu udaje się to w około pięciu procentach przypadków. Nie jest to wysoki współczynnik konwersji, ale pod względem wolumenowym jest ogromny.
57 milionów użytkowników Internetu w Stanach Zjednoczonych otrzymało co najmniej jedną wiadomość e-mail phishingową. Aż 1,7 mln osób faktycznie oddało swoje dane osobowe.
Źródło: oprogramowanie NGS i AntiPhishing.org
Chroń swoje dane przed atakami typu phishing
Biznes również ma swoją rolę do odegrania. Potrzebują uwierzytelniania wieloskładnikowego. Potrzebują protokołów uwierzytelniania poczty e-mail. Muszą także szkolić swoich użytkowników. Jesteś najsłabszym ogniwem. Stań się silniejszy.
Jeśli podejrzewasz wiadomość e-mail typu phishing, przestań. Nie naciskaj. Nie podawaj informacji. Zgłoś to organizacji. Usuń wiadomość.
To proste. To nudne. Ale to działa.
