Фішинг 101 – Що таке фішинг і як його уникнути

Фішинг – це онлайн-шахрайство, коли злочинці надсилають фальшиві електронні листи або створюють веб-сайти, схожі на відомі бренди, щоб отримати конфіденційну інформацію, таку як паролі, номери кредитних карток тощо. Один автор каже, що це стандартна атака, яка використовується сьогодні. 

Шахрайство з метою зловживання зазвичай має фінансовий мотив, але воно також може мати підступний підтекст або навіть крадіжку особистих даних. Методи соціальної інженерії та створення компаній, що поважають себе, – це два способи, якими фішери обманом змушують людей розкривати особисту інформацію, при цьому жертви часто не усвідомлюють, що їх обманюють, доки не стає надто пізно. Важливо знати попереджувальні знаки, щоб не стати жертвою.

Приклади фішингових атак

Фішингові атаки можуть здійснюватися різними способами та зі зловмисним наміром. До певних типів належать клонування веб-сайтів, SMS-фішинг (іноді його називають смішингом), фішинг електронної пошти та клонування веб-сайтів. Хакери використовують фішинг електронної пошти для крадіжки ідентифікаційної інформації. 

Фішинг електронною поштою

Злочинці надсилають електронні листи, які виглядають як надходження з легітимних джерел, але містять посилання або вкладення для завантаження шкідливого програмного забезпечення на пристрій одержувача або перенаправляють одержувача на фальшивий веб-сайт із запитом на завантаження. Вміст не надсилається. Ці листи також можуть мати орфографічні помилки або інші граматичні помилки; це має бути попередження про те, що вони не від відправника.

SMS-фішинг 

Часто званий смішингом, SMS-фішинг використовує текстові повідомлення як метод, подібний до фішингу електронною поштою. Коли жертви натискали на негативні посилання у своїх повідомленнях від The ​​Smithers, їх перенаправляли на веб-сайти, де вони мали надати особисту інформацію. Хоча ці веб-сайти можуть бути законними, їхня єдина мета — викрасти конфіденційну інформацію від нічого не підозрюючих клієнтів. 

Клонування веб-сайту 

Ще одна фішингова атака полягає в тому, що хакери повністю вивчають структуру та вміст існуючого веб-сайту. Це називається клонуванням веб-сайту. Налаштований веб-сайт часто містить шкідливий код або посилання на інші шахрайські веб-сайти, які можуть викрасти облікові дані користувачів та додаткову конфіденційну інформацію під час відвідування. Перш ніж вводити особисту інформацію, переконайтеся, що ви відвідуєте легітимний, а не шкідливий веб-сайт, двічі перевіривши URL-адресу.

Розпізнаючи ці поширені фішингові атаки та вживаючи проактивних заходів, таких як використання двофакторної автентифікації, коли це можливо, встановлення антивірусного програмного забезпечення на вашому пристрої та уникнення переходу за підозрілими посиланнями, надісланими електронною поштою або текстовими повідомленнями, ви можете захистити себе від цієї небезпечної кібератаки.

Що таке багатофакторна автентифікація (MFA), стійка до фішингу

Захід безпеки, відомий як багатофакторна автентифікація, стійка до фішингу (MFA), призначений для захисту облікових записів користувачів та конфіденційної інформації від фішингових атак, щоб захопити особу користувача та перевірити особу, яка хоче отримати доступ до цих паролів, або біометричної ідентифікації. 

Особливості 

Вони використовують кілька функцій, таких як двофакторна автентифікація (2FA). Однофакторні паролі – це традиційний спосіб автентифікації, який дозволяє хакерам красти або вгадувати паролі. Багатофакторна автентифікація ускладнює зловмисникам отримання конфіденційних даних, поєднуючи кілька кроків автентифікації. 

Наприклад, припустимо, що у вас є зв’язок між чимось, що ви знаєте (пароль), чимось, що вам належить (фізичний токен або мобільний пристрій), і чимось, що вам належить (біометрія, як-от ваш відбиток пальця). У такому разі зловмисникам важче отримати ваші дані).

Навіщо використовувати багатофакторну автентифікацію?

Кілька робіт пропонують додаткові переваги використання багатофакторної автентифікації (MFA) на додаток до покращеної безпеки. Ці переваги включають швидший час входу в систему, оскільки користувачам більше не потрібно запам’ятовувати кілька імен користувачів та паролів для різних служб, а також можливість додавання додаткового захисту, деякі з яких біометрична ідентифікація MFA може допомогти компаніям виконати вимоги до відповідності, встановлені міжнародними регуляторами. 

Загалом, багатофакторна автентифікація, стійка до фішингу, є надійним способом запобігти спробам фішингу та захистити клієнтів від зловмисників, які крадуть дані чи особисту інформацію. Атомізуючи цю технологію, компанії можуть гарантувати безпеку своїх клієнтів і водночас швидко та безпечно отримувати необхідні їм послуги. 

Що таке посміхатися?

Смішинг – це фішингова атака з використанням текстових повідомлень замість електронної пошти. Часто метою є змусити жертву перейти за підозрілими посиланнями або розкрити конфіденційну інформацію, таку як дані кредитної картки чи особисті дані. Ці текстові повідомлення часто вимагають негайних дій і надходять від авторитетних установ. Вони також можуть містити граматичні та орфографічні помилки, що вказує на те, що документ є підробкою.

Коли жертви натискають на посилання в повідомленні, їх перенаправляють на веб-сайт із особистою інформацією. На жаль, ці веб-сайти часто створюються для отримання конфіденційних даних від необережних користувачів. 

Як запобігти атакам смішингу?

Атакам smishing можна запобігти, якщо бути уважним до можливих шахрайств і ніколи не натискати на посилання, що містяться в підозрілих текстових повідомленнях. 

Для підвищення безпеки завжди слід використовувати надійні паролі та двофакторну автентифікацію. Встановлення антивірусного програмного забезпечення на всіх пристроях також має допомогти захиститися від цих атак.

Спірний фішинг проти фішингу

Кіберзлочинці все частіше вдаються до маніпуляцій копіями та фішингу, щоб обманом змусити необережних жертв розкрити особисту інформацію. Незважаючи на схожість між цими двома методами, важливо розуміти кілька ключових відмінностей, щоб захистити себе від цих шкідливих онлайн-атак.

Посилання, що перенаправляють користувачів на небезпечні вебсайти, що маскуються під надійні, щоб обманом змусити людей розкрити конфіденційну інформацію (так званий фішинг, що спеціалізується на кіберфішингу), – це вид фішингу, спеціально спрямований на окрему особу або групу людей. 

Зловмисники використовують загальнодоступну інформацію про своїх жертв, таку як профілі в соціальних мережах та вебсайти, для створення ідентифікаційних повідомлень з надійних джерел, щоб переконати жертв розкрити свої конфіденційні дані. 

Кіберзлочинці можуть вдавати, що знають про мережу або діяли заздалегідь, щоб створити враження більш надійної. Через це фішингові атаки є більш жорстокими для виявлення та захисту, ніж звичайні фішингові атаки для людей та компаній.

Люди та підприємства можуть захистити себе від таких атак, виявляючи шахрайство та блокуючи підозрілі електронні листи чи текстові повідомлення. 

Незалежно від того, чи здійснюють вони покупку, чи надають конфіденційну інформацію, кожен, хто веде бізнес онлайн, повинен використовувати надійний пароль та двофакторну автентифікацію, коли це можливо. Антивірусне програмне забезпечення допомагає захистити вас від таких атак. Це може статися, і це може допомогти запобігти злому.

Типи фішингових атак

Фішингові атаки бувають різних форм і постійно розвиваються, щоб залишатися на крок попереду заходів безпеки. Водночас традиційні фішингові атаки передбачають надсилання шаблонних електронних листів або текстових повідомлень як частину масової кампанії; спід-фішинг явно спрямований на окрему особу або організацію. Деякі більш поширені типи фішингових атак включають:

Шахрайство з боку генерального директора або компрометація ділової електронної пошти (BEC)

У цій атаці злодій видає себе за керівника, щоб отримати конфіденційну інформацію або дані. Крім того, зловмисник може попросити співробітників надіслати гроші, здійснивши транзакцію, яка виглядає як законна, що завдасть значних фінансових збитків бізнесу.

Вішинг

Цей метод імітує фішинг, якщо ви використовуєте голосове повідомлення замість текстового повідомлення чи електронного листа. Підробка ідентифікатора абонента (Caller ID) зазвичай використовується у фішингових атаках для дзвінків жертвам та вимоги конфіденційних даних, таких як паролі та номери карток. Абонент може вдавати, що він з відомої установи, такої як банк, телефонна компанія чи інша організація.

Посміхаючись

Як згадувалося, фішингові атаки, відомі як «смішинг», використовують SMS-повідомлення замість електронної пошти. Ці повідомлення часто містять термінові запити на дії та можуть мати друкарські помилки або граматичні помилки, що має бути червоним прапорцем, що повідомлення неправильне. 

Найкращі способи захистити себе та свою компанію від кібератак – це вжиття запобіжних заходів та уникнення переходу за підозрілими посиланнями, отриманими електронною поштою або текстовими повідомленнями. Також використовуйте двофакторну автентифікацію та безпечні паролі.

Що є стандартним показником спроби фішингу?

Орфографічні помилки та погана граматика в електронних листах або текстових повідомленнях є поширеними ознаками спроби фішингу. Запити на термінові дії, підозрілі посилання або вкладення, а також повідомлення, які виглядають як від невідомого відправника, – це інші тривожні сигнали. 

Кіберзлочинці часто використовують легкодоступну інформацію про жертв, щоб зробити повідомлення більш достовірним, тому, якщо воно містить ідентифікаційну інформацію, таку як ваше ім’я або місце роботи, це слід робити підозріло, окрім будь-якого електронного листа з проханням відкрити посилання або надіслати конфіденційну інформацію, будьте обережні, оскільки це може призвести до крадіжки особистих даних та втрати грошей.

Як організації можуть виявити фішингові атаки? 

Компанії можуть виявляти фішингові атаки, ретельно контролюючи вхідні та вихідні електронні листи, текстові повідомлення та інші форми комунікації. Будь-які сумнівні посилання чи додатки, а також тексти з орфографічними та граматичними помилками слід ретельно перевіряти. 

Організації також повинні навчати своїх співробітників методам фішингу та попереджувальним знакам, щоб їх можна було негайно виявити. Уникайте підозрілих електронних листів або текстових повідомлень і радите співробітникам не натискати на невідомі посилання та не надавати конфіденційну інформацію. 

Крім того, компанії можуть отримати доступ до систем захисту електронної пошти від фішингу та інших програмних інструментів, які запобігають потраплянню шкідливого контенту до того, як вхідна пошта потрапить до поштової скриньки. Це потужна стратегія, яка запобігає фільтрації потенційних ризиків до їх виникнення.

Хто є мішенню для фішингових атак?

Фішингові атаки можуть бути спрямовані на будь-кого, але підприємства та організації перебувають у особливій зоні ризику. Хакери часто націлюються на ці підприємства, оскільки вони мають конфіденційну інформацію про транзакції та клієнтів, яку можна використовувати у своїх інтересах, а також на зловмисників, які зазвичай намагаються атакувати генеральних директорів, щоб отримати дані або доступ до складних систем. 

Спроби фішингу також можуть бути спрямовані на певних користувачів, коли злочинці намагаються отримати доступ до їхніх особистих даних, таких як паролі чи банківська інформація. Кожен повинен розпізнавати ознаки спроби фішингу та ретельно захищати свої дані.

Яка вартість фішингових атак? 

Вартість фішингу може значно відрізнятися залежно від типу та масштабу атаки. Але типові витрати на фішинг включають втрату часу через збої системи, втрату репутації компанії, крадіжку даних клієнтів та втрату доходу від шахрайських транзакцій. 

Фішингові атаки стають дуже дорогими з точки зору ресурсів, необхідних для їх запобігання та усунення. Запобігання таким порушенням може вимагати від організацій більших витрат на заходи безпеки, такі як кращі програми навчання співробітників або надійніші механізми автентифікації.

Вартість цієї посади може швидко зростати, і може бути складно виправдати проект, який вже працює з обмеженим бюджетом. Організації також можуть зіткнутися з регуляторними зборами або штрафами, якщо не дотримуються суворих правил захисту даних клієнтів. Загалом, фішингові атаки можуть бути дорогими у фінансовому плані та з точки зору репутації для будь-якої цільової компанії чи організації.

Який тип соціальної інженерії спрямований на високопосадовців?

Стратегія соціальної інженерії «фішинг з використанням копій», яка безпосередньо спрямована на керівників вищої ланки, використовується у фішингових атаках. Ця атака спрямована на використання їхнього доступу до персональних даних або ресурсів у компанії. 

Кіберзлочинці можуть вважати довірені джерела легітимними та висувати спеціальні запити або використовувати переконливі тактики, такі як ненормативна лексика. 

Прикладами є паролі, фінансова інформація та інша конфіденційна інформація. Зловмисники також можуть спробувати проникнути у внутрішні мережі, надсилаючи фішингові електронні листи зі шкідливими посиланнями або вкладеннями.

Посадовці та співробітники повинні бути пильними щодо спроб фішингу, особливо тих, які спрямовані виключно на них. 

Встановлення системи двофакторної автентифікації для онлайн-доступу до Інтернету, впровадження суворих заходів безпеки проти витоків даних, акцентування уваги на перевагах спільного використання даних та навчання співробітників тому, як розпізнавати спроби резервного копіювання та залишатися в безпеці перед обличчям загроз. Бізнесу потрібно вжити лише кількох заходів для захисту від цих атак.

Як запобігти фішинговим атакам

Якщо люди повинні бути захищені, а організації хочуть захистити себе від цих небезпечних атак, фішингові атаки необхідно обробляти різними способами. 

• Перше, що повинні зробити компанії, це інвестувати в надійну систему безпеки, яка повинна включати брандмауери, безпечні конфігурації серверів, шифрування даних, системи виявлення шкідливих програм та подвійну обробку даних. 
• Щоб усі знали про попереджувальні ознаки спроб фішингу та знали, як належним чином реагувати на підозрілі електронні листи чи текстові повідомлення, організації також повинні переглянути та розробити навчальні програми щодо політики для співробітників та інших користувачів, щоб виявляти професійні фішингові шахрайства та запобігати їхньому скоєнню. 
• Компанії також можуть розглянути можливість використання автоматизованих рішень для моніторингу для виявлення дивної поведінки мережі. 
• Споживачі повинні знати про попереджувальні ознаки спроб фішингу, такі як електронні листи з орфографічними помилками іноземною мовою або URL-адреси, які перенаправляють одержувачів на дивні веб-сайти. 
• Користувачі онлайн, до того, як було натиснуто будь-яке посилання або вкладення. Це в електронному листі або текстовому повідомленні.
• Використовуйте стандартні галузеві заходи безпеки, такі як двофакторна автентифікація, під час доступу до облікових записів та уникайте доступу до публічних мереж Wi-Fi без необхідності. Користувачам необхідно регулярно оновлювати свої паролі та вибирати паролі.
• Зловмисникам важко їх вгадати. Ці дії можуть значно зменшити ймовірність того, що окрема особа або компанія стануть жертвою успішної фішингової атаки.

Як запобігти фішингу в бізнесі

Компанії будь-якого розміру повинні намагатися захистити себе від потенційно шкідливих спроб видалення даних. Першим кроком у запобіганні спробам хижацтва є інформування клієнтів і співробітників про небезпеку онлайн-шахрайства. 

Оцінка червоних прапорців 

Користувачі повинні знати про попереджувальні ознаки фішингових атак з боку організацій, включаючи запити особистої інформації та посилання на сумнівні веб-сайти. Під час надсилання холодних електронних листів підприємствам слід дотримуватися практик, які запобігають побоюванню щодо фішингу. Компанії також повинні встановити стандарти, які показують, як співробітники реагують на сумнівні електронні листи та повідомлення.

Посилення безпеки 

Крім того, компанії повинні інвестувати в надійні заходи безпеки, такі як брандмауери, системи безпечних серверів, шифрування даних, системи виявлення шкідливих програм, системи двофакторної автентифікації тощо. Ця технологія може допомогти із захистом даних та управлінням веб-сайтами для підозрілих підприємств. 

Завантаження систем моніторингу 

Компаніям слід розглянути можливість встановлення проактивних систем моніторингу для виявлення аномальної поведінки мережі. Зрештою, організаціям необхідно бути в курсі досягнень у сфері кібербезпеки, щоб краще передбачати та помічати нові методи атак, які використовують зловмисники. 

Вживаючи проактивних заходів для запобігання спробам захоплення, компанії можуть значно зменшити свої шанси стати жертвою цієї шкідливої ​​схеми.

Як запобігти фішингу та фармінгу

Зловмисники використовують фармінг та фішинг як стратегії атаки для отримання конфіденційної інформації або фінансових ресурсів. Окремі особи та організації повинні вживати проактивних заходів для захисту від цих загроз. 

Запускайте електронні листи та кампанії з підвищення обізнаності 

Щоб запобігти фішингу, людям потрібно знати про конкретні ознаки спроб атаки. Це включає електронні листи або повідомлення, які не містять граматичних чи орфографічних помилок, запитів на особисту інформацію або посилань на невідомі веб-сайти. Важливо бути обережним, перш ніж натискати на будь-яке підозріле посилання або вкладення, що надсилаються в електронному листуванні.

Уникайте використання незахищених мереж Wi-Fi

Користувачам також слід уникати використання публічних мереж Wi-Fi без необхідності та використовувати відповідні заходи безпеки, такі як двофакторний доступ, під час доступу до облікових записів онлайн. 

Інвестуйте в брандмауери та антивіруси

Організаціям слід витрачати кошти на надійні заходи безпеки, такі як брандмауери, безпечні конфігурації серверів, шифрування даних та системи виявлення шкідливого програмного забезпечення, щоб захиститися від спроб фішингу. 

Часто контролюйте системи 

Компанії також повинні розглянути можливість оснащення активною системою моніторингу, здатною виявляти будь-яку незвичайну поведінку в їхній мережі. Користувачам важко виявити фермерські атаки, коли їх перенаправляють з надійних веб-сайтів на шкідливі веб-сайти без їхнього відома чи співпраці. 

Шукайте вразливості системи 

Компанії повинні забезпечити безпеку своїх вебсайтів та регулярно перевіряти їх на наявність міжсайтового скриптингу (XSS) та інших вразливостей, які необхідно захистити від таких атак. 

Оновлення веб-сайтів та систем

Організаціям слід оновлювати свої веббраузери останніми оновленнями технічного обслуговування та безпеки, щоб захиститися від цих шкідливих атак. 

Навчання співробітників 

І останнє, але не менш важливе: компанії можуть навчити своїх співробітників спеціальним методам експлуатації, щоб допомогти їм виявляти потенційні загрози та такі атаки на ранній стадії. Ви можете мінімізувати втрати від цієї причини.

Окремі особи та організації можуть значно зменшити свої шанси стати жертвами успішних спроб фішингу або фармінгу, застосувавши багатогранний підхід до запобігання цим кібератакам.

Список фішингових шахрайств 

1. Компрометація ділової електронної пошти (BEC)
2. Фішингові шахрайства з боку банківських та фінансових установ
3. Фальшиві благодійні та некомерційні організації.
4. Податкове шахрайство
5. Запити на перевірку облікового запису
6. Схеми з неотриманими грошимаШахрайство з технічною підтримкою
7. Шахрайство з видаванням себе за іншу особу в соціальних мережах
8. Інвестиційні можливості
9. Запити на підтвердження замовлення онлайн-покупок

Підсумки

Фішинг зараз є серйозним інтернет-злочином, який набирає обертів. Фішингові електронні веб-сайти використовуються зловмисниками, які видають себе за компанії або законних осіб, для надання конфіденційних даних, фінансової інформації та іншої конфіденційної інформації.

Щоб запобігти таким атакам, компанії повинні забезпечити безпеку своїх вебсайтів, їх регулярне оновлення та перевірку на наявність міжсайтового скриптингу (XSS) та інших помилок. 

Щоб захиститися від цих атак, організації повинні переконатися, що їхні веб-сайти безпечні, регулярно тестувати їх на наявність вразливостей, таких як міжсайтовий скриптинг (XSS), та оновлювати веб-браузери останніми патчами та оновленнями безпеки. 

Людям також слід знати поширені тактики фішингу, такі як фальшиві благодійні та некомерційні організації, шахрайство, пов’язане з податками, запити на перевірку облікового запису, схеми з неотриманими грошима, шахрайство в технічній підтримці, шахрайство з виданнями себе за іншу особу в соціальних мережах, інвестиційні можливості та запити на підтвердження замовлень в інтернет-магазинах. 

Власники бізнесу та споживачі можуть значно зменшити ризик стати жертвами успішних спроб фішингу або фармінгу, застосувавши багатогранний підхід до запобігання цим кібератакам.

Найчастіші запитання