ataki phishingowe były problemem dla osób i organizacji od czasu wynalezienia poczty e-mail. Ostatnio ataki te stały się bardziej wyrafinowane i trudne do wykrycia. Ataki phishingowe są jedną z najczęstszych metod, których hakerzy używają do infiltracji kont i sieci ofiar. Według Symantec, jeden na 2000 e-maili to ataki phishingowe, co oznacza, że każdego dnia jest ich 135 milionów .

chociaż ataki phishingowe są już częstym zjawiskiem, mamy tendencję do znacznego wzrostu w czasach kryzysu. Oszuści wykorzystują chaos i zamieszanie spowodowane tymi doniosłymi wydarzeniami. Wiele osób oczekuje otrzymywania e-maili z oficjalnych źródeł, takich jak organizacje ekspertów, firmy ubezpieczeniowe, podmioty rządowe itp., pozostawiając oszustom dużą szansę na przemycenie swoich” wystarczająco prawdziwych ” e-maili do walki. Te pozornie nieszkodliwe e-maile mają na celu przekierowanie użytkowników do fałszywych witryn, próbując oszukać użytkowników, wprowadzając poufne informacje.

czym jest Phishing?

Mówiąc najprościej, phishing to taktyka, w której oszuści wysyłają fałszywe wiadomości e-mail i próbują nakłonić odbiorców do kliknięcia złośliwego łącza lub pobrania zainfekowanego załącznika, aby ukraść ich dane osobowe. Te wiadomości e-mail mogą wydawać się pochodzić od organizacji, takich jak sprzedawcy detaliczni i banki, lub od osób fizycznych i zespołów w organizacji, takich jak HR, twój szef, a nawet dyrektor generalny.

jeśli Twoi pracownicy nie znają oznak oszustwa phishingowego, cała Twoja organizacja jest zagrożona. Według firmy Verizon średni czas, jaki upłynął pierwszej ofierze kampanii phishingowej na dużą skalę, aby kliknąć złośliwą wiadomość e-mail, wynosił 16 minut. Raportowanie kampanii phishingowej zajęło użytkownikowi dwa razy dłużej-33 minuty .

biorąc pod uwagę, że 91% procent cyberprzestępstw jest inicjowanych za pośrednictwem udanej kampanii phishingowej, te 17 minut może oznaczać katastrofę dla Twojej firmy.

typowe metody ataku phishingowego

jak wspomniano powyżej, większość (jeśli nie wszystkie) oszustw phishingowych zaczyna się od wiadomości e-mail, która wygląda, jakby została wysłana z legalnego źródła, ale metody ataku i infiltracji mogą się od tego różnić. Niektóre z tych technik phishingowych mogą być tak proste, jak nakłonienie kogoś do kliknięcia łącza w celu wprowadzenia poufnych informacji lub tak skomplikowane, jak uruchomienie pliku wykonywalnego, który fałszuje legalny proces, który potajemnie uzyskuje dostęp do komputera i sieci, aby uruchomić złośliwe oprogramowanie w tle.

oszustwa phishingowe zwykle wykorzystują wiele metod oszustwa w ramach jednego ataku. Zazwyczaj oszustwa te wykorzystują manipulację linkami i fałszowanie stron internetowych w połączeniu, aby ich oszustwo było jak najbardziej przekonujące. Po otrzymaniu wiadomości e-mail od phishingu jedną z pierwszych rzeczy, które zobaczysz, jest pozornie legalny adres URL do znanej i zaufanej witryny, takiej jak Facebook, Amazon, YouTube itp. z wiadomością zachęcającą do kliknięcia w link. Te wiadomości będą monitować użytkowników o wprowadzenie poufnych informacji, twierdząc, że istnieje problem z ich kontem lub zamówieniem, który musi zostać rozwiązany, i to jest, gdzie fałszerstwo witryny wchodzi w grę.

a link może wyglądać jak prawdziwy „amazon.com” link, małe literówki lub niespójności z domeną często ujawniają jej prawdziwą naturę. Te oszukańcze domeny są często określane jako domeny typosquat. Te złośliwe witryny są zaprojektowane tak, aby wyglądały jak najbardziej podobnie do prawdziwej strony internetowej, oszukując skromne ofiary, aby wprowadziły swoje dane uwierzytelniające, aby haker mógł ukraść i użyć na prawdziwej stronie.

hakerzy często dołączają również legalnie wyglądający plik lub łącze, które po kliknięciu potajemnie pobierze złośliwe oprogramowanie, które osadzi się w systemach ofiary. Ataki te często wstrzykują złośliwe oprogramowanie, które maskuje się jako legalny plik wykonywalny, który będzie działał w tle, przesuwając się w poprzek sieci użytkownika w celu kradzieży poufnych informacji, takich jak konta bankowe, numery ubezpieczenia społecznego, poświadczenia użytkownika i inne. Czasami złośliwe oprogramowanie zawiera oprogramowanie ransomware, które przedostaje się przez sieć ofiary, szyfrując i eksfiltrując poufne dane do przechowywania dla okupu.

rodzaje ataków phishingowych

najczęstszą metodą ataku używaną przez oszustów phishingowych jest rzucenie szerokiej sieci. Będą wysyłać Ogólne wiadomości e-mail z powszechnie używanych witryn do jak największej liczby osób, w nadziei na oszukanie kilku osób, aby zakochać się w ich sztuczkach. Chociaż ta metoda jest skuteczna, nie jest to jedyny sposób, w jaki phishers złapie haczyk. Niektórzy oszuści będą używać bardziej precyzyjnych metod, takich jak spear phishing, clone phishing i wielorybnictwo, aby wykonać zadanie.

Spear Phishing i wielorybnictwo

podobnie jak ogólne ataki phishingowe, spear-phishing i wielorybnictwo wykorzystują e-maile z zaufanych źródeł, aby oszukać swoje ofiary. Zamiast jednak rzucać szeroką sieć, spear phishing celuje w określone osoby lub podszywa się pod zaufaną osobę, aby ukraść poświadczenia lub informacje.

podobnie jak spear phishing, wielorybnictwo tworzy kampanie wokół określonego celu, ale z myślą o większej rybie. Zamiast celować w szeroką grupę, taką jak Departament lub zespół, Ci atakujący kierują swoją wewnętrzną grupę kapitana Ahaba, celując włócznią w cele wysokiego szczebla, takie jak kierownictwo lub wpływowi, z nadzieją na włócznię ich białego wieloryba. Łowcy wielorybów starają się podszywać pod kierownictwo wyższego szczebla, takie jak prezesi, dyrektorzy finansowi, szefowie HR itp., aby przekonać członków organizacji do ujawnienia poufnych informacji, które byłyby cenne dla napastników. Aby wyprawa wielorybnicza zakończyła się sukcesem, atakujący muszą przeprowadzić bardziej szczegółowe badania niż zwykle, mając nadzieję na dokładne podszywanie się pod wieloryba. Napastnicy chcą wykorzystać autorytet wieloryba, aby przekonać pracowników lub inne wieloryby, aby nie sprawdzali ani nie kwestionowali ich próśb.

anegdotycznie, osobiście byłem celem ataku wieloryba na poprzednią firmę, w której oszust pozował jako mój CEO, prosząc o mój numer telefonu, aby mogli zadzwonić do mnie z prośbą o przysługę. Na szczęście E-mail miał wiele oznak oszustwa. Najbardziej oczywiste jest to, że biuro prezesa było tylko 10 stóp od mojego biurka, więc mógł łatwo przejść, jeśli mnie potrzebował!

Clone Phishing

ataki Clone phishing są mniej kreatywne niż włócznia i łowienie wielorybów, ale nadal bardzo skuteczne. Ten styl ataku ma wszystkich głównych najemców oszustwa phishingowego. Różnica polega jednak na tym, że zamiast udawać użytkownika lub organizację z określonym żądaniem, atakujący kopiują uzasadnioną wiadomość e-mail, która została wcześniej wysłana przez zaufaną organizację . Hakerzy następnie wykorzystują manipulację linkami, aby zastąpić prawdziwy link zawarty w oryginalnym e-mailu, aby przekierować ofiarę na fałszywą witrynę, aby oszukać użytkowników do wprowadzania poświadczeń, których użyliby Na Rzeczywistej stronie.

e-mail przykłady oszustwa phishingowego

często oszuści fałszują oficjalne e-maile od sprzedawców, takich jak Amazon lub Walmart, twierdząc, że musisz wprowadzić swoje poświadczenia lub informacje o płatności, aby upewnić się, że mogą sfinalizować zamówienie. Linki osadzone w wiadomości e-mail przeniosą cię do oryginalnie wyglądającej strony docelowej, aby wprowadzić poufne informacje.

w związku z pandemią i zmieniającym się krajobrazem handlu cyfrowego coraz więcej osób robi zakupy online, oszuści będą w tym roku pracować w nadgodzinach. W okresie świątecznym tego typu oszustwa zwiększają się wykładniczo ze względu na kupowanie prezentów. Wiele osób ma tak wiele zakupów, że nie zastanawiają się dwa razy, czy istnieje problem z ich zamówieniami.

przykładem oszustwa phishingowego, który odnotował wzrost w sezonie świątecznym 2020, jest sfałszowany e-mail od Amazon informujący klientów, że muszą się zalogować, aby zaktualizować informacje dotyczące płatności i wysyłki, aby sfinalizować zamówienie .

z osobistego doświadczenia otrzymuję ciągłe e-maile od Amazon o wysyłce, datach przyjazdu, potwierdzeniach itp. Gdybym nie wiedział, czego szukać w tych atakach, łatwo dałbym się nabrać na oszustwo.

Anatomia e-maila Wyłudzającego informacje

opracowaliśmy najczęstsze składniki e-maila wyłudzającego informacje. Sprawdź naszą pełną infografikę, aby sprawdzić swoją wiedzę.

temat

kampanie phishingowe zazwyczaj mają na celu stworzenie poczucia pilności przy użyciu intensywnego języka i taktyki straszenia, począwszy od tematu wiadomości e-mail.

pole”z”

wiadomość e-mail wydaje się pochodzić od legalnego podmiotu w uznanej firmie, takiego jak obsługa klienta. Jednak po bliższym przyjrzeniu się można zobaczyć, że zarówno imię i nazwisko nadawcy, jak i adres e-mail są fałszerstwem znanej marki, a nie prawdziwego dostawcy.

pole”do”

phishingowe wiadomości e-mail są często bezosobowe, zwracając się do odbiorcy jako „użytkownik” lub „klient.”

Body copy

podobnie jak w przypadku tematu, body copy wiadomości e-mail typu phishing zazwyczaj wykorzystuje pilny język, aby zachęcić czytelnika do działania bez myślenia. E-maile wyłudzające informacje są również często pełne błędów gramatycznych i interpunkcyjnych.

złośliwy link

podejrzany link jest jednym z głównych prezentów wiadomości e-mail typu phishing. Łącza te są często skracane (poprzez bit.ly lub podobnej usługi) lub są sformatowane tak, aby wyglądały jak legalny link, który odpowiada firmie i wiadomości fałszywego e-maila.

Scare tactics

oprócz pilnego języka, e-maile wyłudzające informacje często wykorzystują scare tactics w nadziei, że czytelnicy klikną złośliwe linki z alarmu lub zamieszania

wylogowanie wiadomości e-mail

podobnie jak w przypadku powitania wiadomości e — mail, wylogowanie jest często bezosobowe-zazwyczaj jest to ogólny tytuł obsługi klienta, a nie imię i nazwisko osoby i odpowiednie dane kontaktowe.

Stopka

stopka wiadomości phishingowej często zawiera znaki ostrzegawcze fałszywej wiadomości, w tym nieprawidłową datę praw autorskich lub lokalizację, która nie odpowiada lokalizacji firmy.

złośliwa strona docelowa

jeśli klikniesz łącze phishingowe, często zostaniesz przeniesiony na złośliwą stronę docelową

jak zapobiegać atakom

najlepszą obroną przed kampaniami phishingowymi jest wiedza. Napastnicy tworzą oszustwa phishingowe, aby wyglądać jak najbardziej przekonująco, ale często mają znaki ostrzegawcze ujawniające farsę. Wymaganie regularnych szkoleń w zakresie bezpieczeństwa danych i inżynierii społecznej to doskonała metoda zapobiegania, która pomaga twojej organizacji poznać oznaki złośliwych wiadomości e-mail.

oto kilka rzeczy do sprawdzenia w każdej chwili, gdy otrzymasz wiadomość e-mail z prośbą o kliknięcie łącza, pobranie pliku lub udostępnienie poświadczeń, nawet jeśli wydaje się, że pochodzą one z zaufanego źródła:

• Sprawdź dwukrotnie nazwę i Domenę, z której pochodzi wiadomość e-mail
  • • Większość legalnych e-maili nie pochodzi od @gmail.com, @live.com, itp. Zazwyczaj pochodzą z domen prywatnych
• sprawdź, czy nie ma oczywistych błędów ortograficznych w temacie i treści
• linie „do” I „OD” są ogólne
• nie udostępniaj poświadczeń—legalni nadawcy nigdy o nie nie proszą
• nie otwieraj żadnych załączników ani nie pobieraj podejrzanych linków
• zgłaszaj podejrzane wiadomości e-mail do osoby, która obsługuje Twoje bezpieczeństwo IT

jeśli podejrzewasz, że otrzymałeś e-mail wyłudzający informacje, nie klikaj go ani żadnych załączników. Zamiast tego oznacz to i zgłoś to odpowiednim władzom. Może to dotyczyć działu IT Twojej organizacji, firmy, w której e-mail jest fałszowany, lub dostawcy domeny e-mail, takiego jak Google, Microsoft itp.

Nie Łykaj Przynęty

Wiedza to potęga, jeśli chodzi o ochronę przed atakami phishingowymi. Ci oszuści polegają całkowicie na tym, że zakochujesz się w ich podstępie, aby ich oszustwo odniosło sukces. Nawet jeśli uważasz, że jesteś ekspertem w wykrywaniu oszustw phishingowych, nie możesz opuścić Gardy; niebezpieczeństwo czai się za każdym linkiem. Techniki phishingu i wiadomości e-mail będą w miarę upływu czasu coraz bardziej wyrafinowane i trudne do wykrycia. Tak długo, jak nasze codzienne życie będzie digitalizowane, hakerzy zawsze będą tam, aby wykorzystywać niewinnych ludzi dla korzyści finansowych. Najlepszym sposobem, aby zachować bezpieczeństwo i być na bieżąco z wszystkim, jest dalsze kształcenie się na temat najbardziej aktualnych form oszustw phishingowych.