Ця новина сповнена повідомлень про «фішинг-атаки» проти урядів, великих корпорацій і політичних активістів. Згідно з численними повідомленнями, атаки фішинг-атак в даний час є найбільш поширеним способом злому корпоративних мереж.
Spear-phishing - більш нова і більш небезпечна форма фішингу. Замість того, щоб кидати широку мережу в надії зловити що-небудь взагалі, списи-фішер виробляє обережну атаку і направляє її на окремих людей або певний відділ.
Фішинг пояснив
Фішинг - це практика видачі себе за того, хто заслуговує довіри, щоб спробувати отримати вашу інформацію. Наприклад, фішер може розсилати спам-повідомлення, прикидаючись, що вони належать Банку Америки, з проханням Клацнути посилання, відвідати підроблений веб-сайт Банку Америки (фішинговий сайт) і ввести свої банківські реквізити.
Фішинг не обмежується тільки електронною поштою. Фішер може зареєструвати ім'я чату, наприклад «Підтримка Skype», в Skype і зв'язуватися з вами за допомогою повідомлень Skype, повідомляючи, що ваш обліковий запис був зламаний, і їм потрібен ваш пароль або номер кредитної картки для підтвердження вашої особи. Це також було зроблено в онлайн-іграх, де шахраї видавали себе за адміністраторів ігор і відправляли повідомлення з проханням вказати ваш пароль, який вони використовували б для крадіжки вашого облікового запису. Фішинг також може статися по телефону. У минулому ви, можливо, отримували телефонні дзвінки, в яких говорилося, що вони від Microsoft і що у вас є вірус, який ви повинні заплатити за видалення.
Фішери зазвичай кидають дуже широку мережу. Фішингова електронна пошта Банку Америки може бути відправлена мільйонам людей, навіть тим, у кого немає рахунків у Банку Америки. Через це фішинг часто досить легко виявити. Якщо у вас немає відносин з Bank of America, і ви отримуєте електронний лист із заявою про те, що він від них, має бути абсолютно ясно, що це шахрайство. Фішери залежать від того факту, що, якщо вони зв'яжуться з достатньою кількістю людей, хтось в кінцевому підсумку закохається в їх шахрайство. Це та ж сама причина, по якій у нас як і раніше є спам-повідомлення - хтось там повинен бути за них, інакше вони не будуть прибутковими.
Погляньте на анатомію фішингової електронної пошти для отримання додаткової інформації.
Чим відрізняється фішинг від списа
Якщо традиційний фішинг - це створення широкої мережі в надії зловити що-небудь, то копійний фішинг - це акт ретельного націлювання на конкретну людину або організацію та індивідуального налаштування атаки для них.
У той час як більшість фішингових листів не дуже специфічні, при фішинг-атаці використовується особиста інформація, щоб шахрайство здавалося реальним. Наприклад, замість того, щоб читати «Шановний сер, будь ласка, натисніть на це посилання, щоб отримати неймовірні багатства і багатства», в електронному листі може бути сказано: «Привіт, Боб, будь ласка, прочитайте цей бізнес-план, який ми склали на зборах у вівторок, і дайте нам знати, що ви думаєте». може здатися, що ви прийшли від когось, кого ви знаєте (можливо, з підробленою адресою електронної пошти, але, можливо, з реальною адресою електронної пошти після того, як ця людина була скомпрометована в результаті фішинг-атаки), а не від когось, кого ви не знаєте. Запит складений більш ретельно і виглядає так, ніби він може бути законним. В електронному листі може бути вказаний ваш знайомий, зроблена вами покупка або інша особиста інформація.
Фішинг-атаки на цінні цілі можуть бути об'єднані з експлойтом нульового дня для максимальної шкоди. Наприклад, шахрай може відправити електронною поштою людині в конкретному бізнесі зі словами "Привіт, Боб, не міг би ти поглянути на цей бізнес-звіт? Джейн сказала, что вы дадите нам обратную связь. "Із законно виглядаючою адресою електронної пошти. Посилання може перейти на веб-сторінку з вбудованим вмістом Java або Flash, яка використовує нульовий день для компрометації комп'ютера. (Java особливо небезпечна, оскільки більшість людей встановили застарілі і вразливі плагіни Java.) Після того, як комп'ютер скомпрометовано, зловмисник може отримати доступ до своєї корпоративної мережі або використовувати свою адресу електронної пошти для запуску цільових атак фішинг-атак проти інших осіб в організація.
Шахрай також може прикріпити небезпечний файл, який замаскований під нешкідливий файл. Наприклад, в електронному листі про фішинг може бути файл PDF, який насправді прикріплений до файлу.exe.
Кому дійсно потрібно турбуватися
Фішингові атаки використовуються проти великих корпорацій і урядів для доступу до їх внутрішніх мереж. Ми не знаємо про кожну корпорацію або уряд, які були скомпрометовані успішними фішинг-атаками. Організації часто не розкривають точний тип атаки, яка скомпрометувала їх. Їм навіть не подобається визнавати, що їх взагалі зламали.
Швидкий пошук показує, що такі організації, як Білий дім, Facebook, Apple, Міністерство оборони США, The New York Times, Wall Street Journal і Twitter, ймовірно, зазнали атак фішинг-атак. Це лише деякі з організацій, які, як ми знаємо, були скомпрометовані - масштаб проблеми, ймовірно, набагато більший.
Якщо зловмисник дійсно хоче скомпрометувати цінну мету, фішингова атака - можливо, в поєднанні з новим експлойтом нульового дня, придбаним на чорному ринку - часто є дуже ефективним способом зробити це. Атаки за допомогою фішинг-фішингу часто згадуються в якості причини злому цінної мети.
Захищаємося від фішингу
Як особистість, ви менш схильні до такої витонченої атаки, ніж уряди і великі корпорації. Однак зловмисники можуть як і раніше намагатися використовувати проти вас фішингову тактику, включивши особисту інформацію у фішингові електронні листи. Важливо розуміти, що фішингові атаки стають все більш витонченими.
Коли справа доходить до фішингу, ви повинні бути пильними. Постійно оновлюйте своє програмне забезпечення, щоб ви були краще захищені від злому, якщо натискаєте на посилання в листах. Будьте особливо обережні при відкритті файлів, прикріплених до електронних листів. Остерігайтеся незвичайних запитів на отримання особистої інформації, навіть якщо вони здаються законними. Не використовуйте повторно паролі на різних сайтах, просто на випадок, якщо ваш пароль дійсно буде отримано.
Фішингові атаки часто намагаються зробити те, що законний бізнес ніколи б не зробив. Ваш банк ніколи не відправить вам електронного листа і не попросить ваш пароль, компанія, у якої ви придбали товар, ніколи не відправить вам електронний лист і не попросить номер вашої кредитної картки, і ви ніколи не отримаєте миттєве повідомлення від законної організації, що запитує ваш пароль або інша конфіденційна інформація. Не натискайте посилання в електронних листах і не розголошуйте конфіденційну особисту інформацію, незалежно від того, наскільки переконливою є фішингова адреса електронної пошти і фішинговий сайт.
Як і всі форми фішингу, підводне полювання - це форма атаки соціальної інженерії, від якої особливо важко захиститися. Все, що потрібно, - це одна людина, яка зробила помилку, і зловмисники встановлять точку опори у вашій мережі.