Фишинг

Фишинг - это форма атаки социальной инженерии, при которой преступник выдает себя за надежную организацию, запрашивая конфиденциальную информацию жертвы.

Читать 5 мин

Читать 5 мин

Что такое фишинг?

Получали ли вы когда-нибудь электронное письмо, текст или другую форму электронного сообщения, якобы исходящего от банка или другой популярной онлайн-службы, с просьбой «подтвердить» учетные данные вашей учетной записи, номер кредитной карты или другую конфиденциальную информацию? Если да, то вы уже знаете, как выглядит обычная фишинговая атака. Этот метод используется для получения ценных пользовательских данных, которые могут быть проданы или использованы злоумышленниками в гнусных целях, таких как вымогательство, кража денег или кража личных данных.

Происхождение термина

Эта концепция была впервые описана в докладе на конференции 1987 года Джерри Феликсом и Крисом Хауком под названием «Безопасность системы: взгляд хакера» (Interex Proceedings 1: 6, 1987). В нем обсуждалась техника, с помощью которой злоумышленник имитирует авторитетный объект или услугу. Само это слово является омофоном «рыбалки» для целей, поскольку в нем используется та же логика «ловли наживки». «Ph-» в начале относится к phreaks”, группе хакеров, которые экспериментировали с телекоммуникационными системами и незаконно исследовали их границы в 1990-х годах.

Как работает фишинг?

Фишинг существует уже много лет, и за это время злоумышленники разработали широкий спектр методов для нацеливания на своих жертв.

Наиболее распространенный метод фишинга - выдать себя за банк или финансовое учреждение по электронной почте, чтобы заманить жертву либо заполнить поддельную форму в сообщении электронной почты или прикрепить к нему, либо посетить веб-страницу с запросом ввода данных учетной записи или учетных данных для входа.

В прошлом для этой цели часто использовались неправильно написанные или вводящие в заблуждение доменные имена. Сегодня злоумышленники используют более изощренные методы, делая ссылки и поддельные страницы очень похожими на их легитимные аналоги.

Прочитайте больше

Информация, украденная у жертв, обычно используется для опустошения их банковских счетов или продается в Интернете.

Подобные атаки также могут быть выполнены с помощью телефонных звонков (вишинг) и SMS-сообщений (смишинг).

Спирфишинг

Более продвинутый метод фишинга, при котором кажущиеся подлинными фишинговые сообщения попадают в ящики входящих сообщений определенных групп, организаций или даже отдельных лиц. Авторы целевых фишинговых писем заранее проводят подробное исследование своих целей, что затрудняет идентификацию содержания как мошеннического.

Атаки, направленные на конкретных, в основном высокопоставленных представителей бизнеса, таких как топ-менеджеры или владельцы, обозначаются как «китобойный промысел» из-за размера потенциальной выгоды (плохие парни преследуют «крупную рыбу»).

Как распознать фишинг

Электронное письмо или электронное сообщение может содержать официальные логотипы или другие знаки уважаемой организации и по-прежнему исходить от фишеров. Ниже приведены несколько советов, которые помогут вам обнаружить фишинговое сообщение.

Прочитайте больше

  1. Обычные или неформальные приветствия. Если в сообщении отсутствует персонализация (например, «Уважаемый клиент») и формальность, то, вероятно, что-то не так. То же самое относится к псевдоперсонализации с использованием случайных поддельных ссылочных номеров.
  2. Запрос личной информации - часто используется фишерами, обычно избегается банками, финансовыми учреждениями и большинством онлайн-сервисов.
  3. Плохая грамматика - орфографические ошибки, опечатки и необычная формулировка часто указывают на подделку (но отсутствие любого из них не является доказательством легитимности)
  4. Неожиданная переписка. Незапрашиваемый контакт от банка или поставщика онлайн-услуг очень необычен и, следовательно, вызывает подозрения.
  5. Ощущение срочности - фишинговые сообщения часто пытаются побудить к быстрым и менее продуманным действиям.
  6. Предложение, от которого нельзя отказаться? - Если сообщение звучит слишком хорошо, чтобы быть правдой, почти наверняка это так.
  7. Подозрительный домен - действительно ли банк США или Германии отправляет электронное письмо с китайского домена?

Как защититься от фишинга

Чтобы избежать фишинговой приманки, помните о приведенных выше индикаторах, по которым фишинговые сообщения обычно выдают себя.

Следуйте этим простым шагам

  1. Помните о новых методах фишинга: следите за сообщениями в СМИ о фишинговых атаках, поскольку злоумышленники могут придумать новые методы заманивания пользователей в ловушку.
  2. Не разглашайте свои личные данные: всегда будьте начеку, если в электронном сообщении от, казалось бы, заслуживающего доверия лица запрашиваются ваши учетные данные или другие конфиденциальные данные. При необходимости проверьте содержимое сообщения у отправителя или организации, которую они, по-видимому, представляют (используя достоверные контактные данные, а не сведения, указанные в сообщении).
  3. Дважды подумайте, прежде чем нажимать: если в подозрительном сообщении есть ссылка или вложение, не нажимайте и не загружайте. Это может привести вас на вредоносный веб-сайт или заразить ваше устройство вредоносным ПО.
  4. Регулярно проверяйте свои учетные записи в Интернете. Даже если вы не подозреваете, что кто-то пытается украсть ваши учетные данные, проверяйте свои банковские и другие учетные записи в Интернете на предмет подозрительной активности. На всякий случай…
  5. Используйте надежное антифишинговое решение. Примените эти методы и «Наслаждайтесь более безопасными технологиями»

Вы можете узнать больше о фишинге здесь и здесь.

Известные примеры

Систематический фишинг начался в сети America Online (AOL) в 1995 году. Чтобы украсть учетные данные законных учетных записей, злоумышленники связывались с жертвами через AOL Instant Messenger (AIM), часто притворяясь сотрудниками AOL, проверяющими пароли пользователей. Термин «фишинг» появился в группе новостей Usenet, посвященной инструменту под названием AOHell, автоматизирующему этот метод, и название прижилось. После того, как AOL ввела контрмеры в 1997 году, злоумышленники осознали, что могут использовать ту же технику в других частях онлайн-сферы, и начали выдавать себя за финансовые учреждения.

Прочитайте больше

Одна из первых крупных, хотя и неудачных, попыток была предпринята в 2001 году, воспользовавшись хаосом террористических атак 11 сентября. Фишеры разослали электронные письма с просьбой к некоторым жертвам пройти проверку личности, пытаясь неправомерно использовать полученные данные для кражи финансовых данных из службы цифровой валюты e-gold.

Потребовалось всего три года, чтобы фишинг прочно закрепился в онлайн-мире, и к 2005 it already 2005 году он уже стоил пользователям США более 900 миллионов долларов США..

По данным глобального исследования фишинга APWG, в 2016 году было зафиксировано более 250 000 уникальных фишинговых атак с использованием рекордного количества злонамеренно зарегистрированных доменных имен, превысившего отметку в 95 000. В последние годы фишеры, как правило, сосредотачиваются на банковских, финансовых и денежных услугах, клиентах электронной коммерции, социальных сетях и учетных данных электронной почты.

ESET защищает вас от троянов

ESET Smart Security Premium

Непоколебимый страж вашей безопасности в Интернете

Скачать бесплатно

ESET Smart Security Premium

Непоколебимый страж вашей безопасности в Интернете

ESET Smart Security Premium

Высшая защита для пользователей, которым нужно все.
Ваш интернет-мир наконец в надежных руках.

Скачать бесплатно