Перейти до вмісту
Навіть якщо ви не дуже цікавитеся кібербезпекою та не особливо розбираєтеся в техніці, ви, напевно, чули про термін «фішинг». Але чи знаєте ви, як це працює та якими є найпоширеніші форми фішингу?
За оцінками, щодня розсилається близько 15 мільярдів спаму. Більше непокоїть те, що в середньому один з кожних 99 електронних листів є фішинговою атакою, тобто загальний рівень атак становить трохи більше 1%.
І, до того ж, близько 90% усіх зломів відбувається через фішинг. Усі ці цифри говорять про те, наскільки важливо знати, як працює фішинг і які найкращі методи захисту від нього.
На цій сторінці ми розглянемо різні форми фішингу, відмінності між ними та поділимося з вами прикладами фішингових електронних листів, щоб допомогти вам зрозуміти все, що вам потрібно знати про цю загрозу кібербезпеці.
Зміст
Вейлінг vs фішинг vs цільовий фішинг
Що означає фішинг?
Першим кроком у захисті від фішингу є розуміння того, що це таке та як він працює. Отже, що означає фішинг і як нйого уникнути? Простими словами, фішинг — це форма кібератаки за допомогою соціальної інженерії, яку зловмисники використовують для викрадення ваших особистих даних.
По суті, фішинг є дуже простою формою атаки. Він обертається навколо обману цільової жертви, видаючи себе за надійне джерело. Довіряючи відправнику, жертва несвідомо заражає свій пристрій зловмисним програмним забезпеченням, заморожує систему або ділиться конфіденційною інформацією, яку вона не хоітла б розкривати незнайомцям.
Залежно від серйозності фішингової атаки жертва може мати дуже серйозні наслідки. Користувач може стати жертвою крадіжки особистих даних або втратити всі свої гроші. Коли справа доходить до особистостей, будь-хто може стати жертвою такої атаки. Крім того, фішинг зачіпає не лише окремих людей. Це також поширене явище в бізнесі.
Приклад фішингової атаки
Що таке е-мейл фішинг?
Більшість фішингових атак здійснюються через електронні листи, тому важливо виділити цей метод, щоб допомогти вам його розпізнати. Процес досить простий. Технології фішингу електронної пошти включають зловмисників, які реєструють фейкові домени та створюють фейкові акаунти, схожі на ті, що надходять із законних джерел.
Наприклад, ви можете отримати електронний лист, який видає себе за агента служби підтримки вашого банку або представника, який закликає змінити пароль, натиснути посилання, щоб заповнити певну інформацію, або просто завантажити деякі вкладення з останніми оновленнями.
Багато людей, які нічого не підозрюють, вважають, що взаємодія з ним безпечна лише тому, що електронний лист надійшов із розпізнаваної адреси. Однак, щоб уникнути фішингу через посилання електронної пошти чи вкладення, завжди ретельно перевіряйте адресу електронної пошти відправника та переконайтеся, що електронний лист справжній.
Хоча цей приклад фішингу є найпоширенішим з тих, що впливають на користувачів онлайн, є багато інших видів фішингу, про які вам слід знати. Щоб допомогти вам розпізнати інші поширені види фішингу, давайте швидко окреслимо їх:
- Smishing - ця форма фішингу замінює спілкування електронною поштою SMS. Він полягає в тому, що кібер-зловмисники надсилають жертві подібне повідомлення з посиланням або вкладенням, спонукаючи їх натиснути вміст SMS.
- Vishing— як і попередня форма фішингу, це включає націлювання на телефон жертви, але цього разу через голосове повідомлення. Зловмисники залишають голосові повідомлення, намагаючись спонукати жертву розкрити цінну особисту чи фінансову інформацію
- Angler Phishing - цей фішинг стає все більш поширеним у сучасну еру соціальних мереж. Зловмисники маскуються під представників компанії або агентів служби підтримки клієнтів, щоб отримати особисту інформацію, облікові дані або інші дані інших користувачів соціальних мереж
Що таке цільовий фішинг?
Цільовий фішинг (spear phishing) — це більш складний тип фішингу. На відміну від звичайного фішингу, який зазвичай закидає ширшу мережу в надії захопити жертву, фішинг є набагато цілеспрямованішим. Отже, у контексті цільового фішингу проти звичайного фішингу, останній більше зосереджується на кількості. У той час як фішингові атаки часто взаємодіють з тисячами одержувачів, цільові атаки не використовуються масово.
Натомість метою цільових фішингових атак є ви як окрема особа. Перш ніж надіслати вам фішинговий електронний лист, зловмисники використовують соціальну інженерію, намагаючись викопати якомога більше інформації про вас, щоб створити враження, що вони вас знають.
Зважаючи на це, фішингові атаки найчастіше спрямовані на дуже конкретну мету. Найчастіше вони представляють себе як людину з вашого бізнесу чи особистого життя, просять надіслати їм гроші та надсилають начебто справжні інструкції з підключення.
Вейлінг vs Цільовий фішинг vs Фішинг
Крім фішингу, існує ще більш цілеспрямований тип атаки, який називається вейлінгом. Ця форма фішингу спрямована лише на генеральних директорів і співробітників високого рівня в корпоративному світі. Вейлінг-атаки часто вимагають від зловмисників ретельного дослідження та підготовки, щоб налаштувати фішинговий електронний лист, який матиме найкращі шанси на успіх.
Коротше кажучи, вейлінгові атаки працюють так само, як і звичайні фішингові, лише з більш конкретним приводом. Наприклад, кібер-зловмисники видають себе за керівника або колегу працівника та зазвичай просять про послугу або надають їм якусь можливість, яка спонукає їх взаємодіяти зі шкідливим електронним листом.
Приклади фішингових атак
Оскільки фішинг є найпоширенішою загрозою безпеці в онлайн-світі, існує незліченна кількість прикладів фішингових атак. Настільки, що навіть деякі з найбільших компаній у світі не є несприйнятливими до таких загроз. Маючи це на увазі, ми хочемо поділитися двома добре відомими фішинговими атаками, які відбулися за останні кілька років.
Тільки цього року відбулася атака на облікові записи Microsoft 365 на основі тактики AITM (Adversary-in-the-Middle). Атака була настільки цілеспрямованою, що спрацювала навіть на облікових записах електронної пошти користувачів, у яких було ввімкнено двофакторну верифікацію.
Приклад фішингової атаки
Але це була далеко не єдина успішна велика фішинг-атака у 2022 році. Відома американська компанія Cloudflare також зазнала фішингової атаки, коли її співробітників обманом змусили ввести їхні робочі облікові дані на фішинговому сайті. Менш ніж за одну хвилину принаймні 76 співробітників Cloudflare отримали фішингове повідомлення, і багато з них стали жертвами шахрайства.
Приклад фішингової атаки
Як зупинити фішингову атаку?
Зупинити фішингову атаку складно, оскільки більшість людей помічають, що відбувається, лише коли стає надто пізно. Але є деякі методи запобігання, які можна використовувати, щоб не стати жертвою фішингової атаки. Ось чотири найкращі поради щодо запобігання фішингу:
- Завжди перевіряйте, перш ніж натискати - ця проста порада дуже допоможе вам уникнути фішингу. Завжди подумайте, перш ніж натискати посилання чи вкладення, і уникайте натискання того, у чому ви не впевнені на 100%.
- Зберігайте свою інформацію конфіденційною - не розкривайте свою особисту інформацію,без зайвої необхідності. Навіть якщо ви хочете ввійти або купити щось онлайн, не робіть це за допомогою електронної пошти чи SMS-посилань Перейдіть безпосередньо на сайт джерела.
- Підтримуйте все в актуальному стані - стандартні веб-переглядачі та антивірусні програми регулярно випускають виправлення для усунення нових ризиків безпеці, тому переконайтеся, що не відкладаєте оновлення, коли з’являється запит.
- Використовуйте ключ безпеки - ключі безпеки, які відповідають стандартам FIDO U2F/FIDO2, можливо, найкращий спосіб захистити себе від фішингу. Вони автоматично розпізнають справжній домен і усувають потребу вручну вводити паролі.
Надійний захист від фішингу
У 2017 році Google запровадив нову вимогу, яка повністю нейтралізувала фішингові атаки на її співробітників. Маючи близько 140 000 співробітників, Google не зазнавала жодної фішингової атаки з 2017 року. Це може здатися логістичним дивом, але насправді це було реалізовано одним простим налаштуванням.
У 2017 році всі співробітники Google повинні були припинити використовувати паролі для входу. Навіть використання одноразових кодів було заборонено. Натомість кожен працівник Google мав почати використовувати фізичні ключі безпеки для доступу до своїх облікових записів.
Представник Google сказав, що ключі безпеки тепер є основою для доступу до всіх облікових записів у Google.«У нас не було повідомлень або підтверджених захоплень облікових записів після впровадження ключів безпеки в Google», сказав речник Google.
Звичайно, ці переваги та функції безпеки доступні не лише для великих технологічних компаній і організацій із величезними бюджетами. Кожен може отримати антифішингове програмне забезпечення безкоштовно або за мінімальною ціною та захистити себе від небезпеки фішингових атак.
У Hideez ми створили недорогий універсальний ключ безпеки, який достатньо міцний і надійний для захисту від різних атак. Наш Hideez Key 4 може захистити вас від фішингових атак, атак "посередника", спуфінгу та будь-яких інших типів загроз, пов’язаних із паролями.
Найкраще те, що це не б'є по кишені, адже це доступне рішення для малого бізнесу та окремих користувачів. Всього за 49 доларів США ви отримаєте повне рішення безпеки, що поєднує апаратні та програмні компоненти. Це включає апаратний менеджер паролів із функцією автозаповнення, надійний генератор паролів, ключ безпеки, що підтримує стандарти FIDO/U2F, і брелок RFID.
Усвідомлюючи кількість кібербезпекових загроз, які існують у сучасному ландшафті, ви не повинні залишати свою безпеку напризволяще. Зв’яжіться з нами зараз, щоб отримати безкоштовну пробну версію для підприємств!
.
