Что такое фишинг?
Получали ли вы когда-либо электронное письмо, текст или другое электронное сообщение якобы от банка или другого популярного онлайн-сервиса, в котором вас просили «подтвердить» ваши учетные реквизиты, номер кредитной карты или другую конфиденциальную информацию? Если да, то вы уже знаете, как выглядит фишинг-атака. Цель данного вида мошенничества — получение ценных данных пользователей, которые могут быть проданы или использованы злоумышленниками для вредоносных целей, таких как вымогательство, похищение денег или кража личных данных.
Происхождение термина
Данная концепция была впервые описана в 1987 году Джерри Феликсом и Крисом Хауком в документе конференции под названием «Безопасность системы: взгляд хакера» (1987 Interex Proceedings 1:6). В документе описывалась техника злоумышленников, которая заключается в имитации надежного объекта или сервиса. Само слово является омофоном английского слова «fishing» (ловля) в отношении целевых объектов, поскольку используется та же логику «ловли на живца». «Ph-» («ф») в начале слова означает “phreaks” - группу хакеров, которые экспериментировали с телекоммуникационными системами и незаконно исследовали их границы в 1990-х годах.
Как осуществляется фишинг?
Фишинг существует на протяжении многих лет, и за это время злоумышленники разработали самые разнообразные методы атаки жертв.
Самый распространенный метод фишинга – выдать себя за банк или финансовое учреждение по электронной почте, чтобы жертва заполнила поддельную форму в самом электронном письме или в прикрепленном к нему файле либо посетила веб-страницу с запросом ввода реквизитов учетной записи или учетных данных для входа.
Раньше в этих целях киберпреступники часто использовали неправильно написанные или ложные доменные имена. Сегодня злоумышленники используют более изощренные методы, благодаря чему ссылки и поддельные страницы очень похожи на свои законные аналоги.
Подробнее
Похищенные данные жертв, как правило, используются для кражи средств с банковских счетов или продаются в Интернете.
Аналогичные атаки осуществляются также через телефонные звонки (вишинг) и SMS-сообщения (смишинг).
Целевой фишинг
Более продвинутый метод фишинга, при котором кажущиеся подлинными фишинговые сообщения попадают во входящую, почту определенных групп, организаций или даже отдельных лиц.
Авторы целевых фишинговых писем заранее хорошо изучают свою(и) жертву(ы), чтобы содержание письма вызывало как можно меньше подозрений.
Атаки, направленные на конкретных, в основном высокопоставленных представителей бизнеса, таких как топ-менеджеры или владельцы бизнеса, называются «уэйлингом» (англ. whaling – охота на китов) из-за возможной крупной суммы выкупа.
Как распознать фишинг
Электронное письмо или сообщение может содержать официальные логотипы или другие элементы авторитетной организации, отправляемые злоумышленниками. Вот несколько подсказок, которые помогут выявить фишинговое сообщение.
Подробнее
- Общие или неофициальные приветствия — письма без персонализации (например, «Уважаемый клиент») и формальностей, должны вызвать подозрения. То же самое касается псевдоперсонализации с использованием случайных, поддельных ссылочных номеров.
- Запрос личной информации – часто используется киберпреступниками, тогда как банки, финансовые учреждения и большинство онлайн-сервисов такие запросы направляют крайне редко.
- Грамматические ошибки – орфографические ошибки и опечатки, а также необычные фразы часто могут означать опасность (но отсутствие ошибок не является доказательством легитимности).
- Неожиданные сообщения – любой незапланированный контакт с банком должен вызывать подозрения.
- Срочность – фишинговые сообщения часто побуждают к быстрым и менее продуманным действиям.
- Предложение, от которого трудно отказаться – если содержание письма слишком хорошее, чтобы быть правдой, оно, вероятно, является фишинговым.
- Подозрительный домен – будет ли американский или немецкий банк отправлять письмо с китайского домена?
Как защититься от фишинга
Чтобы не попасться на удочку фишинг-мошенников, обращайте внимание на описанные выше признаки, с помощью которых можно выявить фишинговые сообщения.
Простые рекомендации
- Интересуйтесь новыми методами фишинга: читайте средства массовой информации, чтобы узнать новую информацию о фишинговых атаках, поскольку киберпреступники постоянно разрабатывают новые методы для выманивания данных пользователей.
- Не отправляйте учетные данные: будьте особенно внимательны, когда в электронном письме якобы надежная организация запрашивает ваши учетные или другие конфиденциальные данные. При необходимости свяжитесь с отправителем или организацией, которую они якобы представляют (используя достоверные контактные данные, а не сведения, указанные в сообщении).
- Не переходите по подозрительным ссылкам: если подозрительное сообщение содержит ссылку или вложение, не нажимайте на нее и не загружайте содержимое. В противном случае вы перейдете на вредоносный сайт или в ваше устройство проникнет вирус.
- Регулярно проверяйте свои учетные записи в Интернете: даже если у вас нет подозрений, что кто-то пытается украсть ваши учетные данные, проверяйте свои банковские и другие учетные записи в Интернете на предмет подозрительной активности. На всякий случай……
- Используйте надежное решение для защиты от фишинга. Соблюдайте данные рекомендации и обеспечьте свою цифровую безопасность.
Известные примеры
Систематические фишинг-атаки начались в сети AmericaOnline (AOL) в 1995 году. Чтобы похитить легитимные учетные данные, злоумышленники связывались с жертвами через AOL InstantMessenger (AIM), часто выдавая себя за сотрудников AOL, которые проверяют пароли пользователей. Термин «фишинг» появился в группе новостей Usenet, посвященной инструменту AOHell, который автоматизировал этот метод, а это название закрепилось. После того, как компания AOL в 1997 году ввела контрмеры, киберпреступники поняли, что могут использовать эту методику в других областях виртуального мира и начали выдавать себя за финансовые учреждения.
Подробнее
Одна из первых крупных, хотя и неудачных, попыток была осуществлена в 2001 году. Злоумышленники, воспользовавшись хаосом в результате террористических атак 11 сентября 2001 года, разослали электронные письма, в которых некоторых жертв просили пройти проверку личности для того, чтобы использовать полученные данные для кражи финансовых данных на сервисе цифровых валют e-gold.
Потребовалось всего три года, чтобы фишинг прочно закрепился в онлайн-мире, и уже к2005 году злоумышленники похитили у пользователей США более 900 миллионов долларов США.
Согласно Глобальному обзору фишинга APWG в 2016 году было зафиксировано более 250 тысяч уникальных фишинговых атак с использованием рекордного числа зарегистрированных злоумышленниками доменных имен (более 95 тысяч). В последние годы киберпреступники обратили свои взоры на банковские, финансовые и денежные услуги, пользователей систем электронной коммерции, социальных сетей, а также учетные данные электронной почты.
ESET обеспечит защиту от фишинга
Благодарим вас за загрузку ESET Smart Security Premium.
Загрузка продукта eset_smart_security_premium_live_installer.exe началась автоматически. Если загрузка не началась, нажмите здесь.
Наслаждайтесь безопасным Интернетом с ESET
