Что такое фишинг и как от него защититься

Содержание
  1. Что такое фишинг и как от него защититьс
  2. Что такое фишинг в интернете
  3. Виды фишинга
  4. Какую цель преследует такая угроза как фишинг
  5. Как защититься от фишинга
  6. Типы фишинговых атак и способы их идентификации
  7. Что такое фишинг? Массовые электронные письма
  8. Переход к конкретным целям
  9. Что такое фишинг-промысел?
  10. Что такое коммерческий электронный компромисс (BEC)? Притворяясь генеральным директором
  11. Что такое клон-фишинг? Атаки столь же эффективны?
  12. Что это такое? Фишинг по телефону
  13. Научитесь распознавать различные типы фишинга
  14. Без лоха жизнь плоха. Что такое фишинг и как не стать его жертвой
  15. Чем фишинг отличается от хакерства?
  16. Кто этим занимается?
  17. Популярные схемы обмана по телефону
  18. Популярные схемы обмана в интернете
  19. Как бороться с фишингом?
  20. Как не попасться на удочку – практические советы
  21. Фишинг
  22. Как используют фишинг для кражи данных
  23. Как защититься от фишинга
  24. Защита от фишинга в браузере
  25. Программы для защиты от фишинга
  26. Инвайты и фишинг
  27. Что такое фишинг атака, в чём её суть и как от неё защититься?
  28. В чём цель социального инженера?
  29. Как защититься от фишинг атак?
  30. [Перевод статьи] 7 базовых правил защиты от фишинга
  31. Фишинг в 2017 году: основные примеры фишинговых атак
  32. 1. Классический фишинг — фишинг подмены
  33. 2. Целенаправленная фишинговая атака
  34. 3. Фишинг против топ-менеджмента
  35. 4. Фишинг рассылки от Google и Dropbox
  36. 5. Фишинговые письма с прикрепленными файлами
  37. Что такое фарминг
  38. Защита от фишинга — основные правила
  39. Выводы

Что такое фишинг и как от него защититьс

Что такое фишинг и как от него защититься

Слово фишинг стало очень часто всплывать, но не многие знают его значение и уж тем более на что она способна. Рекомендуем до конца прочесть статью и держать нос по ветру.

Что такое фишинг в интернете

“>

Фишинг (phishing, придуманное слово от fishing «рыбная ловля, выуживание») – интернет мошенничество, цель которого выудить конфиденциальную информацию у интернет пользователя, а именно: логины, пароли, банковские счета, данные банковских карт.

Виды фишинга

Почтовый фишинг – почтовая рассылка сообщений с использованием технологий: вирусы, трояны, черви, психология человека. Чаще всего сообщение приходит от имени известных брендов, интернет магазинов, банков, государственных органов и тп.

Онлайновый фишинг – это качественная копирка какого-либо интернет-магазина или банка. Посетитель попадая на такую страницу зачастую даже не замечает, что оказался в сетях мошенника и без всяких сомнений вводит конфиденциальную информацию.

Комбинированный – сочетание двух вышеперечисленных комбинаций интернет мошенничества в фишинге. То есть по средствам рассылки сообщений на электронную почту, например, от банка, заманивают на дубликат сайта банка и выуживают всю необходимую информацию.

За последние годы фишинг шагнул далеко вперед и стал использовать еще вишинг (ой фишинг по средствам телефонии), смишинг (смс фишинг), фарминг (замена DNS адресов с целью переадресации на поддельный ресурс).

Какую цель преследует такая угроза как фишинг

Фишинг преследует всего одну единственную цель, выудить конфиденциальные данные для кражи денежных средств. Стоит вам оставить ваши данные на поддельном ресурсе, как за считанные секунды деньги покинут ваш банковский счет.

Интернет мошенники не останавливаются на отработанных схемах и постоянно придумывают новые, чтобы выудить информацию у пользователей. Это связано с тем, что люди быстро учатся и начинают распознавать фишинговые сайты и рассылки. Пример почтового фишинга.

Шума в сети интернет по поводу угрозы фишинга стало горячо обсуждаться и люди более насторожено стали открывать страницы интернет ресурсов.

Как защититься от фишинга

В первую очередь стоит обращать внимание на адреса посадочных страниц и электронной почты, с которого пришло письмо. Интернет мошенники стараются их замаскировать и сделать максимально похожими, чтобы у пользователя не возникли мысли, что он переходит на сайт мошенника, – это основополагающая цель фишинга.

Второй момент, адреса интернет-магазинов и банков практически во всех случаях имеют безопасное соединение HTTPS, а не HTTP. Кликнув мышкой в адресную строку вы увидите перед доменом сайта HTTPS и значок безопасного соединения в виде замка — это оригинал. Если этого нет — подделка, бегите с этого сайта. Ниже пример

Адрес настоящего сайта банка Адрес подделанного сайта банка

Рекомендуем установить антивирус Аваст или Касперского. В антивирусной защите этих разработчиков есть встроенная функция антифишинга с огромной базой фишинговых сайтов. Используя такую защиту вы с большой долей вероятности не попадетесь на уловки кибер-преступников.

 

Источник: https://spayte.livejournal.com/1654118.html

Типы фишинговых атак и способы их идентификации

Что такое фишинг и как от него защититься

Кажется, что каждое нарушение данных и онлайн-атака связаны с попыткой фишинга, чтобы украсть учетные данные и пароли, запустить мошеннические транзакции или обмануть кого-то в загрузке вредоносного ПО. Согласно статистике PhishMe, в начале 2016 года 93% фишинговых писем были нацелены на выкуп.

Предприятия регулярно напоминают пользователям остерегаться фишинговых атак, но многие пользователи не знают, как их распознать.

Одной из причин этого является тот факт, что эти атаки могут принимать различные формы.

«Фишинг-атаки бывают всех форм и размеров, предназначенные для определенных лиц в организации, которые имеют доступ к конфиденциальным данным», — говорит Шалабх Мохан из области 1 безопасности.

Пользователи, как правило, плохо разбираются в мошенничестве. Согласно отчету о кибербезопасности Verizon, злоумышленник, отправляющий 10 фишинговых писем, имеет 90-процентный шанс, что один человек поведется. Сначала это кажется абсурдным, но разумно, если рассматривать его в контексте пользователей за пределами технологического ядра, например, в сфере производства и образования.

Добавьте к тому факту, что не все фишинг-мошенники работают одинаково — некоторые из них высылают всем сообщения по электронной почте, в то время как другие тщательно обрабатывают жертву, чтобы ориентироваться на очень специфический тип человека, — и становится все труднее обучать пользователей распознавать странные сообщения.

Давайте рассмотрим различные типы фишинговых атак и способы их распознавания.

Что такое фишинг? Массовые электронные письма

Наиболее распространенной формой фишинга является общий, массовый почтовый тип, в котором кто-то отправляет электронное письмо, притворяясь кем-то другим, и пытается обмануть получателя в том, чтобы что-то сделать, обычно регистрируясь на веб-сайте или загружая вредоносное ПО. Атаки часто полагаются на подмену электронной почты, когда заголовок электронной почты — поле «from» — подделывается, чтобы сообщение появилось так, как будто оно было отправлено доверенным отправителем.

Тем не менее, фишинг-атаки не всегда выглядят как электронное уведомление о доставке UPS, предупреждающее сообщение от PayPal об истечении срока действия паролей или электронное письмо Office 365 о квотах на хранение. Некоторые атаки создаются специально для организаций и отдельных лиц, а другие используют методы, не использующие электронную почту.

Переход к конкретным целям

Фишинг-атаки получают свое название от того, как мошенники ловят случайных жертв, используя поддельные или мошеннические письма в качестве приманки.

Фишинг-атаки расширяются аналогично с промыслом, поскольку злоумышленники специально нацелены на жертв и организаций с высокой стоимостью.

Вместо того, чтобы пытаться получить банковские учетные данные 1000 клиентов, злоумышленник может сориентироваться на взлом несколько предприятий.

Фишинговые атаки чрезвычайно успешны, потому что злоумышленники тратят много времени на обработку информации, специфичной для получателя, например, ссылку на конференцию, которую получатель мог посетить или отправить вредоносное вложение, где имя файла ссылается на тему, которую интересует получателя.

В недавней фишинговой кампании Группа 74 (ака Sofact, APT28, Fancy Bear) нацелила профессионалов в области кибербезопасности электронной почты, притворяясь, что она связана с конференцией США по киберконфликтному конфликту, мероприятие, организованное Военной академии армии США, Cyber ​​Institute, NATO Cooperative Киберская военная академия и Центр совершенствования киберзащиты НАТО. Хотя CyCon — настоящая конференция — фактический документ, содержащий вредоносный макрос Visual Basic for Applications (VBA), который будет загружать и выполнять разведывательные вредоносные программы Seduploader.

Что такое фишинг-промысел?

Различные жертвы, разные зарплаты.

Фишинг-атака, специально нацеленная на руководителей высшего звена, называется китобойным промыслом, так как жертва считается высокоценной, а украденная информация будет более ценной, чем то, что может предложить обычный сотрудник.

Учетные данные учетной записи, принадлежащие генеральному директору, откроют больше дверей, чем данные сотрудника начального уровня. Цель состоит в том, чтобы украсть данные, информацию о сотрудниках и деньги.

Фишинговая атака также требует дополнительных исследований, потому что злоумышленник должен знать, с кем связана предполагаемая жертва, и обсуждения, которые жертва ведет.

Примеры включают ссылки на жалобы клиентов, повестки в суд.

Атакующие обычно начинают с социальной инженерии собирать информацию о жертве и компании перед созданием фишингового сообщения, которое будет использоваться в атаке.

Что такое коммерческий электронный компромисс (BEC)? Притворяясь генеральным директором

Помимо массовых распространенных фишинговых кампаний, преступники нацелены на ключевых лиц в отделах финансов и бухгалтерского учета посредством мошенничества с использованием бизнес-почты (BEC) и мошенничества с электронной почтой генерального директора. Выступая за финансовых сотрудников и руководителей, эти преступники пытаются обмануть жертв в инициировании денежных переводов на несанкционированные счета.

Как правило, злоумышленники компрометируют учетную запись электронной почты старшего исполнительного или финансового сотрудника, используя существующую инфекцию или используя фишинг-атаки. Нападающий скрывается и отслеживает активность электронной почты исполнительной власти в течение определенного периода времени, чтобы узнать о процессах и процедурах внутри компании.

Фактическая атака принимает форму ложного сообщения электронной почты, похожее на то, что оно исходило от учетной записи скомпрометированного исполнительного органа, отправляемой кому-то, кто является обычным получателем. Электронная почта кажется важной и срочной, и она просит, чтобы получатель отправил банковский перевод на внешний или незнакомый банковский счет. Деньги в конечном счете попадают на банковский счет атакующего.

Согласно сообщению Центра жалоб на интернет-преступность ФБР, мошенничество BEC привело к фактическим и попыткам потерь более 4,5 млрд. Долл. США, и они представляют собой серьезную глобальную проблему.

Что такое клон-фишинг? Атаки столь же эффективны?

Для клона фишинговых атак требуется, чтобы злоумышленник создал почти идентичную копию сообщения, чтобы обмануть жертву.

Письмо отправляется с адреса, соответствующего законному отправителю, и тело сообщения выглядит так же, как и предыдущее сообщение. Единственное различие заключается в том, что вложение или ссылка в сообщении были заменены вредоносным ПО.

Злоумышленник может сказать что-то вроде того, что нужно повторно отправить оригинал или обновленную версию документа.

Эта атака основана на ранее увиденном, законном сообщении, что делает его более вероятным, чтобы пользователи попали под атаку.

Злоумышленник, который уже заразил одного пользователя, может использовать эту технику против другого человека, который также получил клонированное сообщение.

В другом варианте злоумышленник может создать клонированный веб-сайт с поддельным доменом, чтобы обмануть жертву.

Что это такое? Фишинг по телефону

Vishing означает «ой фишинг» и делается с использованием телефона. Как правило, жертва получает вызов с ым сообщением, замаскированным под сообщение от финансового учреждения.

Например, в сообщение могут попросить получателя позвонить по номеру и ввести информацию об учетной записи, ПИН-код для обеспечения безопасности или в другие сведения.

Однако звонок может прослушивать злоумышленник через услугу передачи голоса по IP.

Научитесь распознавать различные типы фишинга

Пользователи плохо разбираются в фишинг-атаках, но разумный здравомыслящий пользователь может оценить риск нажатия на ссылку в письме, поскольку это может привести к загрузке вредоносных программ или последующим мошенническим сообщениям с просьбой о действии которая приведет к потерям денежных средств. Тем не менее, наивный пользователь может подумать, что ничего не произойдет.

Только самые опытные пользователи могут оценить потенциальный ущерб от кражи учетных данных и компрометации аккаунта.

Этот пробел в оценке рисков затрудняет понимание пользователями серьезности вредоносных сообщений.

«Несмотря на продолжающиеся инвестиции в блокировку фишинга, фишинг-письма продолжают обходить защиту доступа к почтовым ящикам сотрудников», — сказал Рохит Белани, соучредитель и генеральный директор PhishMe.

Организации должны рассматривать существующие внутренние информационные кампании и убедиться, что сотрудникам предоставляются инструменты для распознавания различных типов атак.

Организации также нуждаются в усилении защиты, поскольку некоторые из традиционных средств защиты электронной почты, такие как фильтры спама, недостаточно защищены от некоторых типов фишинга.

Например, спам-фильтры не полезны для BEC-атак.

Источник: https://www.itworld.com/article/3234716/phishing/types-of-phishing-attacks-and-how-to-identify-them.html

Источник: https://NovinkiIT.com/tipy-fishingovykh-atak-i-sposoby-ikh-identifikatsii/

Без лоха жизнь плоха. Что такое фишинг и как не стать его жертвой

Что такое фишинг и как от него защититься

Фишинг – это мошенничество, при котором у жертвы выманивают конфиденциальные данные, а затем с их помощью похищают деньги. Английское слово phishing – это искаженное fishing, «рыбная ловля». Мошенник ловит доверчивых людей на наживку в виде угроз или халявы. 

Очевидно, какую цель преследует такая угроза, как фишинг: получить чужие деньги без кражи карточек, подбора паролей и прочих технических сложностей.

Чтобы не стать жертвой фишинга, никогда не называйте никому свои логины и пароли. Не сообщайте данные банковских карт, не вводите их на незнакомых сайтах. Не верьте звонкам и сообщениям с незнакомых номеров, даже если на том конце представляются сотрудниками сотовой компании, банка или государственного учреждения.

Чем фишинг отличается от хакерства?

Хакеры – это компьютерные взломщики, которые крадут чужие данные. А фишинговые атаки строятся на социальной инженерии – человека заставляют самого раскрыть данные. Например, отдать мошенникам логин и пароль от интернет-банка.

Кто этим занимается?

Чтобы выманивать чужие данные и похищать деньги со счетов, «трудятся» целые мошеннические колл-центры, рассказывал в октябре 2018 года Центробанк. Таких центров сотни, и нередко они находятся в местах лишения свободы. Заключенным запрещено пользоваться мобильными телефонами, однако если надзиратели в доле, проблем с техникой не возникает.

Популярные схемы обмана по телефону

Мошенники присылают СМС, стремясь запугать человека. Несколько лет назад были популярны рассылки в духе «мама, я сбил на машине человека, пришли денег». Но вскоре даже самые доверчивые пенсионеры перестали реагировать на такие «разводки».

Теперь преступники чаще выдают себя за сотрудников банка. Например, присылают сообщение: «С вашей карты совершена покупка на сумму 10 000 рублей. Если вы не проводили эту операцию, свяжитесь со службой безопасности по телефону…».

Также сообщения могут имитировать подтверждение операций по переводу средств или сообщение о блокировке.

Никогда не отвечайте на эти сообщения и не перезванивайте! Если чего-то опасаетесь, позвоните в колл-центр своего банка по номеру, указанному на банковской карточке.

Пример фишингового сообщения от лица банка. В коротком номере нули замены на букву «О».

Мошенники звонят и пытаются выманить данные карточки в личном разговоре. Опять же, они могут выдавать себя за ваших близких, представляться сотрудниками сотовой компании, государственного учреждения или банка.

Звонок может начинаться с дежурной фразы: «Здравствуйте, как к вам можно обращаться?» И это уже выдает мошенников с головой – и банк, и сотовый оператор прекрасно знают ваше имя и им известно, как вас называть. Даже если к вам обращаются по имени, будьте внимательны – узнать имя и телефон не так трудно.

Далее в ход идут стандартные угрозы (блокировка карты, отмена операции) или обещания (мэрия предоставляет вам бесплатную путевку).

Главное в телефонном разговоре: Никогда не называйте данные своей банковской карты и коды подтверждения из СМС. Если вам звонят «из банка», вешайте трубку и перезванивайте в банк, чтобы уточнить информацию и пожаловаться на подозрительных людей.

Популярные схемы обмана в интернете

«Письма счастья». Злоумышленники присылают многообещающее, интригующее или угрожающее сообщение. Их главная задача – заставить получателя нажать на ссылку и попасть на вредоносный сайт. Эти рассылки могут имитировать сообщения от популярных сайтов или официальных органов.

Не открывайте письма и сообщения в соцсетях от незнакомых адресатов. Не скачивайте файлы. Не нажимайте на ссылки. Не вступайте в переписку.

Пример фишингового письма со ссылкой на мошеннический сайт. Скриншот: Wikimedia.

На сайтах объявлений мошенники особо активны. Если человек пытается продать какую-то вещь, ему наверняка позвонит «заинтересованный клиент» и пообещает перевести деньги на карточку. А для этого попросит назвать номер карты и код, написанный на обороте. Либо после получения номера карточки попросит озвучить код подтверждения, пришедший на телефон.

Никогда и никому не называйте код с обратной стороны карты, PIN-коды и СМС-коды подтверждения. Если кто-то хочет получить от вас эти данные – перед вами мошенник.

Фишинговые сайты – это сайты-клоны, поддельные страницы платежных сервисов и онлайн-магазинов. Если ввести там информацию своей карты, преступники снимут с нее деньги.

Пример сайта-клона. Скриншот drweb.ru

Пользуйтесь антивирусом – зараженный компьютер может перенаправлять вас на мошеннический сайт, когда вы набираете в строке браузера правильный адрес. Пользуйтесь проверенными сайтами и сверяйте адреса – не допущена ли опечатка? Убедитесь, что адрес платежного шлюза начинается с https – то есть данные передаются по защищенному протоколу.

Depositphotos

Как бороться с фишингом?

С фишингом сражаются и правоохранительные органы, и интернет-сообщество, и банки. Например, интернет-браузеры составляют списки подозрительных сайтов и информируют пользователя, если он зашел на фишинговую страницу.

А в России недавно был принят закон о блокировке подозрительных банковских переводов.

Когда с вашей карты хотят списать деньги и эта транзакция выглядит необычно, банк обязан связаться с вами и спросить – действительно ли вы хотите перевести деньги? Если подтвердите операцию, она будет выполнена.

Если нет – заблокирована. Если из банка до вас не смогут дозвониться в течение двух суток, «замороженную» транзакцию в итоге проведут.

Как не попасться на удочку – практические советы

Напоследок еще раз повторим важные правила. Научите им близких, особенно детей и пожилых родственников.

  • Берегите свои личные данные. Имя, адрес, номер телефона, паспортные данные не нужно называть никому ни по телефону, ни в интернете.
  • Никому не называйте свои логины и пароли, данные карточек. Особенно берегите PIN-коды, CVV или CVC-коды (три цифры на обратной стороне карточки) и коды подтверждения из СМС.
  • Проверяйте, с какого номера или адреса приходят оповещения. Проверяйте адреса сайтов, на которых вы собираетесь вводить свои данные.
  • Не верьте никому на слово. Всегда уточняйте имя и должность звонящего, а затем сами перезванивайте в банк или организацию по официальному номеру.
  • Если вы все-таки выдали кому-то секретные данные, то сразу же звоните в банк и блокируйте карточку.
  • Также можно установить лимит расходов по банковской карте. Если даже мошенники доберутся до вашего счета, они не смогут сразу вывести с него все деньги.
  • Пользуйтесь антивирусом. В противном случае вирус может начать направлять вас с реальных сайтов на сайты-клоны, где вы и оставите деньги мошенникам.

Источник: https://www.anews.com/p/102914848-bez-loha-zhizn-ploha-chto-takoe-fishing-i-kak-ne-stat-ego-zhertvoj/

Фишинг

Что такое фишинг и как от него защититься

Мы выпустили новую книгу «Контент-маркетинг в социальных сетях: Как засесть в голову подписчиков и влюбить их в свой бренд».

на рассылку и получи книгу в подарок!

Фишинг (от англ. fishing) – вид мошенничества в интернете, подразумевающим получение личных данных пользователя, таких как логины и пароли. Используется для получения доступа к счетам и личной информации.

Больше видео на нашем канале – изучайте интернет-маркетинг с SEMANTICA

Как используют фишинг для кражи данных

Фишинг – самый популярный вид мошенничества в интернете. С момента изобретения, год от года злоумышленники обманывают тысячи людей. Этот способ берёт не качеством, а количеством. Один на десять тысяч ведётся на уловку, и мошенники получают доступ к его счетам и файлам.

Обычно мошенники рассылают множество писем с заманчивыми предложениями, сообщениями о мнимом выигрыше или купонами от известных магазинов, с сообщениями о скидках и акциях. Часто в таких письмах прикрепляются поддельные ссылки на сайты. Цель таких писем – обманным путём заполучить личные данные, платежные реквизиты и т.д .

Самым ярким примером фишинга можно назвать акцию «миллионный посетитель». При переходе по такой ссылке вам предложат ввести свои личные данные, якобы для подтверждения получения вашего выигрыша.

В основном воруются такие данные:

  • Имя, никнейм, адрес проживания пользователя.
  • Пароли, логины от почты и социальных сетей.
  • Номера телефона, банковского счёта.
  • Данные банковской карточки, её номер, CCV-код, PIN-код.
  • Номер социальной страховки.

После получения данных, они используются мошенниками для оформления и взятия кредита на имя жертвы, снятие денег с банковской карты или использования в виде подставного счёта.

Как защититься от фишинга

Чтоб не стать жертвой мошенников необходимо вводить свои данные только на проверенных сайтах. Используйте расширения, защищающие пароли, и относитесь с опаской к заманчивым предложениям.

Рассмотрим правила, помогающие обнаружить поддельный сайт и избежать кражи ваших данных:

  • Во-первых, тщательно проверяйте сайты, на которых вы работаете, особенно это касается сайтов банковских систем. Они должны иметь домены .ru .com Если указано .zz .org – стоит насторожиться. Также фишинговый сайт может иметь искажение адреса, напримерs-google.com. На это тоже стоит обращать внимание.
  • Во-вторых, смотрите на дизайн сайта. Сайтам с устаревшим дизайном не следует доверять. Злоумышленники могут скопировать дизайн сайта, для присвоения данных для входа на него.
  • В-третьих, обращайте внимание на соединение с сайтом. В строке с адресом должно быть указан протокол HTTPS. Многие браузеры оснащены функцией предупреждения о небезопасных сайтах. Внимательно читайте их.
  • В-четвёртых, при оплате в интернет-магазинах проверяйте, что вас перенаправляет на официальный сайт вашего банка. В строке адреса появляется название организации и сведения о сайте.

Для защиты от фишинга достаточно установить антивирус. В них предусмотрено расширение, защищающее пароли по умолчанию. Антивирусы, имеющие встроенную web-защиту, автоматически блокируют нежелательные сайты.

Все популярные браузеры, имеют свою систему защиты, которая блокирует нежелательные сайты и сообщает пользователю, что велик риск кражи персональных данных.

Защита от фишинга в браузере

Рассмотрим на примере защиту от фишинга в Яндекс Браузере.

Этот браузер использует защиту паролей от фишинга, преобразуя его в отпечаток, так называемый хэш, и сохраняет в защищённой базе данных. Хэш представляет собой последовательность полученную после криптографического хэширования. Для примера слово «hello» будет выглядеть вот так: «2cf24dba50a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824»

Хэш нужен лишь для сравнивания отпечатков паролей, и сами пароли не хранит. Даже если злоумышленники украдут базу паролей, расшифровать хэш они не смогут и, следовательно, не получат доступа к вашим файлам.

Когда вы вводите пароль, он сравнивается с хэшем в базе, и если он совпадает с хэшем пароля от другого сайта, перед тем, как отправить пароль на сайт, браузер попросит подтвердить использование одного пароля на разных сайтах.

Для включения защиты от фишинга зайдите в настройки браузера и поставьте галочку в соответствующем поле.

У любого сайта можно проверить его состояние и настроить параметры защиты индивидуально. Для этого кликните правой кнопкой мыши в любой области сайта и нажмите «Просмотр сведений о странице», далее откроется окно, в котором будет показана безопасность соединения и меню выбора параметра защиты.

Программы для защиты от фишинга

Помимо встроенных утилит для защиты и шифрования могут быть использованы сторонние программы, защищающие ваши пароли.

Такими программами являются все антивирусы. Просто включите данную опцию в настройках вашего антивируса.

Инвайты и фишинг

Инвайты – это приглашения в интернете, необходимые для регистрации на закрытых ресурсах или скачивания файлов с ограниченным доступом.

Здесь тоже нужно быть осторожным. Мошенники, узнав, что вы запросили инвайт на закрытый ресурс, могут попытаться выслать вам поддельное приглашение на фишинговый сайт.

Для получения инвайт кода обращайтесь непосредственно к пользователям или администраторам сайта. Не соглашайтесь на покупку инвайтов со сторонних сайтов. При получении приглашения напишите администрации и узнайте, действительно ли код принадлежит этому сайту.

Источник: https://semantica.in/blog/fishing.html

Что такое фишинг атака, в чём её суть и как от неё защититься?

Что такое фишинг и как от него защититься

В одной из статей мы рассказывали что такое фишинг фейк страница, в данной же статье мы поговорим о фишинге в целом.

Еще в далеком 2008 году компания IBM опубликовала 70-страничный документ, не утративший своей актуальности до сегодняшнего дня: “Инструкция по фишингу: понимание и предотвращение фишинг атак». Большую часть данного материала, можно найти в интернете,  поискав в гугле по слову “фишинг». В данной статье я постараюсь дать небольшой обзор важных моментов, на которые следует обратить внимание.

Суть фишинга  (вишинга, вэйлинга и пр.) состоит в так называемой социальной инженерии и при этом целью фишинг-атаки является не компьютер, а человек, работающий на нём. Даже в случае если действия осуществляются по взлому программ, данные, необходимые злоумышленнику, извлекаются не из «мозгов» компьютера, а из мозга человека.

В чём цель социального инженера?

Цель «социального инженера» заключается в том, чтобы вынудить пользователя компьютера (планшета, смартфона и даже банкомата) по собственной воле произвести некое действие или поделится той информацией, которую нужно хранить в тайне. В этом плане их деятельность схожа с работой различных наперсточников, гадалок и других «воров на доверии» из оффлайн жизни.

Квинтэссенция питательной среды, на которой расцветает данный вид афер, отражена в названии книжки одного из столпов Web-дизайна, С.Круга: «Не заставляйте меня думать!».

Всевозможные технологические хитрости, предназначенные для того, чтобы упростить жизнь обычному пользователю и «сделать ему красиво», вместе с объективными недочетами разработчиков программного обеспечения и дизайнеров оставляют большое количество лазеек для злоумышленников, что позволяет им достичь своей цели и постоянно улучшаться в способах ее достижения. При этом наблюдается постоянный рост трудности таких атак и тенденция к переходу от «стрельбы по площадям» к целевым атакам за счет применения данных, полученных из соц. сетей.

Как защититься от фишинг атак?

Для того чтобы уменьшить вероятность попадания на фишинг удочку, следует помнить старенькую поговорку: на заборе много чего пишут, а за ним дрова лежат. Любое предложение о предоставлении важной информации следует внимательно и тщательно проверять, не забывая о том, что бесплатный сыр бывает лишь в мышеловке.

  • В первую очередь нужно постоянно быть уверенным в том, с кем вы общаетесь в сети. По возможности проверять полученную информацию по другому каналу связи. Понимать, что в нашей реальной онлайн жизни практически никогда нет никакой реальной срочности в том, чтобы сделать что-то прямо сейчас и здесь, как вас стараются заставить.
  • Будьте внимательны при получении сообщений электронной почты от незнакомых отправителей и сообщений требующих, а иногда просящих перейти по внешней гиперссылке.
  • Заведите себе привычку постоянно проверять через адресную строку в вашем браузере на том ли веб-сайте вы вводите свой пароль (обычно подделывается и доменное имя. т.е. оно очень похоже на свой оригинал, отличие может быть только в одной букве, к примеру microsoft.com может превратиться в maicrosoft.com)
  • Используйте последние версии браузеров и лицензионного антивирусного ПО
  • Следите за тем, что бы при входе на веб-сайты банков было установлено особое защищенное интернет соединение https
  • В случае если у вас есть сомнение, и вы думаете что вы подверглись фишинг атаке, обязательно и незамедлительно поменяйте пароль вашего аккаунта и обратитесь в службу безопасности банка или другой организации данные от которой получили фишинг мошенники.
  • Но самое главное что нужно держать в голове и помнить всегда: ваш ПАРОЛЬ – ТОЛЬКО ВАШ, ни одна фирма, организация или интернет сайт не будут спрашивать у вас вашего пароля. Пароль необходим вам исключительно для получения доступа к определенному сервису и знать его должны лишь вы.

Хоть интернет и виртуален, но он на столько сильно проник в нашу с вами жизнь, что вред от фишинг атаки может быть вполне материальным, будьте осторожнее!

Источник: http://www.spy-soft.net/chto-takoe-fishing-v-chyom-ego-sut-i-kak-ot-nego-zashhititsya/

[Перевод статьи] 7 базовых правил защиты от фишинга

Что такое фишинг и как от него защититься

О том, что такое фишинг известно давно. Первые фишинговые атаки были зафиксированы вскоре после появления всемирной паутины. Но несмотря на то, что специалисты по ИБ создают все более совершенные способы защиты от фишинга, новые фишинговые сайты продолжают появляться ежедневно.

Согласно данным некоторых исследований, в 2016 году ежедневно создавалось около 5000 фишинг сайтов. В 2017 эта цифра будет еще больше.

Секрет жизнестойкости этого вида мошенничества в том, что он опирается не на “дыры” в программном обеспечении, а на уязвимость в человеческой сущности, у которой есть доступ к важным данным.

Поэтому нелишним будет в очередной раз напомнить, что такое фишинг, каковы самые распространенные виды фишинговых атак, а также способы противодействия им.

Фишинг в 2017 году: основные примеры фишинговых атак

Фишинг — это вид интернет-мошенничества, построенный на принципах социальной инженерии.

цель фишинга — получить доступ к критически важным данным (например, паспортным), учетным записям, банковским реквизитам, закрытой служебной информации, чтобы использовать их в дальнейшем для кражи денежных средств.

Работает фишинг через перенаправление пользователей на поддельные сетевые ресурсы, являющиеся полной имитацией настоящих.

1. Классический фишинг — фишинг подмены

К этой категории можно отнести большую часть всех фишинговых атак.

Злоумышленники рассылают электронные письма от имени реально существующей компании с целью завладеть учетными данными пользователей и получить контроль над их личными или служебными аккаунтами.

Вы можете получить фишинговое письмо от имени платежной системы или банка, службы доставки, интернет-магазина, социальной сети, налоговой и т.д.

Фишинговые письма создают с большой скрупулезностью. Они практически ничем не отличаются от тех писем, которые пользователь регулярно получает в рассылках от настоящей компании.

Единственное, что может насторожить — просьба перейти по ссылке для выполнения какого-либо действия.

Переход этот, однако, ведет на сайт мошенников, являющийся “близнецом” страницы сайта банка, социальной сети или другого легального ресурса.

Побудительным мотивом для перехода по ссылке в подобных письмах может выступать как “пряник” (”Вы можете получить 70% скидку на услуги, если зарегистрируетесь в течение суток”), так и “кнут” (”Ваша учетная запись заблокирована в связи с подозрительной активностью. Чтобы подтвердить, что вы владелец аккаунта, перейдите по ссылке”).

Приведем список самых популярных уловок мошенников:

  • Тактика запугивания пользователя может быть очень эффективной. Угроза того, что аккаунт был или в ближайшее время будет заблокирован, если пользователь сейчас же не зайдет в учетную запись, заставляет тут же потерять бдительность, перейти по ссылке в письме и ввести свой логин и пароль.

  • В таком письме пользователя просят срочно войти в учетную запись и обновить настройки безопасности. Действует тот же принцип, что и в предыдущем пункте. Пользователь паникует и забывает о бдительности.

  • Чаще всего такие письма присылают от имени финансовых организаций. Пользователи склонны верить правдивости писем, поскольку финансовые организации действительно не пересылают конфиденциальную информацию по электронной почте.

  • Такие письма входят в тренд, как только близится время платить налоги. Темы писем могут быть самыми разными: уведомление о задолженности, просьба выслать недостающий документ, уведомление о праве на получение возврата налога, и т.д.

2. Целенаправленная фишинговая атака

Не всегда фишинг бьет наудачу — часто атаки являются персонифицированными, целенаправленными. Цель та же — заставить пользователя перейти на фишинговый сайт и оставить свои учетные данные.

Естественно, у будущей жертвы больше доверия вызовет письмо, в котором к ней обращаются по имени, упоминают место работы, должность, занимаемую в компании, еще какие-либо индивидуальные данные.

Причем информацию для направленных фишинговых атак люди чаще всего предоставляют сами.

Особенно “урожайны” для преступников такие ресурсы как всем известная LinkedIn — создавая резюме в расчете на потенциальных работодателей, каждый старается указать побольше сведений о себе.

Для предупреждения подобных ситуаций организациям следует постоянно напоминать сотрудникам о нежелательности размещения личной и служебной информации в открытом доступе.

3. Фишинг против топ-менеджмента

Особый интерес для мошенников представляют учетные данные руководства.

Как правило, специалисты по безопасности любой фирмы внедряют четкую систему допусков и уровней ответственности, в зависимости от должности работника. Так, менеджер по продажам имеет доступ к базе данных продукции, а список сотрудников компании для него — запретная зона.

HR-специалист, в свою очередь, полностью в курсе, какие вакансии кем заняты, какие только что освободились, кто достоин повышения, но понятия не имеет о номерах и состоянии банковских счетов родной фирмы.

Руководитель же обычно сосредотачивает в своих руках доступ ко всем критически важным узлам жизни предприятия или организации.

Получив доступ к учетной записи главы компании, специалисты по фишингу идут дальше и используют ее для коммуникации с другими отделами предприятия, например, одобряют мошеннические банковские переводы в финансовые учреждения по своему выбору.

Несмотря на высокий уровень допуска, менеджеры высшего звена не всегда участвуют в программах обучения персонала основам информационной безопасности. Вот почему, когда фишинговая атака направлена против них, это может привести к особенно тяжелым последствиям для компании.

4. Фишинг рассылки от Google и Dropbox

Сравнительно недавно в фишинге появилось новое направление — охота за логинами и паролями для входа в облачные хранилища данных.

В облачном сервисе Dropbox и на Google Диске пользователи, как личные так и корпоративные, хранят множество конфиденциальной информации. Это презентации, таблицы и документы (служебные), резервные копии данных с локальных компьютеров, личные фотографии и пароли к другим сервисам.

Неудивительно, что получить доступ к учетным записям на этих ресурсах — заманчивая перспектива для злоумышленников. Для достижения этой цели используют стандартный подход. Создается фишинговый сайт, полностью имитирующий страницу входа в аккаунт на том или ином сервисе. Потенциальных жертв на него в большинстве случаев перенаправляет фишинговая ссылка в электронном письме.

5. Фишинговые письма с прикрепленными файлами

Ссылка на подозрительный сайт с целью украсть данные пользователя — не самое страшное, на что способен фишинг.

Ведь в этом случае преступники получат доступ лишь к определенной части конфиденциальной информации — логину, паролю, т.е к аккаунту в определенном сервисе.

Гораздо хуже, когда фишинг-атака приводит к компрометации всего компьютера жертвы вредоносным программным обеспечением: вирусом-шифровальщиком, шпионом, трояном.

Такие вирусы могут содержаться во вложениях к письмам. Предполагая, что письмо пришло от доверенного источника, пользователи охотно скачивают такие файлы и заражают свои компьютеры, планшеты и лэптопы.

Что такое фарминг

Классический фишинг со ссылками на сомнительные ресурсы постепенно становится менее эффективным. Опытные пользователи веб-сервисов обычно уже осведомлены об опасности, которую может нести ссылка на подозрительный сайт и проявляют осмотрительность, получив странное письмо или уведомление. Заманить жертву в свои сети становится все труднее.

В качестве ответа на снижение результативности традиционных атак злоумышленниками был придуман фарминг — скрытое перенаправление на мошеннические сайты.

Суть фарминга состоит в том, что на первом этапе в компьютер жертвы тем или иным образом внедряется троянская программа. Она зачастую не распознается антивирусами, ничем себя не проявляет и ждет своего часа.

Вредонос активируется лишь тогда, когда пользователь самостоятельно, без всякого внешнего воздействия, решает зайти на интересующую преступников страницу в интернете. Чаще всего это сервисы онлайн-банкинга, платежные системы и прочие ресурсы, осуществляющие денежные транзакции.

Здесь-то и происходит процесс подмены: вместо проверенного, часто посещаемого сайта хозяин зараженного компьютера попадает на фишинговый, где, ничего не подозревая, указывает нужные хакерам данные.

Делается это с помощью изменения кэша DNS на локальном компьютере или сетевом оборудовании. Такой вид мошенничества особенно опасен из-за трудности его обнаружения.

Защита от фишинга — основные правила

  1. Обязательно проверить URL-адрес, по которому рекомендуется перейти, на наличие незначительных ошибок в написании.
  2. Использовать лишь безопасные https-соединения. Отсутствие всего одной буквы “s” в адресе сайта обязано насторожить.
  3. С подозрением относиться к любым письмам с вложениями и ссылками.

    Даже если они пришли со знакомого адреса, это не дает гарантии безопасности: он мог быть взломан.

  4. Получив неожиданное подозрительное сообщение, стоит связаться с отправителем каким-либо альтернативным способом и уточнить, он ли его послал.

  5. Если все же необходимо посетить ресурс, лучше ввести его адрес вручную или воспользоваться ранее сохраненными закладками (увы, от фарминга это не убережет).
  6. Не использовать для доступа к онлайн-банкингу и другим финансовым сервисам открытые Wi-Fi сети: часто их создают злоумышленники.

    Даже если это не так, подключиться к незащищенному соединению не составляет сложности для хакеров.

  7. На всех аккаунтах, где это возможно, подключить двухфакторную аутентификацию. Эта мера может спасти положение, если основной пароль стал известен взломщикам.

Выводы

Полностью уничтожить фишинг в обозримом будущем вряд ли получится: человеческая лень, доверчивость и жадность тому виной.

Ежедневно происходят тысячи фишинговых атак, которые могут принимать самые разнообразные формы:

  • Классический фишинг. Фишинговые письма, отправленные от имени известных действительно существующих компаний, которые практически неотличимы от писем, которые пользователи обычно получают от этих компаний. Единственное отличие может заключаться в просьбе проследовать по ссылке, чтобы выполнить какое-то действие.
  • Целенаправленная фишинговая атака. Персонализированные фишинговые письма, направленные на конкретного человека. Такие письма содержат имя, должность потенциальной жертвы, а также любые другие личные данные.
  • Фишинг против топ-менеджмента. Фишинг-письма нацеленные на получение доступа к учетной записи главы компании, генерального директора, технического директора и т.д. После получения доступа к таким учетным записям специалисты по фишингу могут продолжать использовать их для связи с другими отделами, например, подтверждать мошеннические банковские переводы любому финансовому учреждению по своему выбору.
  • Фишинг рассылки от Google и Dropbox. Относительно новое направление фишинговых атак, целью которых являются имена пользователей и пароли для входа в облачные хранилища данных.
  • Фишинговые письма с прикрепленными файлами. Фишинг-письма с вложениями, содержащими вирусы.
  • Фарминг. Скрытая переадресация на мошеннический сайт, выполненный с помощью изменения кэша DNS на локальном компьютере или сетевом оборудовании.

Только наличие своевременной и наиболее полной информации о методах хакеров, а также здоровая подозрительность по отношению к необычным, неожиданным сообщениям и предложениям, позволят существенно снизить ущерб от этого вида интернет-мошенничества.

Потому обязательно ознакомьтесь с правилами защиты от фишинга. И прежде всего никому не передавайте свои пароли, заведите привычку всегда вбивать адреса нужных сайтов вручную или пользоваться закладками в браузере, будьте особенно внимательны к ссылкам в письмах.

Источник — блог компании Protectimus Solutions LLP

Источник: https://habr.com/post/344066/

ФОП-Юрист
Добавить комментарий