Internetové hacky: Vysvetlenie phishingu a spearphishingu

Phishing, výrazný rybolov, je technika sociálneho inžinierstva navrhnutá tak, aby ukradla heslá, údaje o kreditných kartách a ďalšie citlivé informácie. Konečným cieľom je využiť tieto poverenia na získanie prístupu k ešte väčším informáciám, ako sú sociálne médiá a bankové účty.

Útok typu phishing sa môže uskutočniť prostredníctvom e-mailu, telefónu alebo textovej správy a zvyčajne obsahuje odkaz na stránku kontrolovanú útočníkmi, ktorá vás vyzve, aby ste zadali svoje prihlasovacie údaje. E-mail môže byť navrhnutý tak, aby vyzeral napríklad ako obyčajný e-mail Dropbox alebo Facebook a odkazoval sa na falošný web, ktorý vyzerá presne ako Dropbox alebo Facebook. Nájdete tu veľa príkladov.

Facebook Phishing a ďalšie útoky

E-maily na neoprávnené získavanie údajov (phishing) často obsahujú nevinný znejúci obsah, napríklad „niekto, kto sa o vás zmienil na Facebooku“ alebo „Zdieľam s vami dokument v Dropboxe.“ Útočník očakáva, že kliknete na tieto odkazy bez overenia ich pravosti a potom zadáte svoje poverenia. Webové stránky phishingu vás potom často presmerujú späť na prihlasovaciu stránku skutočného webu, kde budete požiadaní o opätovné zadanie poverení, tentoraz legitímne. Keď ste teraz prihlásení na aktuálnu webovú stránku, dúfame, že všetky podozrenia zmiznú.

Útočník medzitým zhromaždil a uložil vaše používateľské meno a heslo a môže ich ľubovoľne používať. Ak získali prístup k vášmu e-mailovému účtu, môžu si vynulovať heslo každého účtu prepojeného s vašou e-mailovou adresou a potom ich aj ovládať.

Horšie je, že informácie nachádzajúce sa vo vašej e-mailovej schránke môžu útočníkovi umožniť naplánovať najlepší čas, ktorý má nasledovať po vašich finančných účtoch, napríklad počas choroby alebo dlhého letu..

Falošné adresy a phishingové e-maily

Útočníci používajú najmä dva technologické triky na úspešné phishing ľudí – spoofing e-mailov alebo telefonické hovory; všetko ostatné sa točí okolo používania dobrého načasovania, dôveryhodného jazyka a vynikajúceho dizajnu.

E-mailové adresy a telefónne čísla sa dajú veľmi ľahko spoof, takže sa nemôžete spoľahnúť na e-mailovú adresu, ktorá tvrdí, že pochádza zo stránky [email protected], aby ju Facebook skutočne odoslal. Mnoho e-mailových služieb skontroluje kryptografické podpisy, ktoré dokazujú, že e-mail bol odoslaný z konkrétnej domény, ale tieto podpisy stále nie sú štandardné na celom webe, takže ich neprítomnosť nie je dôkazom falošnej správy..

Podobne by sa na váš telefón mohol dostať hovor zo známeho čísla, napríklad z vašej banky. Neexistuje však dôkaz, že toto volanie pochádza z tohto čísla. Ak máte pochybnosti o falošnom čísle alebo e-mailovej adrese, napíšte alebo zavolajte späť a počkajte na odpoveď.

Falošné adresy URL a webové stránky, ktoré neoprávnene získavajú údaje

Útočníci okrem falošných e-mailových adries zaregistrujú aj adresy URL, ktoré napodobňujú adresy legitímnych stránok. Často to robia tak, že mierne nahradia poradie listov, napríklad goolge.com. Ďalšou taktikou je registrácia domén, ktoré nevinne vyzerajú, a používanie domén s legitímnou pôsobivosťou ako subdomén, napríklad facebook.com.importantsecurityreview.co..

Keďže je útočník skutočne vlastníkom týchto subdomén, môže zaň získať bezpečnostný certifikát HTTPS, vďaka čomu sa stránka javí ako legitímna..

Útočníci budú loviť vaše dáta.

Rozdiel medzi phishingom a spearphishingom

Spearphishing je phishingový útok zameraný najmä na vás, a nie na šírenie ako spam na ľubovoľnú e-mailovú adresu, ktorú môžu nájsť. Tieto phishingové útoky sa ukázali byť obzvlášť plodné, pretože e-maily môžu byť osobne nasmerované a prispôsobené konkrétnemu kontextu alebo často zapadajú do väčšieho sofistikovaného útoku..

Ak chcete použiť rybársku analógiu: namiesto toho, aby ste vyhodili svoju návnadu do oceánu a čakali, kým sa ryby uštipnú, kopije presne okolo jednej ryby a individuálne na ňu útočí..

Napríklad, ak ste na voľnej nohe, môžete nájsť svoju službu v doručenej pošte. Môže vás potom požiadať o odovzdanie referenčných listov do priečinka Dropbox a namiesto priameho prepojenia s týmto priečinkom budete presmerovaní na phishingovú stránku. Po zadaní hesla na phishingovom serveri môžete byť presmerovaní do skutočného priečinka Dropbox a nikdy nebudete mať podozrenie na akékoľvek nesprávne hranie..

Útoky typu Spearphishing sú veľmi časté vo veľkých organizáciách, v ktorých sa zločinecké podniky, konkurenti a vlády môžu zameriavať na zamestnancov, ktorí sa často nachádzajú na LinkedIn, aby zhromažďovali informácie o organizácii a našli slabé miesta v sieti..

Spozorovanie ochrany pred útokmi a phishingom

Dvojfaktorové overenie môže poskytnúť ochranu pred niektorými phishingovými útokmi, pretože útočníkovi sťažuje opakovaný prístup k vášmu účtu. Prepracované phishingové útoky nielenže uložia vaše poverenia, ale súčasne sa prihlásia na váš účet. Útočník tak môže okamžite zistiť, či zhromaždené poverenia fungujú, a ak nie, opýtajte sa znova na heslo.

Ak útočníci narazia na captcha alebo na dvojfaktorové overenie, požiadajú vás o zadanie kódu do okna na svojej falošnej stránke a potom ho použijú na prihlásenie do svojho skutočného účtu..

Facebook a niektoré ďalšie spoločnosti vám umožňujú nahrať váš PGP kľúč na ich servery. Po dokončení tohto procesu budú všetky e-maily, ktoré dostávate od Facebooku, zašifrované a podpísané, čo vám uľahčí overenie ich pravosti. Ak by niekto mal možnosť získať prístup k vášmu e-mailovému účtu, nemohol by si prečítať vaše upozornenia ani resetovať vaše heslo na Facebooku.

Bohužiaľ, jedinou trvalou ochranou proti phishingovým útokom je zdravý skepticizmus, náležitá starostlivosť a silné povedomie. Mnoho organizácií pravidelne testuje svojich zamestnancov na ich schopnosť odhaliť podvody typu phishing a vyhnúť sa im. V spoločnostiach, v ktorých má kybernetická bezpečnosť najvyššiu dôležitosť, je opakované zlyhanie takýchto testov phishingu dôvodom na ukončenie zamestnania.

Hlavný obrázok: Kluva / Deposit Deposit
Phishing: alexandragl / vkladové fotografie