Интернет хакови: Објашњено је лажно представљање и подметање

Лажно представљање, изразити риболов, техника је друштвеног инжењеринга дизајнирана за крађу лозинки, детаље о кредитној картици и друге осетљиве информације. Крајњи циљ је употреба ових акредитива за приступ још више информација, попут друштвених медија и банковних рачуна.

Пхисхинг напад може се извести путем е-поште, телефона или текстуалне поруке и обично садржи везу до веб локације која контролише нападачи која ће вас позвати да унесете своје податке за пријаву. Е-маил адреса може бити дизајнирана тако да изгледа као обична Дропбок или Фацебоок адреса е-поште, на пример, и повезује се на лажну локацију која изгледа баш као Дропбок или Фацебоок. Овде можете наћи доста примера.

Фацебоок пхисхинг и остали напади

Лажне поруке е-поште често садрже недужни звучни садржај, попут „неко вас је споменуо на Фацебооку“ или „Поделио сам документ с вама на Дропбок-у“. Нападач очекује да кликнете на те линкове без провере њихове аутентичности и затим унесете своје веродостојности. Често вас веб локација која се бави пхисхингом преусмери натраг на страницу за пријаву на стварној веб локацији, где ће од вас бити затражено да поново унесете акредитиве, овог пута легитимно. Како сте сада пријављени на стварну веб страницу, нада је да ће сва сумња нестати.

У међувремену, нападач је прикупио и сачувао ваше корисничко име и лозинку и може их користити по вољи. Ако су стекли приступ вашем налогу е-поште, могу да ресетују лозинку за сваки налог повезан са вашом адресом е-поште, а затим их такође контролишу..

Што је још горе, информације пронађене у поштанском сандучићу е-поште могу омогућити нападачу да планира савршено време за финансијске рачуне, на пример током болести или дугог лета.

Ковање адреса и лажних адреса е-поште

Нападачи углавном користе два технолошка трика како би успешно преварили људе – лажно откривање е-поште или телефонске позиве; све остало се врти око употребе доброг времена, веродостојног језика и одличног дизајна.

Адреса е-поште и телефонски бројеви се лако могу преварити, тако да се не можете ослонити на адресу е-поште која тврди да долази са но-репли@фацебоок.цом да је заиста послата од стране Фацебоока. Многи сервиси за е-пошту провјеравају криптографске потписе који доказују да је порука е-поште послата с одређеног домена, али ови потписи још увијек нису стандардни на вебу, тако да њихово одсуство није доказ лажне поруке.

Слично томе, позив са познатог броја, на пример из ваше банке, може стићи на ваш телефон. Али нема доказа да овај позив заиста потиче од овог броја. Ако имате сумње у лажни број или адресу е-поште, пишите или назовите и сачекајте одговор.

Лажни УРЛ-ови и веб локације са лажним идентитетом

Поред превара адресе е-поште, нападачи ће регистровати и УРЛ адресе који опонашају легитимне веб локације. Они то често раде помало замењујући редослед писама, као што је гоолге.цом. Друга тактика је регистровати невине домене који изгледају и користити легитимне домене као поддомене, као што је фацебоок.цом.импортантсецуритиревиев.цо.

Пошто је нападач заиста власник ових поддомена, за њега могу да добију ХТТПС безбедносни сертификат, чинећи да се веб локација чини легитимним.

Нападачи ће ловити ваше податке.

Разлика између крађе идентитета и подметања

Спеарпхисхинг је пхисхинг напад намењен посебно вама, уместо да се шири около као нежељена пошта на било коју адресу е-поште коју пронађу. Ови пхисхинг напади показали су се посебно плодним јер е-поруке могу бити лично усмерене и прилагођене специфичном контексту или се често уклапају у већи, софистициранији напад.

Користити аналогију риболова: уместо да бацате мамац у океан и чекате да риба уједе, подметање прецизно следи око једне рибе и напада је појединачно.

На пример, ако сте фрееланцер, можда ћете у поштанском сандучету пронаћи захтев за своје услуге. Тада ће вас можда тражити да отпремите своја референтна писма у Дропбок фасциклу, а уместо да се директно повежете на ову мапу, бићете усмерени на пхисхинг локацију. Након што упишете лозинку на пхисхинг месту, можда ћете бити преусмерени на праву Дропбок фасциклу и никада не сумњате у било какву погрешну игру.

Напади подметања честица врло су чести у великим организацијама, у којима криминална предузећа, конкуренти и владе могу циљати на запослене, који се често налазе на ЛинкедИн-у, како би прикупили обавештајне податке о организацији и пронашли било која слаба места у мрежи.

Откривање напада и заштите од крађе идентитета

Двофакторна аутентификација може пружити заштиту од неких пхисхинг напада јер отежава нападачу вишеструки приступ вашем налогу. Али софистицирани пхисхинг напади неће једноставно складиштити ваше акредитиве, него се истовремено пријавити на ваш налог. На овај начин нападач може одмах да сазна да ли прикупљени акредитиви раде, а ако не, питајте поново за лозинку.

Ако нападачи наиђу на цаптцха или двофакторну аутентификацију, од вас ће тражити да унесете код у прозор на њиховој лажној локацији и затим га користите да бисте се пријавили на свој стварни налог.

Фацебоок и неке друге компаније омогућавају вам да отпремите свој ПГП кључ на њихове сервере. Након тога, све поруке е-поште које добијете од Фацебоока бит ће шифриране и потписане, што вам олакшава провјеру аутентичности. Такође, ако би неко могао да приступи вашем налогу е-поште, не би могао да прочита ваше обавештења или да ресетује вашу Фацебоок лозинку.

Нажалост, једина трајна заштита од пхисхинг напада је здрав скептицизам, пажљива пажња и снажна свест. Многе организације редовно тестирају запослене на њиховој способности откривања и избегавања крађе превара. У компанијама у којима је цибер-сигурност од највећег значаја, опетовано подвргавање таквим пхисхинг тестовима основа је за престанак радног односа.

Издвојена слика: Клува / Фотографије са депозита
Пхисхинг: алекандрагл / Фотографије фотографије