פריצות אינטרנט: הדיוג והדייג החוצה הוסבר

דיוג, דיג בולט, היא טכניקה הנדסית חברתית המיועדת לגנוב סיסמאות, פרטי כרטיסי אשראי ומידע רגיש אחר. המטרה הסופית היא להשתמש בתעודות אלה כדי לקבל גישה למידע עוד יותר, כגון מדיה חברתית וחשבונות בנק.

התקפת דיוג יכולה להתבצע באמצעות דואר אלקטרוני, טלפון או הודעת טקסט והיא בדרך כלל מכילה קישור לאתר שנשלט על ידי התוקפים אשר יבקש ממך להזין את פרטי הכניסה שלך. הדוא”ל עשוי להיות מתוכנן כך שייראה כמו Dropbox רגיל או דוא”ל בפייסבוק, למשל, ויקשר לאתר מזויף שנראה בדיוק כמו Dropbox או Facebook. תוכלו למצוא כאן המון דוגמאות.

דיוג בפייסבוק והתקפות אחרות

דוא”ל דיוג מכיל לעתים קרובות תכנים נשמעים תמימים, כמו “מישהו הזכיר אותך בפייסבוק” או “שיתפתי איתך מסמך ב- Dropbox.” התוקף מצפה שתלחץ על קישורים אלה מבלי לאמת את האותנטיות שלהם ואז להזין את האישורים שלך. לעתים קרובות אתר הדיוג יפנה אותך חזרה לדף הכניסה לאתר האמיתי, שם תתבקש להזין שוב אישורים, הפעם באופן לגיטימי. כשאתה מחובר לאתר האמיתי, התקווה היא שכל החשד יעלם.

בינתיים התוקף אסף ושמר את שם המשתמש והסיסמה שלך והוא יכול להשתמש בהם כרצונו. אם הם קיבלו גישה לחשבון הדוא”ל שלך, הם יכולים לאפס את הסיסמה של כל חשבון המקושר לכתובת הדוא”ל שלך, ואז לשלוט גם בהם.

גרוע מכך, המידע שנמצא בתיבת הדואר הנכנס שלך עשוי לאפשר לתוקף לתכנן את הזמן המושלם לבוא אחרי חשבונותיך הכספיים, למשל במהלך מחלה או טיסה ארוכה..

זיוף כתובות ודואלי דיוג

התוקפים משתמשים בעיקר בשני טריקים טכנולוגיים בכדי להזמין אנשים בהצלחה – זיוף מיילים או שיחות טלפון; כל השאר נסוב סביב השימוש בתזמון טוב, בשפה אמינה ובעיצוב מעולה.

קל מאוד לזייף כתובות דוא”ל ומספרי טלפון, כך שאינך יכול לסמוך על כתובת דוא”ל הטוענת שמגיעה מ- [email protected] כי באמת נשלחה על ידי פייסבוק. שירותי דוא”ל רבים יבדקו אם יש חתימות קריפטוגרפיות המוכיחות שאימייל נשלח מדומיין מסוים, אך חתימות אלה עדיין אינן סטנדרטיות ברחבי הרשת, כך שהעדרן אינו מהווה הוכחה להודעה מזויפת..

באופן דומה, שיחה ממספר ידוע, למשל מהבנק שלך, עשויה להגיע בטלפון שלך. אך אין הוכחה לכך שקריאה זו מקורם באמת במספר זה. כאשר יש ספק לגבי מספר מזויף או כתובת דוא”ל, כתוב או להתקשר שוב ולחכות לתשובה.

כתובות אתרים מזויפות ואתרי דיוג

בנוסף לזיוף כתובות דוא”ל, התוקפים ירשמו כתובות URL המחקות את האתרים הלגיטימיים. לעתים קרובות הם עושים זאת על ידי החלפת מעט של סדר המכתבים, כגון goolge.com. טקטיקה אחרת היא לרשום דומיינים חפים מפשע ולהשתמש בדומיינים נשמעים לגיטימיים כתת-דומיינים, כגון facebook.com.importantsecurityreview.co.

מכיוון שהתוקף באמת הוא הבעלים של תת-דומיינים אלה, הם יכולים לקבל אישור אבטחה של HTTPS עבורו, מה שהופך את האתר לגיטימי.

התוקפים ידגשו לפי הנתונים שלך.

ההבדל בין פישינג לדייג

Spearphishing הוא מתקפת דיוג שמכוונת במיוחד אליך, במקום להתפשט כמו דואר זבל לכל כתובת דוא”ל שהם יכולים למצוא. התקפות דיוג אלה הוכחו כפרות במיוחד, מכיוון שאימיילים עשויים להיות מכוונים באופן אישי ומותאמים להקשר ספציפי, או לעיתים קרובות משתלבים בהתקפה גדולה ומתוחכמת יותר..

כדי להשתמש באנלוגיה של הדייג: במקום להפיל את הפיתיון שלך לאוקיאנוס ולחכות לכל דג שינשך, דייג חנית יתקדם בדיוק סביב דג בודד ותוקף אותו בנפרד..

לדוגמה, אם אתה פרילנסר אתה עשוי למצוא בקשה לשירותים שלך בתיבת הדואר הנכנס. לאחר מכן ייתכן שתבקש ממך להעלות את מכתבי הייחוס שלך לתיקיית Dropbox, ובמקום לקשר לתיקיה זו ישירות, אתה מופנה לאתר דיוג. לאחר שתקליד את הסיסמה שלך באתר הדיוג, אתה עלול להיות מנותב לתיקיה של Dropbox אמיתית, ולעולם לא תחשוד בכל משחק עבירה.

התקפות ספייפישינג נפוצות מאוד בארגונים גדולים, בהן ארגונים פליליים, מתחרים וממשלות עשויים למקד לעובדים, המצויים לעתים קרובות בלינקדאין, כדי לאסוף מודיעין אודות הארגון ולמצוא נקודות תורפה ברשת.

איתור התקפה והגנה מפני דיוג

אימות דו-גורמי יכול להציע הגנה מפני התקפות דיוג מסוימות, מכיוון שהוא מקשה על התוקף לגשת שוב ושוב לחשבונך. אבל התקפות דיוג מתוחכמות לא פשוט יאחזרו את אישוריכם, אלא ייכנסו לחשבונכם בו זמנית. בדרך זו התוקף יכול לגלות מיד אם האישורים שנאספו עובדים, ואם לא, לבקש ממך שוב את הסיסמה.

אם התוקפים נתקלים באימות captcha או אימות דו-גורמי, הם יבקשו מכם להזין את הקוד לחלון באתר המזויף שלהם ואז ישתמשו בכניסה לחשבון האמיתי שלכם..

פייסבוק וחברות אחרות מאפשרות לך להעלות את מפתח PGP שלך לשרתים שלהן. לאחר שתעשה זאת, כל הדוא”ל שתקבל מפייסבוק יוצפן וייחתם, כך שיהיה לך קל בהרבה לאמת את האותנטיות שלהם. כמו כן, אם מישהו היה מסוגל לקבל גישה לחשבון הדוא”ל שלך, הוא לא היה מסוגל לקרוא את ההתראות שלך או לאפס את סיסמת הפייסבוק שלך..

לרוע המזל, ההגנה העמידה היחידה מפני התקפות דיוג היא ספקנות בריאה, בדיקת נאותות ומודעות חזקה. ארגונים רבים בודקים את עובדיהם באופן קבוע ביכולתם לאתר הונאות דיוג ולהימנע מהן. בחברות בהן חשיבות עליונה לאבטחת סייבר, נפילה חוזרת ונשנית על בדיקות דיוג מסוג זה הן עילה לסיום העבודה.

תמונה ראשית: תמונות קלובה / הפקדות
דיוג: תמונות אלכסנדר / הפקדות