Uutiset ovat täynnä raportteja "keihäs-phishing-hyökkäyksistä", joita käytetään hallituksia, suuryrityksiä ja poliittisia aktivisteja vastaan. Spear-phishing-hyökkäykset ovat nyt yleisin tapa, jolla yritysverkot vaarantuvat, monien raporttien mukaan.
Keihään phishing on uudempi ja vaarallisempi tietojenkalastelun muoto. Sen sijaan, että heittäisi laajaa verkkoa toivoen saavansa mitään, keihäs-phisher tekee huolellisen hyökkäyksen ja kohdistaa sen yksittäisiin ihmisiin tai tiettyyn osastoon.
Tietojenkalastelu selitetty
Tietojenkalastelu on käytäntö, jossa matkitaan luotettavana henkilönä yrittämään hankkia tietosi. Tietojenkalastelija saattaa esimerkiksi lähettää roskapostiviestejä, jotka teeskentelevät olevansa Bank of America -sivustolta, ja pyytää sinua napsauttamaan linkkiä, käymään väärennetyllä Bank of America -sivustolla (tietojenkalastelusivusto) ja antamaan pankkitietosi.
Tietojenkalastelu ei rajoitu vain sähköpostiin. Tietojenkalastelija voi rekisteröidä Skype-keskustelun nimen, kuten Skype-tuki, ja ottaa sinuun yhteyttä Skype-viesteillä sanomalla, että tilisi on vaarantunut ja että he tarvitsevat salasanasi tai luottokorttisi henkilöllisyyden vahvistamiseksi. Tämä on tehty myös online-peleissä, joissa huijarit esiintyvät pelien ylläpitäjinä ja lähettävät salasanaa pyytäviä viestejä, joita he käyttäisivät varastamaan tilisi. Tietojenkalastelu voi tapahtua myös puhelimitse. Aiemmin olet saattanut vastaanottaa puheluita, joissa väität olevasi Microsoftilta ja sanovat, että sinulla on virus, jonka sinun on maksettava poistamiseksi.
Tietojenkalastelijat heittävät yleensä hyvin laajan verkon. Bank of America-verkkourkintasähköposti voidaan lähettää miljoonille ihmisille, jopa ihmisille, joilla ei ole Bank of America -tiliä. Tämän vuoksi tietojenkalastelu on usein melko helppo havaita. Jos sinulla ei ole suhdetta Bank of America -palveluun ja saat sähköpostin, jossa väitetään olevasi heiltä, on oltava hyvin selvää, että sähköposti on huijaus. Tietojenkalastelijat ovat riippuvaisia siitä, että jos he ottavat yhteyttä tarpeeksi ihmisiin, joku joutuu lopulta huijaukseen. Tästä syystä meillä on edelleen roskapostiviestejä - jonkun on pakko pudota heitä varten, tai he eivät olisi kannattavia.
Katso tietojenkalastelusähköpostin anatomia Lisätietoja.
Kuinka Spear-tietojenkalastelu on erilaista
Jos perinteinen tietojenkalastelu on laajan verkon heittäminen toivoen saavansa jotain, keihäs phishing on kohdistaminen huolellisesti tiettyyn yksilöön tai organisaatioon ja räätälöimällä hyökkäys heille henkilökohtaisesti.
Vaikka useimmat tietojenkalastelusähköpostit eivät ole kovin tarkkoja, keihu-phishing-hyökkäys käyttää henkilökohtaisia tietoja saadakseen huijauksen näyttämään todelliselta. Esimerkiksi sen sijaan, että lukisit "Arvoisa herra, napsauta tätä linkkiä saadaksesi upeita rikkauksia ja rikkauksia", sähköpostiviesti saattaa sanoa "Hei Bob, lue tämä tiistain kokouksessa laatimamme liiketoimintasuunnitelma ja kerro meille mielipiteesi." Sähköposti saattaa näyttää tulevan tuntemaltasi henkilöltä (mahdollisesti a väärennetty sähköpostiosoite , mutta mahdollisesti todellinen sähköpostiosoite sen jälkeen, kun henkilö on vaarantunut tietojenkalasteluhyökkäyksessä) eikä joku, jota et tunne. Pyyntö on muotoiltu huolellisemmin ja näyttää siltä, että se voisi olla perusteltu. Sähköposti voi viitata tuntemallesi henkilölle, tekemäsi ostokselle tai muulle henkilökohtaiselle tiedolle.
Spear-phishing-hyökkäykset arvokkaita kohteita vastaan voidaan yhdistää a nollapäivän hyväksikäyttö maksimaalisen vahingon saavuttamiseksi. Esimerkiksi huijari voisi lähettää sähköpostitse tietyn yrityksen henkilölle sanomalla "Hei Bob, haluaisitko katsoa tätä yritysraporttia? Jane sanoi, että annat meille palautetta. " laillisen näköisellä sähköpostiosoitteella. Linkki voi mennä verkkosivulle, jossa on upotettua Java- tai Flash-sisältöä ja joka käyttää nollapäivää hyödyntämällä tietokonetta. ( Java on erityisen vaarallinen , koska useimmilla ihmisillä on vanhentuneita ja haavoittuvia Java-laajennuksia asennettuna.) Kun tietokone on vaarantunut, hyökkääjä voi käyttää yritysverkkoaan tai käyttää sähköpostiosoitettaan kohdennettujen keihu-phishing-hyökkäysten käynnistämiseen organisaation muita henkilöitä vastaan.
Huijari voisi myös kiinnittää a vaarallinen tiedosto se on naamioitu näyttämään vaarattomalta tiedostolta . Esimerkiksi keihu-phishing-sähköpostilla voi olla PDF-tiedosto, joka on itse asiassa liitteenä .exe-tiedosto.
Kuka todella tarvitsee huolehtia
Keihu-phishing-hyökkäyksiä käytetään suuryrityksiä ja hallituksia vastaan pääsemään niiden sisäisiin verkkoihin. Emme tiedä jokaisesta yrityksestä tai hallituksesta, joka on vaarantunut onnistuneista keihu-phishing-hyökkäyksistä. Organisaatiot eivät usein paljasta tarkkaa hyökkäystyyppiä, joka vaarantaa heidät. He eivät edes halua myöntää, että heihin on murtauduttu lainkaan.
Nopea haku paljastaa, että keihäänpyynnön hyökkäykset ovat todennäköisesti vaarantaneet organisaatiot, mukaan lukien Valkoinen talo, Facebook, Apple, Yhdysvaltain puolustusministeriö, The New York Times, Wall Street Journal ja Twitter. Nämä ovat vain muutamia organisaatioista, joiden tiedämme olevan vaarassa - ongelman laajuus on todennäköisesti paljon suurempi.
Jos hyökkääjä todella haluaa vaarantaa arvokkaan kohteen, keihäs-phishing-hyökkäys - ehkä yhdistettynä pimeiltä markkinoilta ostettuun uuteen nollapäivän hyväksikäyttöön - on usein erittäin tehokas tapa tehdä se. Keihään phishing-hyökkäykset mainitaan usein syynä, kun arvokkaan kohteen rikkominen tapahtuu.
Suojaa itsesi keihäähuijauksilta
Yksilönä olet vähemmän todennäköisesti tällaisen hienostuneen hyökkäyksen kohde kuin hallitukset ja massiiviset yritykset. Hyökkääjät voivat silti yrittää käyttää keihääpyynnön taktiikkaa sinua vastaan sisällyttämällä henkilökohtaisia tietoja verkkourkintasähköposteihin. On tärkeää ymmärtää, että tietojenkalasteluhyökkäykset ovat kehittymässä.
Tietojenkalastelussa tulee olla valppaana. Pidä ohjelmistosi ajan tasalla, jotta olet paremmin suojattu vaaroilta, jos napsautat linkkejä sähköpostiviesteissä. Ole erityisen varovainen, kun avaat sähköpostiviesteihin liitettyjä tiedostoja. Varo epätavallisia henkilötietopyyntöjä, jopa sellaisia, jotka näyttävät siltä kuin ne voisivat olla oikeutettuja. Älä käytä salasanoja uudelleen eri verkkosivustoilla, vain jos salasanasi pääsee ulos.
Tietojenkalasteluhyökkäykset yrittävät usein tehdä asioita, joita lailliset yritykset eivät koskaan tekisi. Pankkisi ei koskaan lähetä sinulle sähköpostia ja pyydä salasanasi, yritys, josta olet ostanut tavaroita, ei koskaan lähetä sinulle sähköpostia ja pyydä luottokorttisi numeroa, etkä koskaan saa pikaviestiä lailliselta organisaatiolta, joka pyytää sinulta salasanaa tai muuta arkaluontoista tietoa. Älä napsauta sähköpostiviestien linkkejä ja anna arkaluonteisia henkilökohtaisia tietoja riippumatta siitä, kuinka vakuuttava verkkourkintasähköposti ja tietojenkalastelusivusto ovat.
Kuten kaikki tietojenkalastelun muodot, keihailuhuijaus on sosiaalisen suunnittelun hyökkäyksen muoto, jota on erityisen vaikea puolustaa. Tarvitaan vain yksi henkilö, joka tekee virheen, ja hyökkääjät ovat perustaneet verkkosi verkkoosi.
Kuvahyvitys: Floridan kala ja villieläimet Flickrissä
