Новости полны сообщений об использовании «целевых фишинговых атак» против правительств, крупных корпораций и политических активистов. Согласно многочисленным отчетам, атаки с использованием адресного фишинга в настоящее время являются наиболее распространенным способом взлома корпоративных сетей.
Spear-phishing - это более новая и более опасная форма фишинга. Вместо того, чтобы забрасывать широкую сеть в надежде хоть что-нибудь поймать, копейщик тщательно атакует отдельных людей или конкретный отдел.
Объяснение фишинга
Фишинг - это практика выдавать себя за кого-то, кому можно доверять, с целью получить вашу информацию. Например, фишер может разослать спам-сообщения от Bank of America с просьбой перейти по ссылке, посетить поддельный веб-сайт Bank of America (фишинговый сайт) и ввести свои банковские реквизиты.
Однако фишинг распространяется не только на электронную почту. Фишер может зарегистрировать в Skype имя чата, например «Поддержка Skype», и связаться с вами через сообщения Skype, заявив, что ваша учетная запись была взломана, и им нужен ваш пароль или номер кредитной карты для подтверждения вашей личности. Это также было сделано в онлайн-играх, где мошенники выдают себя за администраторов игр и отправляют сообщения с запросом вашего пароля, который они будут использовать для кражи вашей учетной записи. Фишинг также может происходить по телефону. В прошлом вам, возможно, приходили телефонные звонки, в которых утверждали, что вы звоните из Microsoft и что у вас есть вирус, за удаление которого вы должны заплатить.
Фишеры обычно используют очень широкую сеть. Фишинговое письмо Bank of America может быть отправлено миллионам людей, даже тем, у кого нет счетов в Bank of America. Из-за этого фишинг часто довольно легко обнаружить. Если у вас нет отношений с Bank of America и вы получаете электронное письмо, якобы от него, должно быть ясно, что это письмо является мошенничеством. Фишеры зависят от того факта, что, если они свяжутся с достаточным количеством людей, кто-то в конечном итоге попадется на их мошенничество. По этой же причине у нас все еще есть спам-письма - кто-то должен на них влюбиться, иначе они не принесут прибыли.
Взгляни на анатомия фишингового письма Чтобы получить больше информации.
Чем отличается целевой фишинг
Если традиционный фишинг - это распространение широкой сети в надежде что-то поймать, то целевой фишинг - это тщательный нацеливание на конкретного человека или организацию и адаптация атаки к ним лично.
Хотя большинство фишинговых писем не очень конкретны, целевые фишинговые атаки используют личную информацию, чтобы мошенничество выглядело реальным. Например, вместо того, чтобы читать «Уважаемый господин, пожалуйста, нажмите эту ссылку, чтобы получить невероятное богатство и богатство», в электронном письме может быть написано: «Привет, Боб, пожалуйста, прочтите этот бизнес-план, который мы составили на встрече во вторник, и сообщите нам, что вы думаете». Может показаться, что письмо пришло от кого-то, кого вы знаете (возможно, с поддельный адрес электронной почты , но, возможно, с реальным адресом электронной почты после того, как человек был скомпрометирован в результате фишинг-атаки), а не с кем-то, кого вы не знаете. Запрос составлен более тщательно и выглядит как законный. В электронном письме могут быть указаны ваши знакомые, ваша покупка или другая личная информация.
Спар-фишинговые атаки на особо ценные цели могут сочетаться с эксплойт нулевого дня для максимального ущерба. Например, мошенник может отправить электронное письмо сотруднику определенного предприятия со словами: «Привет, Боб, не могли бы вы взглянуть на этот бизнес-отчет? Джейн сказала, что вы дадите нам обратную связь ». с законным адресом электронной почты. Ссылка может вести на веб-страницу со встроенным содержимым Java или Flash, которая использует преимущества нулевого дня для компрометации компьютера. ( Java особенно опасна , так как у большинства людей установлены устаревшие и уязвимые подключаемые модули Java.) После взлома компьютера злоумышленник может получить доступ к его корпоративной сети или использовать свой адрес электронной почты для запуска целевых фишинговых атак против других лиц в организации.
Мошенник также может прикрепить опасный файл это замаскированный под безобидный файл . Например, к электронному письму с целевым фишингом может быть прикреплен файл PDF, который на самом деле является файлом .exe.
Кому действительно стоит волноваться
Атаки с использованием целевого фишинга используются против крупных корпораций и правительств для доступа к их внутренним сетям. Мы не знаем обо всех корпорациях или правительствах, которые были скомпрометированы успешными целевыми фишинговыми атаками. Организации часто не раскрывают точный тип атаки, которая их скомпрометировала. Они даже не хотят признаваться, что их вообще взломали.
Быстрый поиск показывает, что организации, включая Белый дом, Facebook, Apple, Министерство обороны США, The New York Times, Wall Street Journal и Twitter, скорее всего, были скомпрометированы с помощью целевых фишинговых атак. Это всего лишь несколько организаций, которые, как мы знаем, были взломаны - масштабы проблемы, вероятно, намного больше.
Если злоумышленник действительно хочет скомпрометировать важную цель, целенаправленная фишинговая атака - возможно, в сочетании с новым эксплойтом нулевого дня, приобретенным на черном рынке - часто является очень эффективным способом сделать это. Spear-phishing атаки часто упоминаются как причина взлома важной цели.
Защита от целевого фишинга
Как частное лицо, вы с меньшей вероятностью станете целью такой изощренной атаки, чем правительства и крупные корпорации. Однако злоумышленники могут попытаться использовать против вас тактику целевого фишинга, добавляя личную информацию в фишинговые электронные письма. Важно понимать, что фишинговые атаки становятся все более изощренными.
Когда дело доходит до фишинга, вам следует проявлять бдительность. Регулярно обновляйте свое программное обеспечение, чтобы лучше защитить себя от взлома, если вы нажимаете ссылки в электронных письмах. Будьте особенно осторожны при открытии файлов, прикрепленных к электронным письмам. Остерегайтесь необычных запросов на предоставление личной информации, даже если они кажутся законными. Не используйте пароли повторно на разных сайтах, на случай, если ваш пароль все-таки вылезет.
Фишинговые атаки часто пытаются сделать то, что законный бизнес никогда бы не сделал. Ваш банк никогда не отправит вам письмо по электронной почте и не спросит ваш пароль, компания, в которой вы приобрели товары, никогда не отправит вам электронное письмо с просьбой указать номер вашей кредитной карты, и вы никогда не получите мгновенное сообщение от законной организации с просьбой ввести пароль. или другая конфиденциальная информация. Не нажимайте ссылки в электронных письмах и не раскрывайте конфиденциальную личную информацию, какими бы убедительными ни были фишинговые сообщения электронной почты и фишинговые сайты.
Как и все формы фишинга, целевой фишинг - это форма атаки социальной инженерии, от которой особенно сложно защититься. Достаточно лишь одного человека сделать ошибку, и злоумышленники установят опору в вашей сети.
Кредит изображения: Рыба и дикая природа Флориды на Flickr
