Какую цель преследует такая угроза как фишинг перенаправлять новые запросы пользователя в браузере
Обновлено: 02.07.2024
Современное развитие информационных технологий породило большое количество различных современных схем осуществления мошеннических действий. Такие схемы рассчитаны, в первую очередь, на то, что пользователи существующих интернет-страниц не всегда знают механизмы защиты от мошеннических действий.
Понятие фишинга как мошенничества
Фишинговые формы мошенничества направлены на похищение данных о банковских картах различных типов у пользователей интернет-ресурсов различной направленности, в том числе и относимых к интернет- и онлайн-банкам.
Суть фишинга заключается в том, что у пользователей интернет-ресурсов различной направленности выманивают номера банковских карт и пароли доступа к ним или пароли для входов в систему онлайн-банков. После получения таких данных у жертв списывают все денежные средства с банковских карт и других хранилищ денежных средств.
Осуществляться фишинг может различными способами в зависимости от того, какой именно вариант получения данных по банковским картам предусмотрели мошенники.
Варианты фишинга
Фишинг как формы для осуществления мошеннических действий может быть осуществлен несколькими способами:
Механизмы защиты от вариантов мошенничества фишинговой направленности на сегодняшний день еще не полностью разработаны, несмотря на то, что все работающие в России антивирусные программы имеют функцию такой защиты.Как защититься?
Для осуществления защиты от фишинга, осуществляемого мошенниками, есть несколько способов, каждый из которых основан на том, чтобы быть максимально внимательным и не доверять требованиям, которые озвучивают мошенники.
Основная защита выглядит следующим образом:
- проверка тех электронных адресов, по которым происходит переход при осуществлении различного рода электронных платежей (необходимо точно определять, на какой сайт осуществляется переход, а также следить за подробным отображением различного рода обозначений при работе на тех или иных электронных страницах);
- запрет на получение информации сотрудниками банка – сообщить можно только ту информацию, которая необходима для проведения той или иной банковской операции (при осуществлении звонка необходимо проверить, на какой именно номер происходит звонок – такая проверка возможна либо через мобильное приложение банка, либо через официальный сайт того банка, в который происходит обращение);
- использование по максимальному количеству операций специализированные приложения, созданные банками для регулирования всех операций своих клиентов (так как такие приложения предоставляют максимальный уровень защиты для своих клиентов);
- при работе с интернет-банками с компьютеров необходимо использование максимально качественно работающих антивирусных программ, в которых встроены функции защиты от фишинга.
Для того, чтобы защититься от таких хищений, есть ряд специальных правил поведения.
Фишинг-атаки можно назвать преступлением XXI века. Средства массовой информации ежедневно публикуют списки организаций, чьи клиенты подверглись фишинговым атакам. Средства phishing-мошенничества с каждым днем продолжают расти не только количественно, но и качественно. В то время как спам только отвлекает получателей от работы, фишинг зачастую ведет к реальным финансовым потерям. Угроза вполне серьезная, так почему же люди до сих пор не научились ее избегать?
Почему фишинг работает?
Есть масса способов сыграть на доверии пользователя
Причин, по которым онлайн-мошенничество работает, на самом деле достаточно много. Начать следует с того, что преступники достаточно умело играют на психологии своих жертв: есть масса способов обмануть пользователя, и все они идут в ход.
Обещание халявы — самый простой и эффективный способ заполучить массу жертвНапример, летом 2014 года был обнаружен фишинговый сайт, имитировавший сайт FIFA, на котором пользователю предлагалось подписать петицию в защиту Луиса Альберто Суареса, нападающего национальной сборной Уругвая. Чтобы подписать петицию, пользователю необходимо было заполнить форму, введя в нее свое имя, страну проживания, номер мобильного телефона и адрес электронной почты.
Другой мошеннический сайт предлагал посетителям скачать электронный билет на чемпионат. На самом деле вместо билета пользователь получал банковского троянца — пробравшись в систему, зловред перехватывал личные данные, прежде всего финансового характера.
Технически фишинг постоянно совершенствуется
Немалую роль в том, что многие люди становятся жертвами онлайн-мошенников, играет тот факт, что с технической точки зрения инструменты фишинга постоянно изменяются и становятся все более и более изощренными.
Фишинг — по-настоящему универсальная угроза, работает на всех платформахДля преступников это по-настоящему прибыльно
Но в первую очередь популярность фишинга растет потому, что это действительно выгодный вид преступной деятельности. Инструменты существуют и сравнительно легко доступны, охват чрезвычайно широк, в том числе и в социальных сетях (помните — 600 миллионов переходов!), большинство действий фишеров полностью автоматизировано.
Поэтому даже при небольшом проценте попавшихся мошенники могут вполне прилично зарабатывать. Причем, поскольку в большинстве случаев охота идет за банковскими данными, для монетизации даже не надо придумывать какие-то сложные схемы.
Поэтому не следует думать, что единственная информация, которую необходимо защищать от мошенников, — это данные банковских карт и платежных систем. Многие фишеры будут вполне удовлетворены и доступом к вашей учетной записи в социальной сети или почтовом сервисе.
Как уберечься от фишинга?
Что предложить пользователям в качестве инструмента противодействия мошенникам? Прежде всего, естественно, здравый смысл.
В идеале на сайты, требующие ввода личных данных, ходить по ссылкам вообще не стоит — лучше набрать адрес вручную. Разумеется, посещение подобных ресурсов должно осуществляться через надежные устройства и сети.
Происхождение термина
Концепция фишинга впервые была описана в 1987 году в документе конференции под названием «Безопасность системы: перспективы хакера». В документе описывалась техника злоумышленников, которая заключается в имитации авторитетных организаций или сервисов. Само слово является омофоном английского слова «Fishing» (рыбалка), поскольку техника использует ту же логику «отлова».
Какую цель преследует фишинг?
Фишинг существует на протяжении многих лет, за это время киберпреступники разработали широкий спектр методов заражения жертв.
Чаще всего злоумышленники, которые занимаются фишингом, выдают себя за банки или другие финансовые учреждения, чтобы заставить жертву заполнить фальшивую форму и получить данные учетных записей.
В прошлом для выманивания данных пользователей киберпреступники часто использовали неправильно написанные или ложные доменные имена. Сегодня злоумышленники используют более сложные методы, благодаря чему фальшивые страницы очень похожи на свои законные аналоги.
Узнать больше
Похищенные данные жертв, как правило, используются для кражи средств с банковских счетов или продаются в Интернете.
Целенаправленный фишинг
Киберпреступники, которые используют этот метод, как правило, заранее подробно исследуют свою цель. Это значительно усложняет идентификацию содержания как вредоносного.
Как распознать фишинг?
Узнать больше
Как защититься от фишинга?
Придерживайтесь следующих рекомендаций
Известные примеры
Систематические фишинг-атаки начались в сети America Online (AOL) в 1995 году. Чтобы похитить легитимные учетные данные, злоумышленники связывались с жертвами через AOL Instant Messenger (AIM), выдавая себя за сотрудников AOL, которые проверяют пароли пользователей. Термин «фишинг» появился в группе новостей Usenet, которая сосредоточивалась на инструменте AOHell, который автоматизировал этот метод, и так это название закрепилось. После того, как AOL в 1997 году ввела контрмеры, киберпреступники поняли, что могут использовать такую же технику в других отраслях, в том числе и финансовых учреждениях.
Узнать больше
Одна из первых крупных, хотя и неудачных, попыток была в 2001 году. Злоумышленники, воспользовавшись хаосом от террористических атак 9/11, разослали пострадавшим электронную рассылку якобы для проверки удостоверения личности. Полученные данные использовались для кражи банковских данных.
Уже в 2005 году с помощью фишинга киберпреступники похитили у пользователей США более 900 миллионов долларов США.
Фишинг – мошенническая уловка, не теряющая свою популярность у злоумышленников уже более 20 лет. Единственное, что меняется со временем – это масштабы и инфоповоды. По мере всплеска общественного интереса к той или иной теме растёт и её привлекательность для «фишеров». (В своем исследовании мы собрали ТОП-поводов 2020 года – от коронавируса до поправок в Конституцию). Чем фишинг опасен бизнесу и как минимизировать риски?
Основная причина распространённости фишинга в том, что это простой с технической точки зрения, но эффективный способ кибератаки. Никакого взлома, главное, найти психологический ключ к сознанию человека. Доверившись мошеннику, жертвы легко отдают тысячи и сотни тысяч рублей.
Ещё больше теряют из-за невнимательности сотрудников, открывших «не ту» ссылку в письме, компании. Так фишинг становится первой ступенью многоходовой атаки, его используют для «доставки» вируса в ИТ-инфраструктуру. Чтобы осуществить свой план и заразить компьютеры жертв «вирусами-шифровальщиками» и «шпионами», мошенники предлагают скачать документы, необходимые в работе, притворяются коллегами и партнерами, создают сайты с фейковыми облачными хранилищами.
Так, в сентябре прошлого года вредоносным ПО были зашифрованы около 400 исследований онкологического диспансера Свердловской области. За восстановление информации хакеры потребовали 80 тысяч рублей. Однако мошенникам не повезло: данные вовремя расшифровали и внесли обратно в базы диспансера.
Но не всем так везёт. По данным исследования компании Sophos, средние расходы бизнеса на восстановление после атаки вирусов-вымогателей в мире в годовом исчислении выросли более чем вдвое. К началу 2020 года они составляли $761 106, а год спустя — $1,85 млн. Средний размер выкупа организаторам таких атак превысил $170 тыс. Согласно докладу Sophos, лишь 8% компаний смогли полностью вернуть утраченные данные после взлома с использованием вирусов-вымогателей. 29% организаций удалось восстановить не больше половины информации.
Один из самых громких случаев последнего времени, который широко освещался в СМИ – кейс Colonial Pipeline, одного из крупнейших мировых поставщик топлива. Нефтепровод оказался заблокирован почти на неделю, что вызвало рост цен на горючее, как в кризисные времена. Компания согласилась на условия хакеров и заплатила им 5 млн долларов.
При этом у МСБ гораздо меньше возможностей, чем у крупных компаний, отбиться от атаки или расплатиться с вымогателем. Поэтому проблему лучше исключить до ее появления – не дать состояться первой части атаки. Как предупредить фишинговое заражение и какие методы профилактики существуют?
Как распознать фишинг: главные приёмы мошенников
Фишинг коварен тем, что против него нет универсального технического решения, это всегда комплекс мер. Поэтому главное оружие – внимательность сотрудников. Не стоит надеяться, что работник самостоятельно поймёт, какие письма или ссылки в мессенджерах открывать не следует. Информируйте сами. Вот, что нужно знать как алфавит – приметы фишинг-письма:
Важно! Если письмо соответствует какому-то пункту из приведённого перечня, это не значит, что оно на 100% мошенническое. Это значит, что надо проявить к нему повышенное внимание и убедиться, что нет других примет атак.
Мало проинформировать сотрудников, проводите учения, благо это можно сделать и своими силами: время от времени вбрасывайте письма-приманки и дообучайте тех, кто «купился». Так поддержите нужный тонус и будете тренировать навык безопасного поведения в коллективе. Есть и услуги профессиональных ИБ-команд, которые проведут учения за вас.
К сожалению, даже успешное прохождение обучения и испытаний не гарантирует результат, потому что способы мошенничества развиваются. Кроме того, если ставится цель зазубрить сценарии, а не понять принцип атаки, польза от обучения снижается. Ведь злоумышленники разрабатывают новые приёмы, выбирают самые правдоподобные способы обращения к сотрудникам компании, а если затеют точечную атаку, могут проработать схему атаки в несколько этапов, чтобы максимально притупить бдительность. В таком случае разобраться, фишинговое ли перед вами письмо, бывает сложно даже ИБ-специалисту.
Недавно меня попросили разобраться с примером письма (от государственной организации, скриншот ниже): «Могут ли такие письма содержать угрозу?».
- Почтовый ящик может быть взломан. То есть злоумышленник может писать с настоящей, а не поддельной почты. В таком случае мы имеем дело с BEC-атакой (business email compromise, злоумышленник получает доступ к корпоративной учетной записи электронной почты, чтобы при помощи методов социальной инженерии обмануть получателей писем). Тогда до поры вы можете вообще не узнать, с кем общаетесь и какие ц отправителя истинные мотивы.
Повторюсь: письмо, рассмотренное в примере, безопасно. Я намеренно сгустил краски, чтобы показать, как далеко могут пойти мошенники, если всерьез нацелятся на вашу компанию.
Так что же делать в этой ситуации, когда могут быть скомпрометированы и телефоны, и электронные ящики? Остается организовать «круговую оборону».
- Добротная ИТ-инфраструктура. Технические средства защиты в ситуации с фишингом несут вспомогательную функцию. Но это очень важная страховка: если в организации обеспечена добротная защита (от антивирусов и спам-фильтров до DLP-систем для контроля действий сотрудников), это помогает максимально снизить вероятность того, что фишинговое письмо вообще дойдет до адресата. А если и дойдет – максимально снизить риск вероятного ущерба.
- Личная бдительность сотрудников. Учитесь обращать внимание на любые странности нетипичные просьбы в деловой переписке (например, «у нас сменились реквизиты, прошу перевести платёж по новым). Возникают сомнения – связывайтесь с собеседником только по известным вам каналам (телефонам, мессенджерам, через видео-звонок и т.п.), а не по тем, что были указаны в письме.
- Общая культура в обращении с данными. То, что люди считают дорогим и ценным, принято беречь. Если в вашей компании еще не так, призывы к бдительности не помогут.
Пока нет ни единого признака, что мошенники перестанут пользоваться фишингом: это по-прежнему недорогой и действенный метод обмана как обычных людей, так и целых корпораций. Победить проблему помогает только комплексный подход. Если придерживаетесь его, атаковать мошенникам будет дороже потенциальной выгоды. Подыщут более легкую добычу.
Читайте также: