Google memperkirakan bahwa lebih dari 12,3 juta orang menjadi korban phishing setiap tahun. Terlepas dari kenyataan bahwa serangan phishing pertama tercatat pada akhir abad terakhir dan metode tradisional berangsur-angsur surut, jenis penipuan cyber ini terus menimbulkan bahaya yang cukup serius baik bagi individu maupun perusahaan.
Untuk meminimalkan risiko menjadi korban phishing, Anda harus membiasakan diri dengan jenis penipuan cyber ini secara mendetail.
Apa itu phishing?
Dalam sebagian besar kasus, phishing adalah distribusi surat atas nama perusahaan yang cukup terkenal yang bersifat massal. Pesan semacam itu biasanya berisi tautan yang mengarah ke situs yang, setelah pemeriksaan sepintas awal, tidak berbeda dari yang asli. Dengan memasukkan informasi rahasia di bidang yang sesuai, yang dicapai scammers menggunakan berbagai trik, pengguna memberikan akses ke akun penjahat dunia maya.
Bagaimana semuanya dimulai
Penyebutan pertama phishing terkait dengan AOL muncul pada tahun 1996.
Penipu, menyamar sebagai karyawan perusahaan media, meminta pengguna untuk memberi mereka kata sandi untuk akun mereka, dan setelah mendapatkan akses, mereka menggunakannya untuk mengirim spam. Distribusi ke sistem pembayaran dimulai pada awal 2000-an, dan pada 2006 scammer dunia maya masuk ke MySpace, mencuri data pendaftaran pengguna.
Target phishing
Mengingat fakta bahwa serangan phishing dapat dilakukan baik pada individu maupun perusahaan, tujuan yang dikejar oleh scammers juga berbeda.
Jadi, dalam kasus pertama, tujuannya adalah untuk mendapatkan akses ke login dan kata sandi, serta nomor akun pengguna layanan perbankan, serta sistem pembayaran dan jejaring sosial. Selain itu, serangan phishing sering dilakukan untuk menginstal perangkat lunak berbahaya di komputer calon korban.
Menguangkan akun yang dapat diakses scammers adalah proses yang agak rumit dari sudut pandang teknis, dan jauh lebih mudah untuk menangkap orang yang terlibat dalam operasi semacam itu.
Dengan demikian, setelah menerima informasi rahasia, penipu, dalam sebagian besar kasus, hanya menjualnya kepada orang lain menggunakan metode yang terbukti untuk menarik dana dari akun. Jika serangan phishing dilakukan pada perusahaan, tujuan prioritasnya adalah mengakses akun salah satu karyawan untuk kemudian menyerang perusahaan secara keseluruhan.
Metode dan skema phishing
Metode Rekayasa Sosial
Dalam hal ini, scammers, menyamar sebagai karyawan perusahaan terkenal, memberi tahu calon korban bahwa perlu memperbarui data pribadi, atau memberikannya, yang biasanya dijelaskan oleh kegagalan atau kehilangan sistem.
Skema ini menggunakan fakta bahwa orang biasanya bereaksi terhadap peristiwa penting, sehubungan dengan itu penyelenggara serangan phishing mencoba untuk menggairahkan pengguna sebanyak mungkin, memaksanya untuk segera mengambil tindakan yang dibutuhkan scammers. Secara umum diterima bahwa surat dengan frasa “untuk memulihkan akses ke akun, ikuti tautan …” di judul menarik perhatian pengguna, memaksanya untuk mengklik.
Penipuan sederhana
Skema ini, di mana penipu mengirim email atas nama perusahaan terkenal, termasuk permintaan untuk mengikuti tautan, adalah yang paling umum, memungkinkan jutaan email spam dikirim dalam waktu satu jam. Untuk mencuri data pribadi, situs phishing dibuat yang, pada pandangan pertama, secara lahiriah tidak berbeda dari yang asli. Dalam sebagian besar kasus, domain yang digunakan berbeda dari yang asli dengan satu karakter.
Pishing dengan tombak
Dalam hal ini, serangannya tidak masif, tetapi dilakukan pada orang tertentu. Biasanya, skema seperti itu digunakan untuk melewati perlindungan perusahaan dan melakukan serangan yang ditargetkan. Penipu dunia maya pada awalnya mempelajari calon korban menggunakan jejaring sosial, serta layanan lain, sehingga mengadaptasi pesan, membuatnya lebih meyakinkan.
“Perburuan paus”
Metode serupa digunakan dalam serangan phishing terhadap manajer puncak dan eksekutif perusahaan, dan untuk mendapatkan gambaran maksimal tentang kualitas pribadi calon korban, penipu menghabiskan banyak waktu mencoba menemukan cara yang paling tepat untuk mencuri. informasi rahasia.
Distribusi virus
Seringkali, serangan phishing digunakan bukan untuk mencuri data pribadi, tetapi untuk merugikan sekelompok orang tertentu. Untuk melakukan ini, tautan dimasukkan ke dalam pesan phishing, mengklik yang mengunduh program jahat ke komputer korban, yang dengannya Anda dapat mengambil kendali penuh atas komputer pengguna.
Bertani
Menggunakan metode ini, yang cukup baru, scammers memperoleh data pribadi menggunakan situs web resmi. Phishing seperti itu, ketika alamat digital situs web resmi perusahaan di server DNS dipalsukan, dan pengguna secara otomatis dialihkan ke situs palsu, jauh lebih berbahaya daripada metode tradisional, karena dalam kasus ini spoofing tidak mungkin dilihat. Ebay dan PayPal telah menderita skema phishing seperti itu.
Mencari
Dalam hal ini, komunikasi telepon digunakan, dan nomor telepon itu sendiri, yang harus dipanggil untuk menghilangkan “masalah”, ditunjukkan dalam surat yang bersifat pemberitahuan. Selanjutnya, sudah secara langsung dalam percakapan telepon, scammers meminta pengguna untuk memberikan data identifikasi untuk menyelesaikan masalah dengan cepat.
Cara melindungi diri Anda dari phishing
Pertama-tama, Anda harus mempelajari cara menghitung sendiri phishing, dan ketika Anda menerima surat yang meminta Anda untuk “memverifikasi” akun Anda, segera hubungi perusahaan untuk mengautentikasi pesan.
Alih-alih menggunakan hyperlink, Anda harus memasukkan URL perusahaan secara manual di browser Anda. Sebagian besar pesan yang datang dari layanan nyata berisi informasi tertentu yang tidak tersedia untuk phisher pemula, seperti nama atau digit terakhir akun, meskipun ini hanya sedikit mengurangi risiko. Perlu dicatat bahwa tautan ke situs phishing juga dapat dimuat dalam pesan dari teman yang akunnya telah diretas.
Metode teknis untuk meminimalkan risiko
Banyak browser telah memperingatkan pengguna Internet tentang ancaman phishing, yang untuknya mereka menyimpan daftar situs tersebut sendiri. Layanan email juga berjuang, meningkatkan filter spam, dan menganalisis email phishing. Perusahaan besar, untuk meminimalkan risiko, memperumit prosedur otorisasi, dan meningkatkan perlindungan data pribadi.
Pakar keamanan informasi Mikhail Tereshkov, mewakili JSC ER-Telecom Holding, memberikan beberapa metode perlindungan yang cukup sederhana namun efektif terhadap phishing. Anda perlu memberi perhatian khusus apakah situs tersebut memiliki sertifikat keamanan yang terlihat seperti https, dan juga mengubah kata sandi default router. Saat melakukan pembelian, lebih baik tidak menggunakan Wi-Fi publik, dan saat membayar di toko online yang tidak dikenal, Anda harus mengumpulkan lebih banyak informasi tentangnya.
Keluaran
Mempertimbangkan fakta bahwa serangan dunia maya telah lama memasuki kehidupan kita, perlindungan yang memenuhi syarat terhadap penjahat dunia maya telah menjadi salah satu tugas utama perusahaan yang mengembangkan layanan e-commerce, namun, pengguna biasa tidak boleh melupakan langkah-langkah yang dapat meminimalkan risiko jatuh ke dalam bahaya. perangkap para penjahat.
