Согласно оценкам Google, каждый год жертвами фишинга становятся более 12,3 миллионов человек. Несмотря на то обстоятельство, что первые фишинговые атаки были зафиксированы еще в конце прошлого века и традиционные методы начинают постепенно отступать на задний план, подобный вид кибермошенничества продолжает представлять достаточно серьезную опасность как для частных лиц, так и для компаний.
Для того, что минимизировать риски стать жертвой фишинга, следует подробно ознакомиться с данным видом кибермошенничества.
В подавляющем большинстве случаев фишинг представляет собой осуществление рассылки писем от имени достаточно известных компаний, носящих массовый характер. Подобные сообщения обычно содержат в себе ссылку, ведущую на сайт, который, при первоначальном беглом осмотре, ничем не отличается от настоящего. Введя конфиденциальную информацию в соответствующие поля, чего мошенники и добиваются, используя самые разные уловки, пользователь представляет киберпреступникам доступ к своим аккаунтам.
С чего все начиналось
Первые упоминания о фишинге, связанные с компанией AOL, появились еще в 1996 году.
Мошенники, представляясь сотрудниками медийной компании, просили пользователей предоставить им пароли от своих аккаунтов, а после получения доступа использовали их с целью рассылки спама. Распространение на платежные системы началось в начале двухтысячных, а в 2006 году кибермошенники добрались до MySpace, похитив регистрационные данные пользователей.
Цель фишинга
Учитывая то обстоятельство, что фишинговые атаки могут совершаться как на частных лиц, так и на компании, различаются и преследуемые мошенниками цели.
Так, в первом случае преследуется цель получения доступа к логинам и паролям, а также номерам счетов пользователей банковских сервисов, равно как платежных систем и соцсетей. Кроме того, часто фишинговые атаки совершаются для установки программного обеспечения, носящего вредоносный характер, на компьютер потенциальной жертвы.
Обналичивание счетов, к которым мошенники получили доступ, представляет собой достаточно сложный процесс, с технической точки зрения, причем человека, занимающегося подобными операциями, поймать гораздо легче.
Таким образом, получив конфиденциальную информацию, мошенник, в подавляющем большинстве случаев, просто продает их другим лицам, использующим проверенные способы снятия денежных средств со счетов. В том случае, если фишинговая атака совершается на компанию, приоритетной целью является доступ к учетной записи одного из сотрудников, для последующего совершения атаки на компанию в целом.
Методы и схемы фишинга
Метод социальной инженерии
В данном случае мошенники, выдавая себя за сотрудников известных компаний, сообщают потенциальной жертве, что необходимо обновить персональные данные, либо сообщить их, что обычно объясняют сбоем в системе или утерей.
Данная схема использует тот факт, что люди обычно реагируют на значимые события, в связи с чем организаторы фишинговой атаки стараются как можно сильнее разволновать пользователя, заставив его совершить необходимое мошенникам действие немедленно. Принято считать, что письмо, в заголовке которого присутствует фраза «для восстановления доступа к счету перейдите по ссылке …», привлекает внимание пользователя, заставляя его сделать клик.
Простой обман
Подобная схема, при которой мошенники присылают письмо от имени известной компании, включающее в себя просьбу перейти по ссылке, является наиболее распространенной, позволяя разослать миллионы писем со спамом в течение часа. С целью похищения персональных данных создаются фишинговые сайды, которые, на первый взгляд, внешне ничем не отличаются от настоящих. В подавляющем большинстве случаев используются домены, отличающиеся от реальных буквально на один символ.
«Гарпунный» фишинг
В данном случае атака носит не массовый характер, а совершается на конкретного человека. Обычно подобная схема используется с целью обхода защиты компании и проведения таргетированной атаки. Кибермошенники предварительно изучают потенциальных жертв при помощи соцсетей, равно как и других сервисов, тем самым адаптируя сообщения, делая их более убедительными.
«Охота на китов»
Подобный метод используется при совершении фишинговой атаки на топ-менеджеров и руководителей компаний, причем для того, чтобы получить максимальное представление о личностных качествах потенциальной жертвы, мошенники тратят достаточно много времени, пытаясь подобрать наиболее подходящий способ похищения конфиденциальной информации.
Рассылка вирусов
Зачастую, фишинговые атаки используются не с целью кражи персональных данных, а для нанесения ущерба отдельной группе лиц. Для этого в фишинговое сообщение вставляется ссылка, клик по которой загружает на компьютер жертвы вредоносную программу, при помощи которой можно получить полный контроль над компьютером пользователя.
Фарминг
Используя данный метод, являющийся достаточно новым, мошенники получают персональные данные с помощью официальных сайтов. Подобный фишинг, когда осуществляется подмена цифрового адреса официального сайта компании на DNS-сервере, а пользователь автоматически перенаправляется на сайт, являющийся фальшивкой, гораздо опаснее традиционных способов, так как в данном случае подмену просто невозможно увидеть. Именно от подобной фишинговой схемы уже пострадали Ebay и PayPal.
Вишинг
В данном случае используется телефонная связь, а сам номер телефона, по которому необходимо позвонить, чтобы ликвидировать «проблему», указывается в письме, носящем уведомительный характер. Далее, уже непосредственно в ходе телефонного разговора, мошенники просят пользователя, для наиболее оперативного решения вопроса, сообщить идентификационные данные.
Как защититься от фишинга
Прежде всего, следует научиться вычислять фишинг самостоятельно, а при получении писем, в которых содержится просьба «подтвердить» учетную запись, незамедлительно связаться с компанией, с целью установления подлинности сообщения.
Вместо того, чтобы использовать гиперссылки, следует вручную вводить URL-адрес компании в браузере. Подавляющее большинство сообщений, приходящих от реальных сервисов, содержит в себе определенную информацию, недоступную для начинающих фишеров, такую как имя, либо последние цифры счета, хотя это лишь несколько снижает риски. Стоит отметить, что ссылка на фишинговый сайт может содержаться и в сообщениях от друзей, аккаунт которых подвергся взлому.
Технические методы минимизация рисков
Многие браузеры уже предупреждают интернет-пользователей об угрозах фишинга, для чего ведут собственные списки подобных сайтов. Ведут борьбу и почтовые сервисы, совершенствуя спам-фильтры и проводя анализ фишинговых писем. Крупные компании, с целью минимизации рисков, усложняют процедуры авторизации и совершенствуют защиту персональных данных.
Эксперт по информационной безопасности Михаил Терешков, представляющий АО «ЭР-Телеком Холдинг», приводит несколько достаточно простых, но эффективных методов защиты от фишинга. Необходимо обращать особое внимание на наличие у сайта сертификата безопасности, выглядящего как https, а также менять пароли роутера, установленные по умолчанию. При осуществлении покупок лучше не использовать общественный Wi-Fi, а проводя оплату в незнакомом интернет-магазине, следует собрать о нем побольше информации.
Фишинг в России
Как отмечают эксперты проекта «За права заемщиков», по итогам 2019 года фишинг занял лидирующую позицию в пятерке мошеннических схем, показав результат в 34%. По данным компании Group-IB, специализирующейся на предотвращении кибератак, количество краж, совершенных с банковских карт в период пандемии коронавируса, возросло в шесть раз.
Пользователей, под любым предлогом, заманивают на фишинговые сайты, где они вводят платежные данные, после чего мошенники используют полученную информацию для доступа к p2p сервисам банковских структур, осуществляя переводы денежных средств со счетов жертвы. В последнее время фиксируется до шестисот попыток подобного мошенничества в месяц, причем только в одном банке.
Вывод
Учитывая то обстоятельство, что кибератаки давно вошли в нашу жизнь, квалифицированная защита от киберпреступников стала одной из основных задач корпораций, разрабатывающих e-commerce сервисы, однако и рядовым пользователям следует не забывать о мерах, благодаря которым можно минимизировать риск попадания на удочку преступников.
