Что такое фишинг в сети, какую цель он преследует, и как защититься?

Типы фишинга

Существует много видов фишинга.  Некоторые из популярных:

•  Обычные обычные электронные письма с просьбой указать ваши личные данные являются наиболее распространенной формой фишинга.
•  Копье фишинг
•  Китобойные мошенники
•  Smishing (SMS-фишинг) и Vishing
•  Мошенничество
•  Tabnabbing

1. Общий фишинг

В своей основной форме фишинга вы сталкиваетесь с электронными письмами и текстами, предупреждающими вас о чем-то, когда просите вас нажать на ссылку.  В некоторых случаях они просят вас открыть вложение в электронном письме, которое они вам отправили.

 В строке темы письма киберпреступники заманивают вас к открытию письма или текста.  Иногда, тема заключается в том, что одна из ваших учетных записей онлайн нуждается в обновлении и очень срочно.

В теле письма или текста есть некоторая убедительная информация, которая является фальшивой, но преподносится как правдоподобная, а затем заканчивается призывом к действию: вас просят щелкнуть ссылку, которую они предоставляют в фишинговом письме или тексте.  Текстовые сообщения более опасны, поскольку они используют сокращенные URL-адреса, назначение или полную ссылку которых нельзя проверить, не щелкая их, когда вы читаете их по телефону.

2. Копье фишинга

Относится к целевому фишингу, где целями являются сотрудники деловых домов.  Киберпреступники получают рабочие идентификаторы и отправляют поддельные фишинговые письма на эти адреса.  Он выглядит как электронное письмо от кого-то, кто находится на вершине корпоративной лестницы, что создает достаточно причин для спешки, чтобы ответить на него… тем самым помогая киберпреступникам проникнуть в сеть бизнес-дома.

3. китобойный промысел

Китобойный промысел похож на фишинг с копьем.  Единственная разница между китобойным и фишингом копьё заключается в том, что фишинг копьё может быть нацелен на любого сотрудника, а китобойный промысел — на определенных привилегированных сотрудников.  Метод тот же.  Киберпреступники получают официальные идентификаторы электронной почты и номера телефонов жертв и отправляют им убедительные электронные письма или текстовые сообщения, в которых содержится призыв к действию, который может открыть корпоративную интрасеть для доступа к задней двери.

4. Smishing и Vishing

Когда киберпреступники используют службу коротких сообщений (SMS), чтобы выявлять личные данные жертв, это называется SMS-фишингом или, если коротко, Smishing.

5. QRishing афера

QR-коды не новы.  Когда предполагается, что информация должна быть краткой и секретной, лучше всего использовать QR-коды.  Возможно, вы видели QR-коды на разных платежных шлюзах, в банковских объявлениях или просто в WhatsApp Web.  Эти коды содержат информацию в форме квадрата с черными рисунками, разбросанными по всему периметру.  Поскольку неизвестно, какую информацию предоставляет QR-код, всегда лучше держаться подальше от неизвестных источников кодов.  То есть, если вы получаете QR-код в электронном письме или тексте от лица, которого вы не знаете, не сканируйте его. 

6. Tabnabbing

После того, как вы перейдете на другую вкладку, вкладка изменяет страницу, которую вы посещали, на мошенническую страницу.  Давайте скажем:

•  Вы переходите на подлинный сайт.
•  Вы открываете другую вкладку и просматриваете другой сайт.
•  Через некоторое время вы возвращаетесь на первую вкладку.
•  Вас приветствуют новые данные для входа, возможно, в вашу учетную запись Gmail.
•  Вы входите снова, не подозревая, что страница, включая значок, действительно изменилась за вашей спиной!

 Это Tabnabbing, также называемый Tabjacking.

 Есть некоторые другие виды фишинга, которые в наше время не используются.  Я не назвал их в этом посте.  Методы фишинга продолжают добавлять новые методы к преступлению.  Изучайте различные типы киберпреступлений, если вы заинтересованы в своей безопасности.

Техника фишинга

Социальная инженерия

Основная статья: Социальная инженерия

Человек всегда реагирует на значимые для него события. Поэтому фишеры стараются своими действиями встревожить пользователя и вызвать его немедленную реакцию

Поэтому, к примеру, электронное письмо с заголовком «чтобы восстановить доступ к своему банковскому счёту …», как правило, привлекает внимание и заставляет человека пройти по веб-ссылке для получения более подробной информации.

Веб-ссылки

Пример фишингового письма от платёжной системы Яндекс.Деньги, где внешне подлинная веб-ссылка ведёт на фишинговый сайт

Большинство методов фишинга сводится к тому, чтобы замаскировать поддельные ссылки на фишинговые сайты под ссылки настоящих организаций. Адреса с опечатками или субдомены часто используются мошенниками.

Например http://www.yourbank.example.com/ похож на адрес банка Yourbank, а на самом деле он ссылается на фишинговую составляющую сайта example.com. Другая распространённая уловка заключается в использовании внешне правильных ссылок, в реальности ведущих на фишинговый сайт. Например, http://ru.wikipedia.org/wiki/Правда приведёт не на статью «Правда», а на статью «Ложь».

Один из старых методов обмана заключается в использовании ссылок, содержащих символ «@», который применяется для включения в ссылку имени пользователя и пароля. Например, ссылка http://www.google.com@members.tripod.com/ приведёт не на www.google.com, а на members.tripod.com от имени пользователя www.google.com. Эта функциональность была отключена в Internet Explorer, а Mozilla Firefox и Opera выдают предупреждение и предлагают подтвердить переход на сайт. Но это не отменяет использование в HTML-теге <a> значения href, отличного от текста ссылки.

Ещё одна проблема была обнаружена при обработке браузерами Интернациональных Доменных Имён: адреса, визуально идентичные официальным, могли вести на сайты мошенников.

Обход фильтров

Фишеры часто вместо текста используют изображения, что затрудняет обнаружение мошеннических электронных писем антифишинговыми фильтрами. Но специалисты научились бороться и с этим видом фишинга. Так, фильтры почтовых программ могут автоматически блокировать изображения, присланные с адресов, не входящих в адресную книгу. К тому же появились технологии, способные обрабатывать и сравнивать изображения с сигнатурами однотипных картинок, используемых для спама и фишинга.

Веб-сайты

Обман не заканчивается на посещении жертвой фишингового сайта. Некоторые фишеры используют JavaScript для изменения адресной строки. Это достигается либо путём размещения картинки с поддельным URL поверх адресной строки либо закрытием настоящей адресной строки и открытием новой с поддельным URL.

Злоумышленник может использовать уязвимости в скриптах подлинного сайта. Этот вид мошенничества (известный как межсайтовый скриптинг) наиболее опасен, так как пользователь авторизуется на настоящей странице официального сайта, где всё (от веб-адреса до сертификатов) выглядит подлинным. Подобный фишинг очень сложно обнаружить без специальных навыков. Данный метод применялся в отношении PayPal в 2006 году.

Для противостояния антифишинговым сканерам фишеры начали использовать веб-сайты, основанные на технологии Flash. Внешне подобный сайт выглядит как настоящий, но текст скрыт в мультимедийных объектах.

Новые угрозы

Сегодня фишинг выходит за пределы интернет-мошенничества, а поддельные веб-сайты стали лишь одним из множества его направлений. Письма, которые якобы отправлены из банка, могут сообщать пользователям о необходимости позвонить по определённому номеру для решения проблем с их банковскими счетами. Эта техника называется вишинг (голосовой фишинг). Позвонив на указанный номер, пользователь заслушивает инструкции автоответчика, которые указывают на необходимость ввести номер своего счёта и PIN-код. К тому же вишеры могут сами звонить жертвам, убеждая их, что они общаются с представителями официальных организаций, используя фальшивые номера. В конечном счёте, человека также попросят сообщить его учётные данные.

Набирает свои обороты и SMS-фишинг, также известный как смишинг (англ. SMiShing — от «SMS» и «фишинг»). Мошенники рассылают сообщения, содержащие ссылку на фишинговый сайт, — входя на него и вводя свои личные данные, жертва аналогичным образом передаёт их злоумышленникам. В сообщении также может говориться о необходимости позвонить мошенникам по определённому номеру для решения «возникших проблем».

Сложные фишинговые атаки

Более продвинутые фишинговые атаки требуют лишь несколько дополнительных строк кода. Эти страницы также отображают значок загрузки, но уже через несколько секунд перенаправляют пользователя на легитимный сайт.

На этом этапе данные пользователя также уже отправлены злоумышленнику, однако заметить ссылку в адресной строке уже нельзя. Обычно пользователи думают, что неправильно ввели имя пользователя или пароль, либо произошла еще какая-либо заминка, и пытаются войти в систему снова.

Затем об этой маленькой заминке пользователи забывают и не предпринимают никаких действий. Однако через несколько часов, дней или даже месяцев начинаются реальные проблемы с личными данными.

Рисунок 2. Фишинговая страница авторизации Google

Выявление фишинговых писем и текстов

Меры предосторожности при фишинге

Вышеупомянутый раздел говорил об идентификации фишинговых писем и текстов.  В основе всех мер предосторожности лежит необходимость проверять происхождение электронной почты, а не просто щелкать ссылки в письме.  Не давайте никому свои пароли и вопросы безопасности.  Посмотрите на идентификатор электронной почты, с которого письмо было отправлено.

Если это текст от друга, вы знаете, вы можете подтвердить, действительно ли он отправил его.  Вы можете позвонить ему и спросить, отправил ли он сообщение со ссылкой.

 Никогда не нажимайте на ссылки в электронных письмах из источников, которые вы не знаете.  Даже для электронных писем, которые кажутся подлинными, предположительно от Amazon, не нажимайте на ссылку.  Вместо этого откройте браузер и введите URL-адрес Amazon.  Оттуда вы можете проверить, действительно ли вам нужно отправлять какие-либо подробности отправителю.

 Некоторые ссылки говорят, что вы должны подтвердить свою регистрацию.  Подумайте, вы недавно подписались на какую-либо услугу?  Если вы не можете вспомнить, забудьте про ссылку  поступившую на электронную почту.

Готовим снасти

У фишинга как инструмента аудита есть масса плюсов, но и недостатков тоже хватает. Создание качественных подделок занимает уйму времени, а их отправка часто распознается и блокируется защитными системами — от простейших спам-фильтров до специализированных антифишинговых. Поэтому, чтобы проверить реакцию своих систем и сотрудников на качественно составленные фишинговые письма, отделу безопасности приходится тратить рабочее время на тщательную подготовку. Упростить эту рутинную процедуру помогают новые инструменты — автоматизированные системы отправки поддельных писем и сбора статистики откликов на них.

Специалист по безопасности Джордан Райт (Jordan Wright) в начале этого года приступил к разработке Gophish — фреймворка с открытым исходным кодом, позволяющего быстро выяснить реакцию сотрудников на фишинговые письма. Изначально фреймворк разрабатывался для ускорения экспресс-аудита в собственной компании, но сейчас его возможности постепенно расширяются.

В названии Gophish заложена игра слов: это и призыв к фишингу (в благих целях), и указание на язык разработки Go, придуманный в Google. Последняя предварительная версия фреймворка — Gophish v.0.2 совместима с 32-битными и 64-разрядными версиями Windows, Mac и Linux. Она поддерживает ускоренную отправку писем через gomail, составление модальных диалогов через sweetalert2, создание всевозможных шаблонов, а также планирование и запуск фишинговых кампаний по расписанию.

Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», увеличит личную накопительную скидку и позволит накапливать профессиональный рейтинг Xakep Score!
Подробнее

Вариант 2. Открой один материал

Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя!
Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.

Я уже участник «Xakep.ru»

Фишинг в 2017 году: основные примеры фишинговых атак

Фишинг — это вид интернет-мошенничества, построенный на принципах социальной инженерии. Главная цель фишинга — получить доступ к критически важным данным (например, паспортным), учетным записям, банковским реквизитам, закрытой служебной информации, чтобы использовать их в дальнейшем для кражи денежных средств. Работает фишинг через перенаправление пользователей на поддельные сетевые ресурсы, являющиеся полной имитацией настоящих.

1. Классический фишинг — фишинг подмены

К этой категории можно отнести большую часть всех фишинговых атак. Злоумышленники рассылают электронные письма от имени реально существующей компании с целью завладеть учетными данными пользователей и получить контроль над их личными или служебными аккаунтами. Вы можете получить фишинговое письмо от имени платежной системы или банка, службы доставки, интернет-магазина, социальной сети, налоговой и т.д.

Фишинговые письма создают с большой скрупулезностью. Они практически ничем не отличаются от тех писем, которые пользователь регулярно получает в рассылках от настоящей компании. Единственное, что может насторожить — просьба перейти по ссылке для выполнения какого-либо действия. Переход этот, однако, ведет на сайт мошенников, являющийся “близнецом” страницы сайта банка, социальной сети или другого легального ресурса.

Побудительным мотивом для перехода по ссылке в подобных письмах может выступать как “пряник” (”Вы можете получить 70% скидку на услуги, если зарегистрируетесь в течение суток”), так и “кнут” (”Ваша учетная запись заблокирована в связи с подозрительной активностью. Чтобы подтвердить, что вы владелец аккаунта, перейдите по ссылке”).

Приведем список самых популярных уловок мошенников:

• Ваша учетная запись была или будет заблокирована /отключена.

  Тактика запугивания пользователя может быть очень эффективной. Угроза того, что аккаунт был или в ближайшее время будет заблокирован, если пользователь сейчас же не зайдет в учетную запись, заставляет тут же потерять бдительность, перейти по ссылке в письме и ввести свой логин и пароль.

• В Вашей учетной записи обнаружены подозрительные или мошеннические действия. Требуется обновление настроек безопасности.

  В таком письме пользователя просят срочно войти в учетную запись и обновить настройки безопасности. Действует тот же принцип, что и в предыдущем пункте. Пользователь паникует и забывает о бдительности.

• Вы получили важное сообщение. Перейдите в личный кабинет, чтобы ознакомиться.

  Чаще всего такие письма присылают от имени финансовых организаций. Пользователи склонны верить правдивости писем, поскольку финансовые организации действительно не пересылают конфиденциальную информацию по электронной почте.

• Фишинговые письма налоговой тематики.

  Такие письма входят в тренд, как только близится время платить налоги. Темы писем могут быть самыми разными: уведомление о задолженности, просьба выслать недостающий документ, уведомление о праве на получение возврата налога, и т.д.

2. Целенаправленная фишинговая атака

Не всегда фишинг бьет наудачу — часто атаки являются персонифицированными, целенаправленными. Цель та же — заставить пользователя перейти на фишинговый сайт и оставить свои учетные данные.

Естественно, у будущей жертвы больше доверия вызовет письмо, в котором к ней обращаются по имени, упоминают место работы, должность, занимаемую в компании, еще какие-либо индивидуальные данные. Причем информацию для направленных фишинговых атак люди чаще всего предоставляют сами. Особенно “урожайны” для преступников такие ресурсы как всем известная LinkedIn — создавая резюме в расчете на потенциальных работодателей, каждый старается указать побольше сведений о себе.

Для предупреждения подобных ситуаций организациям следует постоянно напоминать сотрудникам о нежелательности размещения личной и служебной информации в открытом доступе.

3. Фишинг против топ-менеджмента

Особый интерес для мошенников представляют учетные данные руководства.

Как правило, специалисты по безопасности любой фирмы внедряют четкую систему допусков и уровней ответственности, в зависимости от должности работника. Так, менеджер по продажам имеет доступ к базе данных продукции, а список сотрудников компании для него — запретная зона. HR-специалист, в свою очередь, полностью в курсе, какие вакансии кем заняты, какие только что освободились, кто достоин повышения, но понятия не имеет о номерах и состоянии банковских счетов родной фирмы. Руководитель же обычно сосредотачивает в своих руках доступ ко всем критически важным узлам жизни предприятия или организации.

Получив доступ к учетной записи главы компании, специалисты по фишингу идут дальше и используют ее для коммуникации с другими отделами предприятия, например, одобряют мошеннические банковские переводы в финансовые учреждения по своему выбору.

Несмотря на высокий уровень допуска, менеджеры высшего звена не всегда участвуют в программах обучения персонала основам информационной безопасности. Вот почему, когда фишинговая атака направлена против них, это может привести к особенно тяжелым последствиям для компании.

4. Фишинг рассылки от Google и Dropbox

Сравнительно недавно в фишинге появилось новое направление — охота за логинами и паролями для входа в облачные хранилища данных.

В облачном сервисе Dropbox и на Google Диске пользователи, как личные так и корпоративные, хранят множество конфиденциальной информации. Это презентации, таблицы и документы (служебные), резервные копии данных с локальных компьютеров, личные фотографии и пароли к другим сервисам.

Неудивительно, что получить доступ к учетным записям на этих ресурсах — заманчивая перспектива для злоумышленников. Для достижения этой цели используют стандартный подход. Создается фишинговый сайт, полностью имитирующий страницу входа в аккаунт на том или ином сервисе. Потенциальных жертв на него в большинстве случаев перенаправляет фишинговая ссылка в электронном письме.

5. Фишинговые письма с прикрепленными файлами

Ссылка на подозрительный сайт с целью украсть данные пользователя — не самое страшное, на что способен фишинг. Ведь в этом случае преступники получат доступ лишь к определенной части конфиденциальной информации — логину, паролю, т.е к аккаунту в определенном сервисе. Гораздо хуже, когда фишинг-атака приводит к компрометации всего компьютера жертвы вредоносным программным обеспечением: вирусом-шифровальщиком, шпионом, трояном.

Такие вирусы могут содержаться во вложениях к письмам. Предполагая, что письмо пришло от доверенного источника, пользователи охотно скачивают такие файлы и заражают свои компьютеры, планшеты и лэптопы.

Насколько распространен фишинг?

Фишинговые атаки встречаются чаще, чем вредоносные программы.  Это означает, что все больше и больше киберпреступников занимаются фишингом по сравнению с теми, кто распространяет вредоносное ПО, используя электронную почту, фальшивые веб-сайты или фальшивую рекламу на подлинных веб-сайтах.

В наши дни фишинговые комплекты продаются в Интернете, поэтому практически каждый, кто разбирается в сетях, может их купить и использовать для нелегальных задач.  Эти фишинговые комплекты предоставляют все — от клонирования веб-сайта до составления убедительного электронного письма или текста.

Как работает фишинг?

Фишинг, с которым мы обычно имеем дело, состоит в отправке потенциальным жертвам специально созданных электронных писем или СМС. Они содержат ссылки на вредоносные веб-сайты, где интернет-пользователи должны предоставлять конфиденциальные данные, которые обычно являются логином и паролем для электронного банковского веб-сайта. Тем самым вы позволяете мошенникам воровать деньги со своих счетов. Заставить жертву сделать это – самая большая проблема, поэтому киберпреступники постоянно придумывают новые причины для осуществления своих планов. В последнее время наиболее распространенным методом фишинга являются микроплатежи.

В злонамеренных сообщениях вы можете “узнать” про приостановленный пакет услуг, заблокированный аукцион на сайте предложений, разницу в сумме счета, задолженность в налоговой инспекции или у поставщика энергии, которые будут иметь неприятные последствия для вас. Недостающие деньги можно перевести через сайт быстрых платежей, на который включена ссылка в сообщении. Однако он перенаправляет на сайт, обманчиво похожий на популярные сайты, такие как PayPal или DotPay. И введенные на нем данные поступают преступникам, что позволяет им войти в учетную запись жертвы в службе транзакций и перевести финансовые средства на свои собственные счета.

Тем не менее, фишинг – это не только кража персональных данных обычных интернет-пользователей. Таким образом, мошенники все чаще пытаются убедить сотрудников предприятий предоставить им логин и пароль для внутренней сети компании или установить вредоносное программное обеспечение. Оно даст им открытый доступ в базу данных компании или организации и приведет к краже различной информации.

Вышеупомянутый целевой фишинг чаще всего используется для конкретных целей

Этот метод состоит в том, что преступники выбирают конкретного человека из персонала компании и фокусируют на нем свое внимание, заставляя играть на своем поле. В особой зоне риска – бухгалтеры, секретари и сотрудники имеющие доступ к базе данных

Преступники месяцами собирают информацию об этом человеке и используют ее, чтобы сделать мошенничество как можно более достоверным. Иногда мошенники даже притворяются супервайзерами или вспомогательным персоналом, заставляя пользователя установить вредоносную программу на свой ПК. Такой фишинг сложнее расшифровать, потому что он персонализированный, что, безусловно, усложняет поиск злоумышленников.

Все больше и больше организаций сталкиваются с этой проблемой. Лучшим способом минимизировать такую угрозу до сих пор остается обучение и информирование сотрудников, чтобы они не стали жертвами изощренных преступников. В настоящее время это лучший метод защиты от фишинга, поскольку антивирусные программы иногда могут обнаружить вредоносное вложение в сообщении электронной почты или заблокировать поддельный веб-сайт, они делают это не во всех случаях. Здравый смысл и принцип ограниченного доверия является лучшим оружием в борьбе с мошенничеством.