Что такое фишинг и как защитить от него свои личные данные

Количество людей, которые заняты удаленной работой, стремительно растет, как и количество потенциальных цифровых угроз. Одним из самых опасных и распространенных видов интернет-мошенничества является фишинг.

Login into account in email envelope and fishing hook. Phishing scam, hacker attack and web security concept. online scam and steal. vector illustration in flat design

Редакция MC.today разобралась, что это такое, изучила его цели, современные методы и способы защиты.

Что такое фишинг

Фишинг – это вид интернет-мошенничества, который заключается в краже конфиденциальных данных пользователей (логинов, паролей, учетных записей, банковских карт) с помощью электронных писем, поддельных сайтов и методов социальной инженерии.

Концепция фишинга

Его особенность в том, что жертва мошенничества предоставляет свои данные добровольно. Фишинговые атаки происходят по стандартной схеме: злоумышленники закидывают наживку – это может быть письмо, сообщение, ссылка на сайт. А затем пытаются поймать на нее доверчивых пользователей.

Весь этот процесс напоминает рыбную ловлю. Поэтому не удивительно, что англоязычный термин phishing созвучен со словом fishing — «рыбалка». Масштабы фишинга растут с каждым годом, так как «взломать» пользователя намного проще, чем его компьютер.

Цели и задачи фишинга

Фишинг является одним из наиболее распространенных и опасных видов киберпреступлений. Его цели и задачи могут варьироваться в зависимости от конкретной ситуации и намерений злоумышленников. Вот некоторые из наиболее типичных.

Похищение личных данных

Одной из основных целей фишинга является получение личных данных пользователей. Злоумышленники могут использовать фишинговые методы, чтобы получить доступ к логинам, паролям, номерам кредитных карт, социальным страховым номерам и другим важным личным данным. Их могут использовать для совершения кражи личности, мошенничества или других преступных действий.

Кража финансовых данных

Финансовый фишинг направлен на получение банковских данных пользователей: счетов, кредитных карт и данных платежных систем. Злоумышленники могут использовать их для несанкционированных транзакций, переводов денег или даже вымогательства выкупа.

Получение корпоративных данных

В мире бизнеса фишинг может быть направлен на получение конфиденциальных данных компании, таких как бизнес-секреты, планы разработки или клиентская информация. Их могут продавать конкурентам или другим сторонам, что может привести к финансовым потерям и ущербу репутации компании.

Распространение вредоносных программ

Некоторые фишинг-атаки могут быть направлены на распространение вредоносных программ, таких как троянские кони, шпионские агенты или ransomware. Злоумышленники могут использовать обманные методы, чтобы заставить пользователей скачивать и запускать вредоносные файлы, что может привести к заражению компьютеров и краже данных.

Типичные примеры фишинговых писем и веб-сайтов

Фишинговые письма и веб-сайты могут выглядеть настолько правдоподобно, что даже опытные пользователи попадают в ловушку. К примеру, вы получаете письмо в котором говорится, что пароль к вашему почтовому ящику в сервисе Gmail взломан и его рекомендуется сменить.

Условия конфиденциальности на веб-сайте Google

Ситуация тревожная, и действовать нужно незамедлительно. Поэтому вы переходите по ссылке в письме, чтобы сменить пароль. Но попадаете на поддельную веб-страницу, после чего доступ к вашей почте оказывается в руках хакеров. 

Именно так неизвестные похитили 50 тыс. электронных писем главы избирательного штаба Хиллари Клинтон Джона Подесты. Многие из них содержали компрометирующую информацию. В результате Клинтон проиграла президентские выборы 2016 года Дональду Трампу и история пошла по другому пути.

Или еще пример: вы получаете письмо от интернет-магазина, в котором часто совершаете покупки. В нем говорится, что вам начислены бонусы и для их получения нужно срочно подтвердить данные аккаунта. 

Вы переходите по ссылке, вводите свои личные данные и номер банковской карты. В заключение вас просят сделать «пробный платеж» на 1 грн. При оплате вы вводите трехзначный код безопасности карты и вскоре узнаете, что с вашего счета списали не одну, а, например, 10 тыс. грн. 

Иногда фишинговое письмо может содержать ссылки или прикрепленные файлы, при открытии которых на компьютер пользователя устанавливается вредоносное программное обеспечение. 

Конференция в Zoom

Так, в 2020 году соучредитель австралийского хедж-фонда Levitas Capital открыл письмо с поддельной ссылкой в Zoom, которая заразила вредоносным кодом всю корпоративную сеть его фонда и передала хакерам контроль над системами электронной почты.

Преступники использовали этот доступ, чтобы разослать от имени Levitas Capital поддельные счета на сумму более $8 млн. Часть денег позднее удалось вернуть, однако репутационные потери и уход основных клиентов фонда привели в конечном счете к его закрытию. 

Во всех этих случаях, как и при ловле на крючок, преступники первым делом пытаются зацепить человека за живое: привлекают большой выгодой, пугают потерей денег, давят на срочность или важность совершения нужного им действия.

По статистике одного из мировых лидеров в сфере информационной безопасности компании Symantec, большинство фишинговых писем содержит в заглавии одну из этих пяти тем:

• срочно;
Онлайн-курс "Business English for Marketers" від Laba.
Опануйте професійну англійську для маркетингу.Розширте карʼєрні можливості для роботи з іноземними колегами: від розробки нових продуктів до презентації стратегії бренду.
Детальніше про курс
• запрос;
• важно;
• оплата;
• внимание.

Методы фишинга

Злоумышленники используют разнообразные методы фишинга для достижения своих целей. Это может быть электронная почта, социальные сети, мессенджеры или даже телефонные звонки. Задача всегда одна: создавать ситуации, которые заставляют вас раскрывать личные данные.

Социальный фишинг и его особенности

Социальный фишинг – это хитроумный способ мошенничества, который использует человеческий фактор в целях получения доступа к личным данным и выполнения нежелательных действий. Бдительность, осторожность и знание особенностей этого метода помогут вам избежать попадания в его ловушки.

• Письма от коллеги или начальника. Злоумышленник может отправить электронное письмо от имени вашего коллеги, в котором будет просьба предоставить определенные корпоративные данные. Например, «коллега» может попросить вас отправить копию важного документа на определенный адрес. Этот вид фишинга основан на доверии к коллегам и может привести к утечке конфиденциальной информации.
Онлайн курс з промт інжинірингу та ефективної роботи з ШІ від Powercode academy.
Курс-інтенсив для отримання навичок роботи з ChatGPT та іншими інструментами ШІ для професійних та особистих задач, котрі допоможуть як новачку, так і професіоналу.
Записатися на курс
• Фишинг в социальных сетях. Злоумышленники могут создавать поддельные профили в социальных сетях, выдавая себя за друзей, родственников или даже коллег. Они начинают общение с вами, получают доступ к вашим личным данным и используют их в своих целях. Например, «друг» может попросить вас поделиться персональной информацией или деньгами.
• Звонки от службы поддержки. Злоумышленники часто представляются службой поддержки вашего банка или провайдера услуг. Они могут попросить вас подтвердить личные данные или предоставить пароль для «проверки». В результате вы можете раскрыть важную информацию, которая будет использована в мошеннических целях.

Spear Phishing, или спирфишинг: что это и как работает

Как мы уже знаем, фишинг – это мошенническая операция, в ходе которой хакеры массово рассылают электронные письма в надежде на то, что кто-нибудь из получателей раскроет свои учетные данные. Это напоминает рыбалку, когда рыбак забрасывает наживку и не знает, кто попадется на крючок.

Спирфишинг, напротив, имеет четкую цель. Обычно ею является человек или группа людей с привилегированным доступом, контактные данные которых позволят злоумышленникам добиться намного более значительного результата. Это больше напоминает не рыбалку, а охоту с копьем, когда охотник точно видит, на кого он охотится.

Для спирфишинга требуются более тщательная подготовка и более изобретательные методы. Нередко информацию о жертвах собирают в соцсетях, чтобы включить в фишинговые письма настоящие имена друзей и коллег, упоминания о реальных местах и событиях. 

Все это нужно, чтобы усыпить бдительность жертв, заставить их поверить, что они знают отправителя. Согласитесь, что если к вам придет письмо от вашего начальника с упоминанием коллег и текущих рабочих вопросов, то вы меньше всего будете склонны искать в нем какие-то странности и недочеты.

Фарминг: типичные схемы и методы атак

Термин фарминг (pharming) произошел от сочетания английских слов phishing и farming – занятие сельским хозяйством. Получается что-то вроде фишинговой фермы, где кража личных данных поставлена на поток.

Для этого злоумышленники используют специальное программное обеспечение, которое перенаправляет обращения к заданным сайтам на их поддельные копии. Таким образом достигается высокая скорость фишинговых атак, а участие пользователя сводится к минимуму.

Последствия фишинга

Последствия фишинга могут быть катастрофическими. Ваши финансовые средства могут быть похищены, ваша личная информация может быть продана на черном рынке, а ваши учетные записи могут быть использованы для совершения других мошеннических действий.

Как защититься от фишинга

Защита от фишинга включает в себя соблюдение нескольких элементарных правил безопасности в интернете.

Протоколы HTTP и HTTPS

1. Не раскрывайте личные данные. Помните, что никому нельзя передавать такую конфиденциальную информацию, как PIN-код банковской карты, пароли электронной почты или аккаунтов в соцсетях. Ни банк, ни соцсеть никогда не станут спрашивать эти данные по e-mail.
2. Обновляйте программное обеспечение. Установите хороший антивирус с обновляемой базой. Как правило, во всех популярных антивирусах есть защита от шпионских программ.
3. Будьте осторожны. Социальные сети и браузеры предупреждают о переходе на подозрительный сайт. Не игнорируйте подобные оповещения. 
4. Обращайте внимание на дизайн сайта. Если он сделан на скорую руку, содержит ошибки и вызывает подозрения, то такой ресурс может оказаться фишинговым.
5. Внимательно изучайте адресную строку. Даже незначительные изменения в URL могут привести вас на абсолютно другой сайт. Внимательно проверяйте адреса электронной почты отправителей и ссылки в письмах.
6. Будьте осторожны с сокращенными ссылками вроде bit.ly, по их виду невозможно сказать, куда они вас перенаправят. Если вы получили письмо с короткой ссылкой от неизвестного отправителя, не открывайте ее, пока не узнаете, куда она ведет.
7. Используйте защищенное соединение. При посещении банковских сайтов и совершении финансовых операций в интернете следите, чтобы было установлено защищенное соединение https://. На это указывает буква s перед двоеточием и значок закрытого замка в адресной строке. При клике по этому замку можно проверить безопасность соединения. Обращайте внимание на сертификат: он должен быть действительным.
8. С подозрением отнеситесь к электронным письмам, которые давят на эмоции или требуют каких-то срочных действий. Если письмо начинается со слов «Ваш аккаунт взломан» или «Вы получили крупный выигрыш», то в большинстве случаев это фишинг.
Курс Quality Assurance (QA) від Mate academy.
Курс QA — ідеальний для новачка. Від основ тестування до складних стратегій — опануйте всі технології, щоб жодна помилка не змогла вас оминути. Ми впевнені в якості нашого курсу, тому гарантуємо вам працевлаштування після його завершення.
Зареєструватись на курс
9. Старайтесь не заходить в свои банковские аккаунты с общественных точек Wi-Fi. В этом случае мошенники могут легко перехватить ваши личные данные.
10. Если в письме говорится, что нужно выполнить те или иные действия в вашем почтовом, банковском или другом аккаунте, не стоит заходить туда через прикрепленную к письму ссылку – она может вести на поддельную страницу. Лучше вручную введите адрес официального сайта и проверьте информацию там.
11. Используйте двухфакторную аутентификацию, это добавит дополнительный слой защиты к вашим аккаунтам.

Часто задаваемые вопросы (FAQ)

Вопрос: Какие шаги следует предпринять после получения подозрительного письма?
Ответ: Никогда не кликайте на ссылки в подозрительных письмах. Лучше вручную введите адрес официального сайта и проверьте информацию там.

Вопрос: Какие методы защиты эффективны против фишинга?
Ответ: Использование двухфакторной аутентификации и внимательная проверка электронных писем могут значительно уменьшить риски фишинга.

Вопрос: Какие последствия фишинга для бизнеса?
Ответ: Бизнес может столкнуться с утечкой конфиденциальных данных, финансовыми убытками и потерей доверия клиентов.

Вопрос: Какие отрасли наиболее подвержены фишингу?
Ответ: Финансовый и банковский сектор, а также сфера электронной коммерции обычно становятся целями фишинговых атак из-за ценной информации, которую они хранят. Согласно исследованию Tessian, чаще всего для совершения фишинговых атак в 2021 году имитировали сайты популярного маркетплейса Amazon, сервиса для видеоконференций Zoom, разработчика программного обеспечения Adobe и техногиганта Microsoft.

Заключение

Фишинг – это не только техническая атака, но и психологический обман. Злоумышленники активно используют манипуляции и социальную инженерию, чтобы обмануть пользователей и получить доступ к их личным и финансовым данным. Поэтому понимание целей и задач фишинга позволяет быть более бдительными и защищенными в современном цифровом мире.