Что такое фишинг и как защитить от него свои личные данные

Количество людей, которые заняты удаленной работой, стремительно растет, как и количество потенциальных цифровых угроз. Одним из самых опасных и распространенных видов интернет-мошенничества является фишинг.

Редакция MC.today разобралась, что это такое, изучила его цели, современные методы и способы защиты.

Что такое фишинг

Фишинг – это вид интернет-мошенничества, который заключается в краже конфиденциальных данных пользователей (логинов, паролей, учетных записей, банковских карт) с помощью электронных писем, поддельных сайтов и методов социальной инженерии.

Его особенность в том, что жертва мошенничества предоставляет свои данные добровольно. Фишинговые атаки происходят по стандартной схеме: злоумышленники закидывают наживку – это может быть письмо, сообщение, ссылка на сайт. А затем пытаются поймать на нее доверчивых пользователей.

Весь этот процесс напоминает рыбную ловлю. Поэтому не удивительно, что англоязычный термин phishing созвучен со словом fishing — «рыбалка». Масштабы фишинга растут с каждым годом, так как «взломать» пользователя намного проще, чем его компьютер.

Цели и задачи фишинга

Фишинг является одним из наиболее распространенных и опасных видов киберпреступлений. Его цели и задачи могут варьироваться в зависимости от конкретной ситуации и намерений злоумышленников. Вот некоторые из наиболее типичных.

Похищение личных данных

Одной из основных целей фишинга является получение личных данных пользователей. Злоумышленники могут использовать фишинговые методы, чтобы получить доступ к логинам, паролям, номерам кредитных карт, социальным страховым номерам и другим важным личным данным. Их могут использовать для совершения кражи личности, мошенничества или других преступных действий.

Кража финансовых данных

Финансовый фишинг направлен на получение банковских данных пользователей: счетов, кредитных карт и данных платежных систем. Злоумышленники могут использовать их для несанкционированных транзакций, переводов денег или даже вымогательства выкупа.

Получение корпоративных данных

В мире бизнеса фишинг может быть направлен на получение конфиденциальных данных компании, таких как бизнес-секреты, планы разработки или клиентская информация. Их могут продавать конкурентам или другим сторонам, что может привести к финансовым потерям и ущербу репутации компании.

Распространение вредоносных программ

Некоторые фишинг-атаки могут быть направлены на распространение вредоносных программ, таких как троянские кони, шпионские агенты или ransomware. Злоумышленники могут использовать обманные методы, чтобы заставить пользователей скачивать и запускать вредоносные файлы, что может привести к заражению компьютеров и краже данных.

Типичные примеры фишинговых писем и веб-сайтов

Фишинговые письма и веб-сайты могут выглядеть настолько правдоподобно, что даже опытные пользователи попадают в ловушку. К примеру, вы получаете письмо в котором говорится, что пароль к вашему почтовому ящику в сервисе Gmail взломан и его рекомендуется сменить.

Ситуация тревожная, и действовать нужно незамедлительно. Поэтому вы переходите по ссылке в письме, чтобы сменить пароль. Но попадаете на поддельную веб-страницу, после чего доступ к вашей почте оказывается в руках хакеров. 

Именно так неизвестные похитили 50 тыс. электронных писем главы избирательного штаба Хиллари Клинтон Джона Подесты. Многие из них содержали компрометирующую информацию. В результате Клинтон проиграла президентские выборы 2016 года Дональду Трампу и история пошла по другому пути.

Или еще пример: вы получаете письмо от интернет-магазина, в котором часто совершаете покупки. В нем говорится, что вам начислены бонусы и для их получения нужно срочно подтвердить данные аккаунта. 

Вы переходите по ссылке, вводите свои личные данные и номер банковской карты. В заключение вас просят сделать «пробный платеж» на 1 грн. При оплате вы вводите трехзначный код безопасности карты и вскоре узнаете, что с вашего счета списали не одну, а, например, 10 тыс. грн. 

Иногда фишинговое письмо может содержать ссылки или прикрепленные файлы, при открытии которых на компьютер пользователя устанавливается вредоносное программное обеспечение. 

Так, в 2020 году соучредитель австралийского хедж-фонда Levitas Capital открыл письмо с поддельной ссылкой в Zoom, которая заразила вредоносным кодом всю корпоративную сеть его фонда и передала хакерам контроль над системами электронной почты.

Преступники использовали этот доступ, чтобы разослать от имени Levitas Capital поддельные счета на сумму более $8 млн. Часть денег позднее удалось вернуть, однако репутационные потери и уход основных клиентов фонда привели в конечном счете к его закрытию. 

Во всех этих случаях, как и при ловле на крючок, преступники первым делом пытаются зацепить человека за живое: привлекают большой выгодой, пугают потерей денег, давят на срочность или важность совершения нужного им действия.

По статистике одного из мировых лидеров в сфере информационной безопасности компании Symantec, большинство фишинговых писем содержит в заглавии одну из этих пяти тем:

• срочно;
• запрос;
• важно;
• оплата;
• внимание.

Методы фишинга

Злоумышленники используют разнообразные методы фишинга для достижения своих целей. Это может быть электронная почта, социальные сети, мессенджеры или даже телефонные звонки. Задача всегда одна: создавать ситуации, которые заставляют вас раскрывать личные данные.

Социальный фишинг и его особенности

Социальный фишинг – это хитроумный способ мошенничества, который использует человеческий фактор в целях получения доступа к личным данным и выполнения нежелательных действий. Бдительность, осторожность и знание особенностей этого метода помогут вам избежать попадания в его ловушки.

• Письма от коллеги или начальника. Злоумышленник может отправить электронное письмо от имени вашего коллеги, в котором будет просьба предоставить определенные корпоративные данные. Например, «коллега» может попросить вас отправить копию важного документа на определенный адрес. Этот вид фишинга основан на доверии к коллегам и может привести к утечке конфиденциальной информации.
• Фишинг в социальных сетях. Злоумышленники могут создавать поддельные профили в социальных сетях, выдавая себя за друзей, родственников или даже коллег. Они начинают общение с вами, получают доступ к вашим личным данным и используют их в своих целях. Например, «друг» может попросить вас поделиться персональной информацией или деньгами.
• Звонки от службы поддержки. Злоумышленники часто представляются службой поддержки вашего банка или провайдера услуг. Они могут попросить вас подтвердить личные данные или предоставить пароль для «проверки». В результате вы можете раскрыть важную информацию, которая будет использована в мошеннических целях.

Spear Phishing, или спирфишинг: что это и как работает

Как мы уже знаем, фишинг – это мошенническая операция, в ходе которой хакеры массово рассылают электронные письма в надежде на то, что кто-нибудь из получателей раскроет свои учетные данные. Это напоминает рыбалку, когда рыбак забрасывает наживку и не знает, кто попадется на крючок.

Спирфишинг, напротив, имеет четкую цель. Обычно ею является человек или группа людей с привилегированным доступом, контактные данные которых позволят злоумышленникам добиться намного более значительного результата. Это больше напоминает не рыбалку, а охоту с копьем, когда охотник точно видит, на кого он охотится.

Для спирфишинга требуются более тщательная подготовка и более изобретательные методы. Нередко информацию о жертвах собирают в соцсетях, чтобы включить в фишинговые письма настоящие имена друзей и коллег, упоминания о реальных местах и событиях. 

Все это нужно, чтобы усыпить бдительность жертв, заставить их поверить, что они знают отправителя. Согласитесь, что если к вам придет письмо от вашего начальника с упоминанием коллег и текущих рабочих вопросов, то вы меньше всего будете склонны искать в нем какие-то странности и недочеты.

Фарминг: типичные схемы и методы атак

Термин фарминг (pharming) произошел от сочетания английских слов phishing и farming – занятие сельским хозяйством. Получается что-то вроде фишинговой фермы, где кража личных данных поставлена на поток.

Для этого злоумышленники используют специальное программное обеспечение, которое перенаправляет обращения к заданным сайтам на их поддельные копии. Таким образом достигается высокая скорость фишинговых атак, а участие пользователя сводится к минимуму.

Последствия фишинга

Последствия фишинга могут быть катастрофическими. Ваши финансовые средства могут быть похищены, ваша личная информация может быть продана на черном рынке, а ваши учетные записи могут быть использованы для совершения других мошеннических действий.

Как защититься от фишинга

Защита от фишинга включает в себя соблюдение нескольких элементарных правил безопасности в интернете.

1. Не раскрывайте личные данные. Помните, что никому нельзя передавать такую конфиденциальную информацию, как PIN-код банковской карты, пароли электронной почты или аккаунтов в соцсетях. Ни банк, ни соцсеть никогда не станут спрашивать эти данные по e-mail.
2. Обновляйте программное обеспечение. Установите хороший антивирус с обновляемой базой. Как правило, во всех популярных антивирусах есть защита от шпионских программ.
3. Будьте осторожны. Социальные сети и браузеры предупреждают о переходе на подозрительный сайт. Не игнорируйте подобные оповещения. 
4. Обращайте внимание на дизайн сайта. Если он сделан на скорую руку, содержит ошибки и вызывает подозрения, то такой ресурс может оказаться фишинговым.
5. Внимательно изучайте адресную строку. Даже незначительные изменения в URL могут привести вас на абсолютно другой сайт. Внимательно проверяйте адреса электронной почты отправителей и ссылки в письмах.
6. Будьте осторожны с сокращенными ссылками вроде bit.ly, по их виду невозможно сказать, куда они вас перенаправят. Если вы получили письмо с короткой ссылкой от неизвестного отправителя, не открывайте ее, пока не узнаете, куда она ведет.
7. Используйте защищенное соединение. При посещении банковских сайтов и совершении финансовых операций в интернете следите, чтобы было установлено защищенное соединение https://. На это указывает буква s перед двоеточием и значок закрытого замка в адресной строке. При клике по этому замку можно проверить безопасность соединения. Обращайте внимание на сертификат: он должен быть действительным.
8. С подозрением отнеситесь к электронным письмам, которые давят на эмоции или требуют каких-то срочных действий. Если письмо начинается со слов «Ваш аккаунт взломан» или «Вы получили крупный выигрыш», то в большинстве случаев это фишинг.
9. Старайтесь не заходить в свои банковские аккаунты с общественных точек Wi-Fi. В этом случае мошенники могут легко перехватить ваши личные данные.
10. Если в письме говорится, что нужно выполнить те или иные действия в вашем почтовом, банковском или другом аккаунте, не стоит заходить туда через прикрепленную к письму ссылку – она может вести на поддельную страницу. Лучше вручную введите адрес официального сайта и проверьте информацию там.
11. Используйте двухфакторную аутентификацию, это добавит дополнительный слой защиты к вашим аккаунтам.

Часто задаваемые вопросы (FAQ)

Вопрос: Какие шаги следует предпринять после получения подозрительного письма?
Ответ: Никогда не кликайте на ссылки в подозрительных письмах. Лучше вручную введите адрес официального сайта и проверьте информацию там.

Вопрос: Какие методы защиты эффективны против фишинга?
Ответ: Использование двухфакторной аутентификации и внимательная проверка электронных писем могут значительно уменьшить риски фишинга.

Вопрос: Какие последствия фишинга для бизнеса?
Ответ: Бизнес может столкнуться с утечкой конфиденциальных данных, финансовыми убытками и потерей доверия клиентов.

Вопрос: Какие отрасли наиболее подвержены фишингу?
Ответ: Финансовый и банковский сектор, а также сфера электронной коммерции обычно становятся целями фишинговых атак из-за ценной информации, которую они хранят. Согласно исследованию Tessian, чаще всего для совершения фишинговых атак в 2021 году имитировали сайты популярного маркетплейса Amazon, сервиса для видеоконференций Zoom, разработчика программного обеспечения Adobe и техногиганта Microsoft.

Заключение

Фишинг – это не только техническая атака, но и психологический обман. Злоумышленники активно используют манипуляции и социальную инженерию, чтобы обмануть пользователей и получить доступ к их личным и финансовым данным. Поэтому понимание целей и задач фишинга позволяет быть более бдительными и защищенными в современном цифровом мире.