Что такое голосовой фишинг
Услуги стационарной телефонной связи традиционно заслуживают доверия; завершены в физических местах, известных телефонной компании, и связаны с плательщиком счетов. Однако теперь злоумышленники-мошенники часто используют современные функции передачи голоса по IP (VoIP), такие как подмена идентификатора вызывающего абонента и автоматические системы ( IVR ), чтобы препятствовать обнаружению правоохранительными органами. Голосовой фишинг обычно используется для кражи номеров кредитных карт или другой информации, используемой в схемах кражи личных данных у частных лиц.
Аудио дипфейки использовались для совершения мошенничества, заставляя людей думать, что они получают инструкции от доверенного лица.
СОДЕРЖАНИЕ
Терминология
Мотивы
Операция
Голосовой фишинг принимает различные формы. Существуют различные методы и различные структуры операций для различных типов фишинга. Обычно мошенники используют социальную инженерию, чтобы убедить жертв в той роли, которую они играют, и создать ощущение срочности, чтобы использовать против них.
Механизмы инициации
Атака голосового фишинга может быть инициирована с помощью различных механизмов доставки. Мошенник может напрямую позвонить жертве и притвориться заслуживающим доверия человеком, подделав идентификатор вызывающего абонента, появившись по телефону как должностное лицо или кого-то поблизости. Мошенники также могут доставлять заранее записанные сообщения с угрозами в почтовые ящики голосовой почты жертв, чтобы побудить их к действию. Жертвы также могут получить текстовое сообщение с просьбой позвонить по указанному номеру и взимать плату за звонок по указанному номеру. Кроме того, жертва может получить электронное письмо от имени банка; Затем жертву можно принудить предоставить в телефонном звонке личную информацию, такую как PIN-код, номер учетной записи или другие учетные данные для аутентификации.
Распространенные методы и мошенничество
Злоумышленники с голосовым фишингом часто используют социальную инженерию, чтобы убедить жертв дать им деньги и / или доступ к личным данным. Как правило, мошенники пытаются создать ощущение срочности и / или боязнь власти, чтобы использовать их в качестве рычага против жертв.
Обнаружение и предотвращение
Жертвам бывает сложно идентифицировать голосовые фишинговые атаки, поскольку законные учреждения, такие как банки, иногда запрашивают конфиденциальную личную информацию по телефону. В фишинговых схемах могут использоваться предварительно записанные сообщения известных региональных банков, чтобы их нельзя было отличить от законных звонков. Кроме того, жертвы, особенно пожилые, могут забыть или не знать о способности мошенников изменять свой идентификатор вызывающего абонента, что делает их более уязвимыми для голосовых фишинговых атак.
В некоторых странах социальные сети используются для звонков и общения с общественностью. На некоторых платформах социальных сетей профили правительств и банков проверяются, а непроверенные профили правительств и банков будут поддельными.
Решения
Обнаружение фишинга
Наступательные подходы
Специализированные системы, такие как телефонные приложения, могут отправлять фишинговые вызовы поддельными данными. Кроме того, различные правоохранительные органы постоянно прилагают усилия, чтобы помешать мошенникам совершать фишинговые звонки, налагая более суровые наказания на злоумышленников.
Известные примеры
Телефонное мошенничество с IRS
COVID-19 Мошенничество
28 марта 2021 года Федеральная комиссия по связи опубликовала заявление, в котором предупредила американцев о росте числа телефонных мошенничеств, связанных с поддельными продуктами COVID-19. Схемы голосового фишинга, пытающиеся продать продукты, которые якобы «предотвращают, лечат, смягчают, диагностируют или излечивают» COVID-19, также отслеживаются Управлением по контролю за продуктами и лекарствами.
Мошенничество с голливудской королевой
Начиная с 2015 года фишинговый мошенник выдавал себя за голливудских гримеров и влиятельных женщин-руководителей, чтобы заставить жертв поехать в Индонезию и заплатить денежные суммы под условием, что они получат компенсацию. Используя социальную инженерию, мошенник тщательно исследовал жизни своих жертв, чтобы добыть подробности, чтобы сделать выдачу себя более правдоподобной. Мошенник звонил жертвам напрямую, часто несколько раз в день и часами, чтобы оказать на них давление.
Кибератака на водохранилище Тамар
Кампания 2015 года по кибератакам против израильского ученого доктора Тамара Эйлама Гиндина иллюстрирует использование атаки Вишинга в качестве предвестника эскалации будущих атак с новой информацией, полученной от жертвы. После того, как ученый-эксперт по Ирану упомянул о связях в Иране по израильскому армейскому радио, Тамару позвонили и попросили взять интервью у профессора для персидской BBC. Чтобы просмотреть вопросы перед предложенным интервью, Тамар была проинструктирована получить доступ к документу Google Диска, который запрашивал ее пароль для доступа. Введя свой пароль для доступа к вредоносному документу, злоумышленник может использовать учетные данные для дальнейших повышенных атак.
Мошенничество с идентификатором мобильного банка
Голосовой фишинг
Услуги стационарной телефонной связи традиционно заслуживают доверия; завершены в физических местах, известных телефонной компании, и связаны с плательщиком счетов. Однако теперь злоумышленники-мошенники часто используют современные функции передачи голоса по IP (VoIP), такие как спуфинг идентификатора вызывающего абонента и автоматические системы ( IVR ), чтобы препятствовать обнаружению правоохранительными органами. Голосовой фишинг обычно используется для кражи номеров кредитных карт или другой информации, используемой в схемах кражи личных данных у частных лиц.
Аудио дипфейки использовались для совершения мошенничества, заставляя людей думать, что они получают инструкции от доверенного лица. [6]
Голосовой фишинг принимает различные формы. Существуют различные методы и различные структуры операций для различных типов фишинга. Обычно мошенники используют социальную инженерию, чтобы убедить жертв в той роли, которую они играют, и создать ощущение срочности, чтобы использовать против них.
Механизмы инициации
Атака голосового фишинга может быть инициирована с помощью различных механизмов доставки. [16] Мошенник может напрямую позвонить жертве и притвориться заслуживающим доверия человеком, подделав идентификатор вызывающего абонента, появившись по телефону как должностное лицо или кого-то поблизости. [16] Мошенники также могут доставлять заранее записанные сообщения с угрозами в почтовые ящики голосовой почты жертв, чтобы побудить их к действию. [16] Жертвы также могут получить текстовое сообщение с просьбой позвонить по указанному номеру и взимать плату за звонок по указанному номеру. [16] Кроме того, жертва может получить электронное письмо от имени банка; Затем жертву можно принудить предоставить в телефонном звонке личную информацию, такую как PIN-код, номер учетной записи или другие учетные данные для аутентификации. [16]
Распространенные методы и мошенничество
Злоумышленники с голосовым фишингом часто используют социальную инженерию, чтобы убедить жертв дать им деньги. [17] Как правило, мошенники пытаются создать ощущение срочности и / или боязнь власти, чтобы использовать их в качестве рычага против жертв. [16]
Голосовые фишинговые атаки могут быть трудными для идентификации жертв, поскольку законные учреждения, такие как банки, иногда запрашивают конфиденциальную личную информацию по телефону. [29] В фишинговых схемах могут использоваться предварительно записанные сообщения известных региональных банков, чтобы их нельзя было отличить от законных звонков. [ необходима цитата ] Кроме того, жертвы, особенно пожилые [29], могут забыть или не знать о способности мошенников изменять свой идентификатор вызывающего абонента, что делает их более уязвимыми для голосовых фишинговых атак. [30]
В некоторых странах социальные сети используются для звонков и общения с общественностью. На некоторых платформах социальных сетей профили правительств и банков проверяются, а непроверенные профили правительств и банков будут фальшивыми. [35]
Обнаружение фишинга
Наступательные подходы
Специализированные системы, такие как телефонные приложения, могут отправлять фишинговые вызовы поддельными данными. Кроме того, различные правоохранительные органы постоянно прилагают усилия, чтобы помешать мошенникам совершать фишинговые звонки, налагая более суровые наказания на злоумышленников. [36] [34]
Телефонное мошенничество с IRS
В период с 2012 по 2016 год сеть голосового фишинга выдавала себя за сотрудников налоговой службы и иммиграционной службы более чем 50 000 человек, похищая сотни миллионов долларов, а также личную информацию жертв. [38] Предполагаемые сообщники из США и Индии угрожали уязвимым респондентам «арестом, тюремным заключением, штрафами или депортацией». [38] В 2018 году было осуждено двадцать четыре обвиняемых, причем самый длительный срок лишения свободы составил двадцать лет. [38]
COVID-19 Мошенничество
28 марта 2021 года Федеральная комиссия по связи опубликовала заявление, в котором предупредила американцев о росте числа телефонных мошенничеств, связанных с поддельными продуктами COVID-19. [39] Схемы голосового фишинга, направленные на продажу продуктов, которые якобы «предотвращают, лечат, смягчают, диагностируют или излечивают» COVID-19, также отслеживаются Управлением по санитарному надзору за качеством пищевых продуктов и медикаментов. [40]
Мошенничество с голливудской королевой
Начиная с 2015 года фишинговый мошенник выдавал себя за голливудских гримеров и влиятельных женщин-руководителей, чтобы заставить жертв поехать в Индонезию и заплатить денежные суммы под условием, что они получат компенсацию. Используя социальную инженерию, мошенник тщательно исследовал жизни своих жертв, чтобы добыть подробности, чтобы сделать выдачу себя более правдоподобной. Мошенник звонил жертвам напрямую, часто несколько раз в день и часами, чтобы оказать на них давление. [41]
Кибератака на водохранилище Тамар
Кампания 2015 года по кибератакам против израильского академика доктора Тамара Эйлама Гиндина иллюстрирует использование атаки Вишинга в качестве предвестника эскалации будущих атак с новой информацией, полученной от жертвы. После того, как ученый-эксперт по Ирану упомянул о связях в Иране по израильскому армейскому радио, Тамару позвонили и попросили взять интервью у профессора для персидской BBC. Чтобы просмотреть вопросы перед предложенным интервью, Тамар была проинструктирована получить доступ к документу Google Диска, который запрашивал ее пароль для доступа. Введя свой пароль для доступа к вредоносному документу, злоумышленник может использовать учетные данные для дальнейших повышенных атак. [42]
Мошенничество с идентификатором мобильного банка
Чем вишинг отличается от фишинга и как от него защититься
Как мошенники используют для фишинга голосовые звонки, чтобы выманить у жертвы код подтверждения.
Давно ли вам звонил человек из «службы безопасности» какого-нибудь банка и настойчиво предлагал перевести деньги на другой счет во имя безопасности? Если да, то вы столкнулись с вишингом.
Что такое вишинг и почему он так называется
Вишинг (англ. vishing) — это сплав слов «voice» и «phishing», проще говоря, «голосовой фишинг», то есть попытка мошенников обманом выведать у жертвы какие-то конфиденциальные сведения по телефону. Чаще всего это код подтверждения. По аналогии с вишингом существует еще и смишинг, то есть фишинг в коротких сообщениях (sms + фишинг), про него мы недавно рассказывали.
Впрочем, именно вишинг стал одним из антигероев информационной безопасности последнего времени: по данным СМИ, в 2020 году 84% всех попыток мошенников обмануть россиян приходились именно на телефонные разговоры. И хотя успешным оказывается лишь один из ста подобных звонков, в совокупности преступникам удается таким образом ежемесячно выкачивать из своих жертв миллиарды рублей.
Из смешного — иногда мошенники звонят настоящим сотрудникам банков, получается как в том меме: знаете, я и сам своего рода из службы безопасности…
Из совсем несмешного: попасться на удочку мошенников может кто угодно, даже если человеку кажется, что он прекрасно знаком с этой схемой развода. Некоторые «сотрудники» оказываются неплохими психологами, способными втереться в доверие и усыпить бдительность самого внимательного респондента.
Кроме того, мошенники регулярно обновляют свои схемы. Например, после того как фраза про службу безопасности фактически стала мемом, они переключились на другие учреждения. Из последних трендов — звонки от имени государственных структур, например МВД или Центробанка. Вполне вероятно, что когда такая схема тоже устареет, скамеры придумают новую. Так что лучше всегда быть начеку.
Как распознать мошеннические звонки
Красных флагов довольно много, и все они наши «старые знакомые». Если звонок якобы от банка или госорганизации поступил с обычного мобильного номера — скорее всего, это вишинг. Еще подозрительнее, если телефон относится к другому региону.
Если звонящий нагнетает атмосферу срочности и угрозы, на фоне которой пытается выведать у вас конфиденциальную информацию, — наверняка это вишинг. Вообще, попытка выведать что-то конфиденциальное — стопроцентный признак мошенничества: все, что нужно настоящему сотруднику банка, у него обычно уже есть.
Если, упирая на срочность, вас заставляют сделать что-то с деньгами — это точно мошенники. Как правило, речь идет о неком «защищенном счете», который по факту просто принадлежит преступникам. Настоящему банку достаточно просто заблокировать вашу карту, а потом уже разбираться (в отделении, в приложении), что делать со средствами.
Наконец, косвенный, но иногда работающий признак: звонящий путается, оговаривается, употребляет просторечные слова. Мы ничего не имеем против повседневной речи, но общение настоящих операторов с клиентами, как правило, хорошо проработано в специальных сценариях и тщательно отрепетировано.
Как защититься от мошеннических звонков
Если вы поняли, что вас пытаются развести, эффективнее всего просто завершить разговор. В какой-то момент разыгрывание пранков над мошенниками стало отдельным видом досуга, но практического смысла в нем мало. Так что просто вешайте трубку и возвращайтесь к тому, от чего вас отвлек звонок.
Если есть время и желание, можно позвонить в настоящую службу безопасности и рассказать ей об инциденте — чем больше информации там соберут, тем больше шансов, что мошенникам осложнят дальнейшие преступления.
Есть и превентивный метод: установить на телефон специальное приложение для борьбы с нежелательными звонками, такое как Kaspersky Who Calls (есть и для Android, и для iOS). В него встроена актуальная для России, постоянно обновляемая база опасных номеров, так что приложение предупредит о подозрительном звонке и позволит вовсе не сталкиваться с мошенниками.
Меньше таких столкновений — меньше риска, что вас все-таки разведут, и меньше впустую потраченных нервов и времени. Кстати, о менее опасных — но более частых в нашей жизни, к сожалению — спам-звонках Kaspersky Who Calls тоже предупреждает.
11 типов фишинга и их примеры из реальной жизни
Фишинг – это тип кибер-преступления, при котором преступники выдают себя за надежный источник в Интернете, чтобы вынудить жертву передать им личную информацию (например, имя пользователя, пароль номер банковской карты и пр.).
Фишинговая атака может принимать различные формы, и хотя она часто происходит по электронной почте, существует множество различных методов, которые мошенники используют для выполнения своих схем. Это особенно актуально сегодня, когда фишинг продолжает развиваться, порой удивляя своей изощренностью и степенью распространенности. Хотя целью любого фишингового мошенничества всегда является кража личной информации, существует множество различных видов фишинга, о которых вы должны знать.
1. Почтовый фишинг
Возможно, будучи самым распространенным типом фишинга, он зачастую использует технику «spray and pray», благодаря которой хакеры выдают себя за некую легитимную личность или организацию, отправляя массовые электронные письма на все имеющиеся у них адреса электронной почты.
Такие письма содержат характер срочности, например, сообщая получателю, что его личный счет был взломан, а потому он должен немедленно ответить. Их цель заключается в том, чтобы своей срочностью вызвать необдуманное, но определенное действие от жертвы, например, нажать на вредоносную ссылку, которая ведет на поддельную страницу авторизации. Там, введя свои регистрационные данные, жертва, к сожалению, фактически передает свою личную информацию прямо в руки мошенника.
Пример почтового фишинга
The Daily Swig сообщила о фишинговой атаке, произошедшей в декабре 2020 года на американского поставщика медицинских услуг Elara Caring, которая произошла после несанкционированного компьютерного вторжения, нацеленного на двух его сотрудников. Злоумышленник получил доступ к электронной почте сотрудников, в результате чего были раскрыты личные данные более 100 000 пожилых пациентов, включая имена, даты рождения, финансовую и банковскую информацию, номера социального страхования, номера водительских прав и страховую информацию. Злоумышленник имел несанкционированный доступ в течение целой недели, прежде чем Elara Caring смогла полностью остановить утечку данных.
2. Spear Phishing (спеарфишинг или целевой фишинг)
Вместо того чтобы использовать технику «spray and pray», как описано выше, спеарфишинг включает в себя отправку вредоносных электронных писем конкретным лицам внутри организации. Вместо того, чтобы рассылать массовые электронные письма тысячам получателей, этот метод нацелен на определенных сотрудников в специально выбранных компаниях. Такие типы писем часто более персонализированы, они заставляют жертву поверить в то, что у них есть отношения с отправителем.
Пример спеарфишинга
Armorblox сообщила о спеарфишинговой атаке в сентябре 2019 года против руководителя компании, названной одной из 50 лучших инновационных компаний в мире. Письмо содержало вложение, которое, по-видимому, было внутренним финансовым отчетом, для доступа к которому требовалось пройти авторизацию на поддельной странице входа в Microsoft Office 365. На поддельной странице входа в систему уже было заранее введено имя пользователя руководителя, что еще больше усиливало маскировку мошеннической веб-страницы.
3. Whaling (уэйлинг)
Whaling (уэйлинг) очень похож на spear phishing (спеарфишинг), но вместо того, чтобы преследовать любого сотрудника в компании, мошенники специально нацеливаются на руководителей (или «крупную рыбу», отсюда и термин «уэйлинг», что в переводе с английского языка означает «китобойный промысел»). К таким сотрудникам относятся генеральный директор, финансовый директор или любой руководитель высокого уровня, имеющий доступ к более конфиденциальным данным, чем сотрудники более низкого уровня. Часто эти электронные письма используют ситуацию, способную оказать на таких руководителей серьезное давление, чтобы «зацепить» своих потенциальных жертв, например, передавая информацию о поданном против компании судебном иске. Такое письмо побуждает получателя перейти по вредоносной ссылке или к зараженному вложению для получения дополнительной подробной информации.
Пример уэйлинга
В ноябре 2020 года Tessian сообщил о уэйлинг-атаке на соучредителя австралийского хедж-фонда Levitas Capital. Соучредитель получил электронное письмо, содержащее поддельную ссылку в Zoom, которая внедрила вредоносное ПО в корпоративную сеть хедж-фонда и почти привела к уводу 8,7 миллиона долларов США на счета мошенников. В конечном счете злоумышленник смог заполучить только лишь 800 000 долларов США, однако последовавший за этим репутационный ущерб привел к потере крупнейшего клиента хедж-фонда, что вынудило его закрыться навсегда.
4. Smishing (смишинг)
SMS-фишинг, или smishing (смишинг), для проведения фишинговой атаки использует текстовые сообщения, а не электронную почту. Принцип действия такой же, как и при осуществлении фишинговых атак по электронной почте: злоумышленник отправляет текстовое сообщение от, казалось бы, легитимного отправителя (например, заслуживающая доверия компания), которое содержит вредоносную ссылку. Ссылка может быть замаскирована под код купона (скидка 20% на ваш следующий заказ!) или предложение выиграть что-то вроде билетов на концерт.
Пример смишинга
В сентябре 2020 года Tripwire сообщила о смишинг-кампании, в рамках которой в качестве маскировки использовалась американская почтовая служба United States Post Office (USPS). Злоумышленники рассылали SMS-сообщения, информирующие получателей о необходимости перейти по ссылке для просмотра важной информации о предстоящей доставке USPS. Вредоносная ссылка фактически приводила жертв на различные веб-страницы, предназначенные для кражи учетных данных посетителей аккаунта Google.
5. Vishing (вишинг)
Vishing (вишинг), иначе известный как voice phishing (голосовой фишинг), похож на смишинг в том, что телефон используется в качестве средства для атаки, но вместо того, чтобы использовать текстовые сообщения, атака проводится с помощью телефонного звонка. Вишинг-звонок часто передает автоматическое голосовое сообщение якобы от легитимной организации (например, ваш банк или государственное учреждение).
Злоумышленники могут заявить, что вы задолжали большую сумму денег, срок действия вашей автостраховки истек или ваша кредитная карта имеет подозрительную активность, которую необходимо немедленно исправить. В этот момент жертве обычно говорят, что она должна предоставить личную информацию, такую как учетные данные кредитной карты или номер социального страхования, чтобы подтвердить свою личность, прежде чем получить дополнительную информацию и предпринять какие-либо действия.
Пример вишинга
В сентябре 2020 года медицинская организация Spectrum Health System сообщила о вишинг-атаке, в рамках которой пациенты получали телефонные звонки от лиц, маскирующихся под ее сотрудников. Злоумышленники намеревались извлечь персональные данные пациентов и членов Spectrum Health, включая идентификационные номера членов и другие личные медицинские данные, связанные с их учетными записями. Spectrum Health сообщила, что злоумышленники использовали такие меры, как лесть или даже угрозы, чтобы заставить жертв передать свои данные, деньги или доступ к их личным устройствам.
6. Business Email Compromise (BCO, CEO-мошенничество, компрометация корпоративной электронной почты)
CEO-мошенничество – это форма фишинга, при которой злоумышленник получает доступ к учетной записи электронной почты высокопоставленного руководителя (например, генерального директора). Имея в своем распоряжении скомпрометированный аккаунт, кибер-преступник, выдавая себя за генерального директора, отправляет электронные письма сотрудникам организации с целью осуществить мошеннический банковский перевод или провести ряд других незаконных действий.
Пример CEO-мошенничества
Инки сообщила о CEO-мошенничестве против австрийской аэрокосмической компании FACC в 2019 году. В рамках той атаки бухгалтер компании получил письмо якобы от генерального директора FACC. В письме содержалась информация о требуемом финансировании нового проекта, и бухгалтер неосознанно перевел 61 миллион долларов на мошеннические иностранные счета.
7. Clone Phishing (клон-фишинг)
Если вы когда-либо получали законное электронное письмо от легитимной компании, а спустя какое-то время получали, казалось бы, то же самое сообщение, то вы стали свидетелем клон-фишинга в действии. Этот метод фишинга работает путем создания вредоносной копии недавно полученного сообщения от легитимного отправителя, которое якобы направляется повторно от, казалось бы, этого же легитимного отправителя. Любые ссылки или вложения из исходного письма заменяются вредоносными. Злоумышленники обычно используют предлог повторной отправки сообщения из-за того, что в первоначальном письме были указаны неверные ссылки или вложения.
Примеры клон-фишинга
Один из специалистов по информационной безопасности продемонстрировал возможность перехода по ссылке из электронного письма на поддельный веб-сайт, у которого в адресной строке браузера, казалось бы, показывается правильный URL, но на самом деле для обмана пользователей в нем используются символы, которые очень похожи на законное доменное имя. Всегда открывайте веб-сайты из собственных закладок или самостоятельно набирая URL-адрес в адресной строке вашего браузера, и никогда не переходите по ссылке из неожиданного или подозрительного письма (даже если оно кажется легитимным).
8. Evil Twin Phishing (фишинг-атака «злой двойник»)
Тип фишинговой атаки Evil Twin («злой двойник») включает в себя создание копии легитимной сети WiFi, которая на самом деле заманивает жертв, подключающихся к ней, на специальный фишинговый сайт. Как только жертвы попадают на этот сайт, им обычно предлагается ввести свои личные данные, такие как учетные данные для входа, которые затем передаются непосредственно хакеру. Как только хакер получит эти данные, он сможет войти в сеть, взять ее под контроль, отслеживать незашифрованный трафик и находить способы кражи конфиденциальной информации и данных.
Пример фишинга Evil Twin («злой двойник»)
В сентябре 2020 года Nextgov сообщила о нарушении данных в системах Министерства внутренних дел США. Хакеры использовали атаку типа Evil Twin («злой двойник»), чтобы украсть уникальные учетные данные и получить доступ к WiFi-сетям министерства. Дальнейшее расследование показало, что министерство не работало в рамках защищенной инфраструктуры беспроводной сети, а сетевая политика не обеспечивала строгие меры аутентификации пользователей, периодическую проверку сетевой безопасности или мониторинг сети для обнаружения и управления распространенными атаками.
9. Фишинг в социальных сетях
Фишинг в социальных сетях подразумевает использование Facebook, Instagram и Twitter, чтобы получить конфиденциальные данные жертв или заманить их нажать на определенные вредоносные ссылки. Хакеры могут создавать поддельные аккаунты, выдавая себя за кого-то из знакомых жертвы, чтобы заманить ее в свою ловушку, или они могут даже выдавать себя за аккаунт службы обслуживания клиентов известной компании, чтобы охотиться на жертв, которые обращаются в эту компанию за поддержкой.
Пример фишинга в социальных сетях
В августе 2019 года Fstoppers сообщила о фишинговой кампании, запущенной в Instagram, в рамках которой мошенники отправляли личные сообщения пользователям Instagram, предупреждая их о нарушении авторских прав на изображения и требуя, чтобы они заполнили специальную форму во избежание блокировки своего аккаунта.
Одна из жертв получила личное сообщение от якобы официального аккаунта North Face, в котором утверждалось о нарушении авторских прав. Жертва перешла по ссылке в сообщении на, казалось бы, легитимный сайт InstagramHelpNotice.com, где пользователя попросили ввести свои регистрационные данные для входа. Жертва, попавшая в ловушку, в конечном счете предоставила хакерам доступ к информации о своем аккаунте и другим личным данным, связанным с ее аккаунтом в Instagram.
10. Фишинг в поисковых системах
При использовании фишинга в поисковых системах хакеры создают свой собственный веб-сайт и индексируют его в легитимных поисковых системах. Эти сайты часто предлагают дешевые товары и невероятно заманчивые предложения, пытающиеся заманить ничего не подозревающих онлайн-покупателей, которые видят сайт на странице результатов поиска в Google или в других поисковиках. Если жертва нажимает в поисковике на ссылку для перехода на такой сайт, то, как правило, предлагается зарегистрировать аккаунт или ввести информацию о своем банковском счете для завершения покупки. Конечно, мошенники затем крадут эти личные данные, чтобы использовать их для извлечения финансовой выгоды в дальнейшем.
Пример фишинга в поисковых системах
В 2020 году Google сообщил, что ежедневно обнаруживается 25 миллиардов спам-сайтов и фишинговых веб-страниц. Кроме того, Wandera сообщила в 2020 году, что каждые 20 секунд запускается новый фишинговый сайт. Это означает, что каждую минуту в поисковых системах появляются три новых фишинговых сайта!
11. Pharming (фарминг)
Pharming (фарминг) – это сочетание слов «фишинг» (phishing) и «фарм» (farm). В рамках данного типа фишинга хакеры, нацеливаясь на DNS-серверы (серверы доменных имен), перенаправляют пользователей, которые пытаются открыть какие-нибудь легитимные сайты, на вредоносные веб-сайты. DNS-серверы существуют для того, чтобы направлять запрос на открытие конкретного веб-сайта на соответствующий IP-адрес сервера, где этот сайт размещен. Хакеры, занимающиеся фармингом, часто нацеливаются на DNS-серверы, чтобы изменить хранящиеся на них сведения об IP-адресах и доменах и перенаправить жертв на мошеннические веб-сайты с поддельными IP-адресами. Когда при обработке веб-запросов пользователей используется такой взломанный DNS-сервер, то их данные становятся уязвимыми для кражи хакером.
Пример фарминга
Secure List сообщил о фарминг-атаке на добровольческую гуманитарную кампанию, запущенную в Венесуэле в 2019 году. В рамках этой кампании существовал веб-сайт, на котором волонтеры могли зарегистрироваться для участия в гуманитарной акции, и сайт просил их предоставить такие их персональные данные, как имя, удостоверение личности, номер мобильного телефона, их домашний адрес и многое другое.
Через несколько дней после запуска сайта появился практически идентичный сайт с похожим доменом. Хакер создал этот поддельный домен, используя тот же IP-адрес, что и исходный веб-сайт. Всякий раз, когда волонтер открывал подлинный веб-сайт, любые личные данные, которые он вводил, фильтровались на поддельный веб-сайт, что приводило к краже данных тысяч добровольцев.
Советы по обнаружению и предотвращению фишинговых атак
Один из лучших способов защитить себя от фишинговой атаки – это изучить примеры фишинга в действии и понимать, что нужно искать при попытке обнаружить фишинговую атаку и что нужно предпринять для предотвращения атаки. Ниже представлены основные признаки, которые позволят вам выявить потенциальную фишинговую атаку:
Следующая лучшая линия защиты от всех видов фишинговых атак и кибер-атак в целом – это использование надежного антивируса. По крайней мере, вы можете воспользоваться преимуществами бесплатного антивируса, чтобы лучше защитить себя от онлайн-преступников и сохранить ваши личные данные в безопасности.