e
Праздник к нам приходит, а вместе с ним и два месяца распродаж: 11.11 и «черные» дни недели. К сожалению, также могут прийти и интернет-мошенники. Чтобы никто не попался на их уловки, сегодня поговорим о фишинге, рассмотрим типы фишинговых атак и дадим советы, как не попасться на удочку злоумышленников в сезон распродаж.
Фишинг — это вид интернет-мошенничества, который используют для получения доступа к личной информации пользователя: логинам, паролям, номерам телефонов, данным банковских карт и так далее.
Чтобы понять, по какой схеме действуют интернет-преступники, достаточно перевести слово «fishing» с английского — «рыбалка». Принцип и правда очень похож на ловлю рыбы: злоумышленники закидывают «наживку» (письмо, сообщение, ссылку на сайт) и пытаются «подсечь» доверчивых пользователей.
Фишинговая атака может принимать множество форм, число которых растет с каждым годом. Например, согласно статистике, в 2021 году компания Google обнаружила более 2 миллионов фишинговых сайтов, что в 2 раза превысило показатели за 2020. А в РФ в прошлом году почти половина россиян столкнулись с фишингом.
Важно знать своего врага в лицо и уметь быстро распознавать его тактику. Поэтому ниже расскажем о видах фишинга и способах его распознать.
Самый распространенный тип фишинговой атаки. Ее суть в том, что хакеры отправляют пользователям письма под видом известного бренда, добавляя в текст ссылку на поддельный сайт или загружая файл с вирусом.
Почему же фишинговые сообщения сбивают нас с толку, а кое-кто иногда верит им и становится жертвой? Дело в том, что они специально пишутся так, чтобы были похожи на настоящие.
🔎 Как определить фишинговое письмо
Распознать такое письмо сложно, но возможно. Красными флажками для письма станут:
Не забывайте, что email — это важный канал общения с клиентами, который используют специалисты. Поэтому ошибки, опечатки и поехавшая структура если и встречаются в письмах, то редко.
Главный метод этого вида — подмена сайта. Чтобы заполучить доступ к реальному аккаунту, злоумышленник создает страницу, практически ничем не отличимую от сайта реального бренда.
Как же пользователь попадет на фейковую страницу? Выделяют три основных сценария:
🔎 Как распознать фишинговый сайт
Первым делом проверьте SSL-сертификат: есть ли заветная буковка «s» после HTTP? Если ее нет у крупной компании, лучше сразу же закрыть страницу. Также проверьте тип SSL-сертификата. Если вы видите, что перед вами сайт с бесплатным LE-сертификатом — задумайтесь, ведь довольно часто их выбирают мошенники, чтобы вызвать доверие пользователей. Подробнее об этом можете прочитать здесь.
Далее проверьте доменное имя. Если в домене найдется ошибка или опечатка — вас обманывают. Например:
Другой способ отличить подделку — посмотреть, когда зарегистрирован домен. Если вы попали на ресурс крупного бренда с многолетней историей, то высока вероятность, что это безопасный сайт. Узнать возраст и владельца сайта можно в Whois.
Проверьте платежные формы. Если для регистрации на сайте вас просят указать данные банковских карт, логин и пароль от вашей почты — закройте эту страницу немедленно.
Также внимательно изучите содержание сайта (текст, дизайн, картинки). Создание веб-ресурса — это проект, в который разные команды вкладывают огромное количество времени и энергии.
Другие виды фишинга основываются на фейк-сайтах и письмах-подделках. Поэтому описанное выше можно и нужно применять к другим видам фишинговых атак.
Он же спеар-фишинг (spear phishing). В этом виде атаки мошенники атакуют не рандомных пользователей, а целенаправленно выбирают жертвой какую-то компанию: ищут ее сотрудников, изучают их аккаунты в соцсетях и так далее. Как только база с данными собрана, сотрудникам отправляются письма, написанные будто бы от их коллег, с просьбой заполнить документ и следовать инструкции из письма.
У целевого фишинга есть подвид — уэйлинг (от «whailing» — «охота на китов»). Как вы могли догадаться, здесь на удочку пытаются поймать рыбку покрупнее — руководителя компании-жертвы.
Приведем реальный пример. В 2019 году руководителю компании Armorblox было отправлено письмо с фейковым финансовым отчетом, для доступа к которому нужно было пройти авторизацию на странице-подделке входа в Microsoft Office 365. На поддельной странице уже было заранее введено имя пользователя руководителя, что еще больше усиливало маскировку мошеннической веб-страницы. В итоге данные были перехвачены, а у инженеров безопасности компании выдалась очень «веселая» пятница.
🔎 Чтобы распознать спеар-фишинг или уэллинг, нужно не терять бдительность и внимательно проверять все входящие письма.
Вишинг (vishing) — разговор по телефону, который может разделить вашу жизнь на «до» и «после». Схема такая: преступник звонит жертве, давит на нее и создает повышенное чувство срочности, чтобы человек сообщил конфиденциальные данные.
Последние годы злоумышленники часто представляются сотрудниками банков и предлагают оформить кредит с выгодным процентом или угрожают блокировкой карты, а позже требуют сообщить смс-код или оформить подозрительный перевод.
К слову, согласно данным от «Лаборатории Касперского» за 2022 год вызовы с неизвестных номеров с подозрением на мошенничество поступали 41% россиян.
Почему это работает? Мошенники виртуозно давят на доверие. Они знают не только ваше имя, но фамилию и отчество, ваш банк, а некоторые «специалисты» еще и цифры карты назовут. Но немногие знают, что первые восемь цифр узнать не так уж и сложно.
Например, первая цифра в номере пластиковой карты означает код платежной системы (карты Visa начинаются на цифру «4», а Mastercard — на «5»). Вторая, третья и четвертая цифры — номер банка, который выпустил пластиковую карту. Пятая и шестая цифра указывают на дополнительную информацию об организации, а седьмая и восьмая цифры в номере — обозначение программы банка, по которой он выдал карточку.
🔎 Как понять, что вам позвонил мошенник
Банки никогда не звонят сами и не спрашивают по телефону у клиентов:
Эти данные должны знать только вы и ни при каких обстоятельствах никому нельзя их сообщать.
Он же смишинг (smishing), произошедшийот сокращения «Short Message Service» — SMS.
Этот вид очень похож на почтовый фишинг, только вместо писем мошенники используют СМС-сообщения с вредоносными ссылками, которые маскируют под купоны и розыгрыши.
🔎 Как распознать фишинговое SMS
Хороший способ распознать поддельное сообщение — проверить номер, с которого оно было отправлено. Сделать это можно даже в браузере, просто вбив номер телефона в адресную строку.
И, конечно же, не забывайте о советах для определения поддельных писем — они прекрасно работают и с SMS-подделками.
«Привет! Я оказался в сложной ситуации. Можешь занять 5 000 рублей до понедельника?», — получали такое сообщение в соцсетях от «друзей»? Значит вы уже сталкивались с этим видом фишинга.
Мошенники создают поддельные аккаунты в ВКонтакте, Одноклассниках, Twitter и других соцсетях. Хакеры выдают себя за знакомого жертвы или аккаунт известной компании. Они присылают сообщения со ссылками на поддельные сайты, запрашивают личную информацию.
🔎 Как распознать фишинговое сообщение в соцсети
Конечно же, лучше не вступать в подобную переписку — подождите какое-то количество времени. Обычно страницу быстро банят за такие спам-рассылки.
Но нельзя исключать вариант, что вашему другу действительно понадобилась помощь. Тогда предложите «другу» созвониться по телефону или встретиться в «вашем месте» — это отпугнет преступников.
Смежный способ фишинга — мошенничество в мессенджерах: Telegram, WhatsApp и Viber. Через них хакеры рассылают сообщения якобы от популярных компаний в попытке завладеть вашими личными данными. В этом случае сразу закройте сообщение и заблокируйте подозрительного пользователя.
Подключите двухфакторную аутентификацию везде, где это возможно. Двойная защита на сервисах, запрашивающих проверку захода в личный кабинет по двум параметрам: через логин, пароль и, например, по коду СМС.
Установите надежный антивирус — он поможет не только отсканировать скачиваемые программы на вредоносный код, но и определить фишинговые страницы.
Используйте браузеры Chrome, Safari, Firefox. Они уже имеют антифишинговую защиту.
С осторожностью открывайте письма или сообщения от неизвестных отправителей. Если открыли — включайте Шерлока Холмса и ищите улики подделок, о которых мы говорили сегодня: ошибки, съехавшую верстку, файлы и ссылки в тексте письма, зазывающие или «горящие» заголовки и так далее.
Подключите почтовые фильтры. Фишинговые мошенники часто делают массовые рассылки, поэтому хороший почтовый фильтр пометит их как спам-рассылку. Попробуйте настроить почтовый клиент или антивирус так, чтобы сервис проверял и вложения.
Ни в коем случае не переходите по странным ссылкам.
И внимательно проверяйте сайт: написание домена, возраст, его дизайн и наличие у него SSL-сертификата.
Оформите виртуальную карту для покупок онлайн. Такая карта не имеет физического носителя и выпускается только в цифровом виде. Привязана она к вашему основному счёту, но имеет другие реквизиты. Используя такую карту, вы не «светите» свои личные данные.
Регулярно обновляйте софт. Злоумышленники часто используют уязвимости программного обеспечения. Чтобы избежать проблем, регулярно устанавливайте обновления, которые устраняют эти недостатки.
Используйте дополнительные инструменты, которые помогут обезопасить вашу корпоративную почту от спама, вирусов и фишинга.
Почаще вспоминайте наставление, которое родители и учителя давали вам в детстве: не разговаривайте с незнакомцами.
И сохраняйте бдительность, ведь чувства, на которых играют мошенники, это невнимательность и доверчивость.
⌘⌘⌘
Надеемся, что наша статья поможет вам защитить себя от мошенников и не потерять данные, деньги и праздничное настроение.
Один способ позволяет отслеживать каждую деталь изделия, другой – сфокусироваться на брендинге и маркетинге. Разбираемся…
Рассказываем, как помогли российскому разработчику систем аналитики мигрировать в частное облако и сократить затраты на…
Рассказываем, как создать сайт-визитку и какой должна быть структура. Внутри — инструкция, которая поможет предпринимателям.
Онлайн-карты — хорошая площадка для привлечения аудитории в бизнес. Рассказываем об инструментах продвижения в геосервисах.
Можно стартовать с багажом знаний из найма или практически без опыта. Рассказываем, что нужно делать:…
Что такое наука о данных, чем занимается Data Scientist и можно ли обучиться этой специальности…