Фішинг - що це таке і як від нього захиститися?

Одного помилкового кліку під час користування Інтернетом може бути достатньо, щоб втратити конфіденційні дані, включаючи логіни та паролі, наприклад, до банківських рахунків. Фішингову атаку шахраям легко здійснити, вона не вимагає особливих зусиль і витрат, а приносить великі результати. Що таке фішинг і як від нього захиститися?

Чи жартувати з фішингом?

Фішинг - це слово описує тип онлайн-шахрайства, який намагається змусити жертву надати конфіденційні дані або передати гроші. Злочинці видають себе за організацію або особу, якій довіряють. Вони використовують переконливі логотипи, формальну мову і навіть раніше отриману інформацію, щоб підвищити рівень автентичності та довіри до себе. Крім того, зміст переданого повідомлення розрахований на те, щоб викликати у жертви емоції або відчуття терміновості. Під впливом емоцій шахрай починає діяти необачно і дуже часто, керуючись цікавістю, страхом або бажанням виграти (наприклад, у лотерею), переходить за посиланням, завантажує спеціально модифікований злочинцями вкладення або надає конфіденційні дані (наприклад, для входу в систему) в телефонній розмові. Саме емоції, під впливом яких діє жертва, роблять фішинг таким ефективним методом.

Шахрайство може приймати різні форми:

• e-mail - фішингова розсилка;
• SMS-повідомлення - smishing;
• електронні листи та контент, спрямовані на високопоставлених осіб в організаціях, генеральних директорів та президентів компаній - "китобійний промисел";
• телефонні дзвінки - вішинг.

Якщо жертва обманута таким шахрайством і надає свої дані, зловмисник може використати їх, зокрема, для інших цілей:

• крадіжка грошей;
• крадіжка особистих даних;
• вчинення подальших злочинів (так званий метод "оболонки").

Списовий фішинг

Це особливий, більш персоналізований метод. Усі повідомлення, що надсилаються жертві, персоналізуються, що допомагає переконати адресата в їхній правдивості. Звернення на ім'я, посилання на конкретний і справжній номер договору тощо. Іноді фішинг-злочинці навіть видають себе за друзів жертви. Для цього часто достатньо просто переглянути список друзів атакованої особи або пости в її соціальних мережах. Також трапляється, що після того, як хакеру вдалося отримати доступ до акаунту одного користувача, він вирішує зробити наступний крок: надсилає повідомлення в чаті (наприклад, через Facebook) іншим людям з підозрілими посиланнями.

Приклади використання фішингу

Приклад перший: жертва отримує SMS-повідомлення від банку. У ньому повідомляється, що останній платіж не був успішно підтверджений або що під час останнього використання додатку відбулося значне порушення безпеки. Наступний текст містить підозріле посилання з проханням перейти за ним - зв'язатися зі співробітниками та надати пояснення. Після натискання на нього з'являється повідомлення, що сторінка вимагає входу в систему. Якщо жертва зважується на цей крок, хакер отримує всі необхідні дані, щоб пограбувати реальний банківський рахунок.

Приклад другий: жертва отримує електронного листа від банку. Його зміст свідчить про те, що відбувся серйозний злом акаунта користувача, але він обривається на ключовому моменті, закінчуючись, серед іншого, словами "Дізнайся більше - перейди за посиланням". Після виконання команди пристрій користувача заражається, наприклад, програмою-вимагачем або кейлоггером.

Третій приклад: жертва отримує телефонний дзвінок. Шахрай, називаючись консультантом компанії, повідомляє, що людина, яку обманюють, виграла конкурс і їй належить велика сума грошей. Однак для того, щоб отримати приз, потрібні всі контактні дані, включаючи номер телефону, платіжну картку, банківський рахунок і часто пароль до облікового запису в мобільному додатку. Після надання цих даних з'ясовується, що ніякого призу не існує, і абонент скидає дзвінок.

Приклад четвертий: на електронну скриньку жертви надходить нове повідомлення. Його нібито написав далекий родич, багатий чоловік, який потребує негайної фінансової допомоги. Простягнута рука допомоги буде щедро винагороджена - принаймні в теорії, адже після переказу коштів контакт обривається.

П'ятий приклад: жертва отримує SMS-повідомлення про те, що посилка затримана через неправильні адресні дані. Крім того, повідомлення містить посилання, за яким можна перевірити та оновити дані. Після переходу за ним виявляється, що жертву перенаправляють на шкідливий веб-сайт.

Як захиститися від фішингу?

Хороша новина полягає в тому, що фішингову атаку можна розпізнати і відбити, хоча це і нелегко. Як ви можете захиститися? Ось кілька порад:

• Звертайте увагу на адреси електронної пошти та URL-адреси - ретельно перевіряйте відправників повідомлень та URL-адреси, вказані в повідомленнях. Дуже часто вони виглядають правильно на перший погляд, але бувають випадки, коли зміни в них дуже малопомітні (наприклад: велика літера 'i' і мала 'L' виглядають практично однаково).
• Не піддавайтеся емоціям - якщо повідомлення викликає у вас емоції, позитивні чи негативні, підвищуйте пильність. Злочинці прагнуть змусити вас діяти під впливом емоцій.
• Навчіться розпізнавати ознаки фішингу - знайте про характерні ознаки фішингу: викликання емоцій та відчуття терміновості, видавання себе за довірену особу, орфографічні помилки, дивна на вигляд графіка та форматування.
• Не натискайте на посилання - якщо посилання здається непевним, наведіть на нього курсор, щоб побачити, куди воно веде, а не натискайте на нього одразу. Також використовуйте офіційні веб-сайти та додатки, а не посилання, отримані електронною поштою.
• Не розголошуйте конфіденційні дані - пам'ятайте, що такі установи, як банки або онлайн-сервіси, не будуть запитувати конфіденційну інформацію електронною поштою або SMS-повідомленнями.
• Встановіть антивірусне програмне забезпечення, щоб захистити свій комп'ютер під час перегляду веб-сторінок. Встановіть і регулярно оновлюйте антивірусне програмне забезпечення, яке може виявляти і блокувати спроби фішингових атак.
• Не повідомляйте свій номер телефону там, де це не потрібно - шахрай не зможе скористатися каналами зв'язку, до яких у нього немає доступу.
• Просвітницька робота - розкажіть друзям і родичам про небезпеку обміну конфіденційними даними.

Хто може стати жертвою фішингу?

Жертвою фішингу може стати будь-хто. Однак особи з невеликим досвідом навігації в Інтернеті або користування мобільними пристроями та персональними комп'ютерами перебувають у групі особливого ризику.

Розуміння того, що таке фішинг та основні форми фішингу, значно знижує ймовірність стати жертвою кіберзлочинності.