Фишинг (от англ. выуживать, ловить) – это вид получения секретной информации, при котором злоумышленник обманом заставляет клиента открыть свои личные данные. Например, отправляет сообщение в мессенджер или в соцсетях с просьбой сказать номер и код банковской карты, номер телефона, логин и пароль от какого-либо сервиса и т. д.

Так, злоумышленники рассылают миллионы писем от имени известной компании на e-mail с просьбой подтвердить логин и пароль. При переходе по предоставленной ссылке можно увидеть страницу авторизации, абсолютно идентичную странице на настоящем ресурсе. Подвох, скорее всего, скрывается в самой ссылке на сайт. Домен будет очень схож с реальным, но отличаться несколькими символами. Указав там свои данные, вы автоматически становитесь жертвой фишинга. Ваши данные злоумышленникам удалось поймать, как рыбу (fish) на крючок.

Вишинг – одна из разновидностей фишинга, при которой используются методы социальной инженерии. Как правило, телефон. Вам звонят из банка и просят подтвердить перевод денег, который вы, естественно, не совершали. В итоге вы сами, добровольно сообщаете свои данные карты, CVV-код и иные сведения, с помощью которых потом можно провести реальную операцию по снятию и переводу наличных.

Смишинг – переход по ссылке на вредоносное ПО из SMS.

Как защитить себя от фишинга?

Количество фишинговых атак с каждым днем возрастает все больше и больше. Каждый из нас регулярно с ним сталкивается, в той или иной мере. Фишинг представляет собой одну из простых форм кибератаки для злоумышленника, которая зачастую осуществляется через электронную почту, социальные сети, приложения для переписки. Это всеобъемлющая проблема, представляющая огромный риск, как для частного лица, так и для организаций  

Цель, которую преследует фишинг:

• получение конфиденциальной информации: персональных данных (имени и фамилии, даты рождения, адреса проживания, номера паспорта и телефона), логина и пароля, банковским реквизитам, служебной информации;
• взлом и обман пользователей для установки вредоносного ПО;
• шантаж или уничтожения бизнеса конкурентов, с помощью полученной информации;
• шпионаж и поддержка государства, наблюдением за организациями представляющими интерес.

По своей сути фишинг, является одной из форм социальной инженерии, поскольку атака осуществляется через самое слабое звено в безопасности - человека.  

Виды фишинговых атак

Не стоит попадаться на приманку злоумышленников, но как распознать эту самую «наживку»? Есть множество методов и видов атак, давайте рассмотрим их подробнее:  

Фишинг через электронную почту

Первая категория - наиболее распространенный метод выполнения этих атак. Огромное количество писем регулярно проходят через почтовые сервисы, такая платформа отлично подходит для мошенников, так как большинство людей имеют ящики и социальные сети забитые сообщениями, и у них просто на просто нет времени, чтобы тщательно проанализировать каждое из них. Фишеры это знают и используют в своих целях.

С целью получения персональных данных, контроля над учетными записями, личными или служебными, мошенники рассылают электронные сообщения от имени официальных компаний (социальной сети, платежной системы, интернет-магазина, онлайн-игры). Подобные письма создаются с большим вниманием к мелочам и деталям. Отличить поддельное письмо от оригинала - практически невозможно. Из-за недостатков в почтовых протоколах фишеры могут даже подделывать адрес отправителя на оригинальный.

Чаще всего подобные письма содержат в себе:

• дизайн (цветовая гамма, текст и шрифты, картинки, расположения блоков) соответствующие оригинальному виду письма;
• адрес отправителя соответствующий оригинальному или с имеющий незначительные отличия (в одном или двух символах);
• просьба перейти по ссылке и выполнить ряд действий ссылка является мошеннической, при переходе на которую попадаете на "сайт-близнец" официального сайта (банка, социальной сети, игровой платформы);
• тема и текст письма побуждающая к незамедлительным действиям (например: "Обнаружены подозрительный действия в учетной записи. Смените Ваш пароль", "Аккаунт был временно заблокирован. Для восстановления перейдите на сайт", "Вы стали победителем в конкурсе и выиграли миллион. Заберите Ваш приз" и т.п.)

Письмо от генерального директора (начальника, руководителя)

Это особый вид фишинг-атаки, ориентированой на сотрудников компании (чаще всего представляющих финансовые услуги). Жертва получает электронное письмо от злоумышленника, замаскированое таким образом, как будто его прислал генеральный директор или другой участник вышестоящего руководства. Письмо содержит в себе требование о срочном переводе денежных средств на конкретный счет, объясняется все тем, что средства необходимы для заключения нового контракта или проведения сделки.

Разумеется, в этом случае злоумышленнику требуется сбор предварительной информации о режиме работы и сотрудниках в компании.

Социальный фишинг

Вконтакте, Facebook, Твиттер и множество других социальных сетей занимают одну из важных позиций в нашей жизни, злоумышленники это понимают и не ограничиваются одним способом отправки сообщений потенциальным жертвам. Некоторые способы взлома являются простыми: Вам могут прислать личное сообщение в одной из сетей, содержащее сокращенный адрес ссылки, где при переходе Вы попадете на фишинговый сайт с вредоносным ПО.

А есть тактики более продвинутые и требующие гораздо больше времени. Один из таких методов, используемый фишерами, заключается в том, чтобы изображать человека - чаще всего привлекательную женщину, имеющие в своем профиле фотографии взятые из аккаунта реально существующей девушки. Для чего может применяться данная тактика? Для выманивания личной информации или же фотографий, которые могут выставить человека в плохом свете или опозорить его. Впоследствии, злоумышленник, сможет шантажировать человека или требовать денежное вознаграждения за удаление информации.

Смишинг - мобильный фишинг через СМС и мессенджеры

Активное развитие мобильных технологий и появления приложений для обмена сообщениями, таких как - FaceBook Massenger, Viber, WhatsApp, Skype, Telegram и др., а также встроенные смс-уведомления, предоставили фишерам новую платформу для атаки, посредство фишинг-сообщений. СМС фишинг - или смишинг - это более продвинутая версия фишинга, которая по своей сути работает таким же образом, как и по электронной. Зачастую, злоумышленники, выдают себя за сотрудников банка и сообщают о том, что якобы был закрыт счет или информация по карте была скомпрометирована и требуется ее изменить. К сообщению прикрепляется ссылка, ведущая Вас, так или иначе, к потере персональных данных. Короткий характер уведомления не дает достаточно информации для жертвы, тем самым заставляя ее перейти по ссылки.

Вишинг - мобильный голосовой фишинг

В продолжение к предыдущему пункту стоит выделить также и сообщения, которые якобы отправлены из банка, содержащие в себе номер телефона для обратной связи. Позвонив на указанный номер, пользователь попадает на автоответчик, где следуя инструкциям, прейдет в итоге к "необходимости" сменить ПИН-код по карте или указать CVV-код. В другом случае, мошенники самостоятельно могут позвонить по номеру телефону жертвы, представляясь сотрудником банка, где также будут выпрашивать персональные данные.

Злой двойник

Метод применяется в области беспроводной передачи данных. Фишер создает копию точки доступа для свободного доступа к Wi-Fi, в пределах приема пользователем, тем самым делает подмену оригинальной точки двойником. Впоследствии к точке подключается потенциальный пользователь, предоставляя злоумышленнику получить доступ к персональным данным.

Кликджекинг

Способ обмана пользователей интернета, где мошенник получает доступ к конфиденциальной информации или компьютеру пользователя заманив его на безопасную страницу с заведомо внедренным вредоносным кодом. Поверх подлинной страницы создается своего рода невидимая слой-маска, при нажатии на которую user попадает на сайт фишера, имеющим точную копию оригинала. Применять технологию можно по-разному — начиная от новостной подписки на ресурс, кражи персональных данных и заканчивая выполнением интернет-покупок за счет ничего не подозревающего пользователя.

Фарминг

Данная технология подразумевает под собой скрытое перенаправление жертвы на сайт мошенника. Применяют два способа для скрытного перенаправления с подлинного на поддельные ресурсы:

• изменения файлов HOSTS;
• манипулирование информацией DNS.

Как защититься от фишинга?

Весь смысл фишинговых злоумышленников, заключается в обмане жертвы, с целью, получения необходимой конфиденциальной информации. По своей сути данная атака является одной из самых простых, тем не менее весьма эффективных.

Существует масса способов «попасть на удочку» мошенников и с каждым днем они приобретают новые и более ухищренные формы. Нет единого средства и метода для безопасности, тем не менее есть ряд рекомендаций от фишинговых атак:

• обращайте внимание на правописание письма (Многие из фишеров довольно часто допускают простые орфографические, пунктуационные или орфографические ошибки. Официальные сообщения от любой крупной организации мало вероятно, что будут их содержать);
• тема и текст выглядит странным и слишком хорошим, чтобы быть правдой (Поздравляем! Вы только что выиграли миллион, бесплатный ужин на двоих, скидку 99% - вероятнее всего сообщение мошеннические);
• посмотрите на адрес отправителя (вероятнее всего он будет соответствовать оригинальному, тем не менее могут быть отличия в одном или нескольких символах, если Вы это обнаружите - письмо фишинговое);
• не нажимайте ссылки, не загружайте файлы и вложения в письмах, которые пришли Вам от неизвестных источников;
• не отправляйте по электронной почте информацию о Ваших финансах;
• если при переходе по ссылке от Вас требуют ввести конфиденциальную информацию, не торопитесь это делать. Удостоверьтесь в подлинности сайта, посмотрите на URL сайта, имеется ли там наличие «https», где «s» означает, что соединение безопасно, а не просто «http»;
• не разглашайте персональные данные по телефону, если Вы самостоятельно этот звонок не совершали;
• остерегайтесь всплывающих окон. Не вводите личные данные, не нажимайте ссылки во всплывающих окнах;
• защитите компьютер с помощью брандмауэра, антивируса и спам-фильтров;
• не используйте для интернте-банкинга общедоступные, открытые беспроводные сети;
• ипользуйте двухфакторную идентификацию, везде, где это возможно.