По данным Аллена Паллера из Института SANS, фишинговые письма стали причиной 95% всех атак на корпоративные сети. Что же делает фишинговые письма в целом и spear phishing письма в частности такими опасными? И как частные лица и предприятия могут защитить себя от такой захватнической тактики?
Определение Spear Phishing
Спир-фишинг - это более целенаправленный тип фишинговой атаки. В этом случае преступник не просто рассылает однотипное письмо тысячам или десяткам тысяч адресатов. Вместо этого он рассылает каждому из них индивидуальное письмо. Это письмо отправляется только после того, как преступник провел исследование и узнал конкретные детали о своей жертве, которые побудят ее к действию. Эти ключевые детали позволяют преступнику составить письмо таким образом, чтобы вызвать доверие у жертвы и побудить ее сделать то, что в противном случае она могла бы не сделать.
Атаки Spear phishing обычно апеллируют либо к человеческой жадности, либо к страху. Это означает, что они либо предлагают жертве деньги, скидки, выгодные предложения и т.д., либо угрожают ей, сообщая, что ее расчетный счет, счет PayPal или eBay заморожен.
Чтобы побудить жертву к действию, исполнитель фишинговой атаки сначала найдет свою жертву и соберет важные данные, чтобы убедиться в правдоподобности выбранной тактики. Например, он может найти профиль человека в социальной сети и оттуда узнать адрес его электронной почты, географическое местоположение, место работы, список друзей, а также все новые крупные товары, недавно приобретенные и откуда. По отдельности такие сведения могут показаться безобидными, но в совокупности они позволяют злоумышленнику создать опасное эффективное электронное письмо.
В своем фишинговом письме злоумышленник использует эту информацию, чтобы выдать себя за друга, коллегу, начальника или другое знакомое лицо и отправить очень убедительное, но в конечном итоге мошенническое сообщение. Хакеры также используют подделку электронной почты и динамические URL-адреса, чтобы придать письмам более убедительный вид.
Как работает Spear Phishing
Фишинговые схемы - это любые кибер- или телефонные схемы, разработанные для того, чтобы обманом заставить жертву сообщить личные данные.
Эта информация затем используется в какой-либо афере. Это распространенный способ взлома, и большинство злоумышленников, использующих фишинговые схемы, нацелены на тысячи людей с целью обмануть нескольких. Возьмем, к примеру, знаменитую аферу "нигерийского принца". В этой фишинговой схеме тысячи людей получают электронные письма с предложением крупной суммы денег при условии, что получатель переведет для них деньги. Большинство людей удаляют письмо, но каждый год находятся те, кто этого не делает. Те, кто становится жертвой мошенников, могут потерять тысячи или даже десятки тысяч долларов.
Однако, поскольку все больше людей узнают о подобных аферах, а ИТ-группы предприятий и серверы электронной почты ужесточили меры безопасности, фишеры стали более специализированными. Именно в этом направлении и развилась хакерская техника spear phishing.
Примеры Spear Phishing
Примеры и сценарии того, как работает и как выглядит spear phishing, включают в себя следующие:
Spear Phishing Индивидуальный фишинг: Преступник узнает, каким банком пользуется его жертва, и, используя поддельную электронную почту и скопированные учетные данные сайта, отправляет жертве письмо, в котором говорится, что ее счет был взломан. В этом сообщении используется нагнетание страха, чтобы заставить адресата позвонить по номеру или перейти по ссылке и предоставить конфиденциальную банковскую информацию (например, имя пользователя и пароль) для подтверждения того, что он является настоящим владельцем счета. Затем преступник использует эту информацию для выкачивания денег.
Spear Phishing на предприятие: Фишинговая атака "копьем" на компанию похожа на атаку на частное лицо в том, что преступник сначала проводит исследование, а затем использует его для составления законного мошенничества. Но разница заключается в масштабах. Сетевая компания Ubiquiti Networks Inc. узнала об этом на собственном опыте, когда киберворы раскрыли ключевые данные о руководителях компании. Затем воры использовали эти данные для создания поддельных сообщений, которые выдавали себя за руководителей компании и заставляли финансовый отдел компании инициировать несанкционированные международные переводы на сумму 46,7 миллиона долларов.
Тактика защиты от фишинговых атак
Фишинговые атаки выглядят законными, но являются очень опасными. Ниже приведены несколько советов, которые могут использовать как физические, так и юридические лица, чтобы предотвратить сбор ключевых данных и их использование для завладения важными учетными записями:
- Избегайте размещения в Интернете личной информации, например, номера телефона. Каждый человек должен избегать публикации своего номера телефона в социальных сетях и не вводить его на неизвестных (и даже на большинстве известных) веб-сайтах и в мобильных приложениях. Телефонные номера являются таким же ключом к идентификации человека и его полной финансовой биографии, как и номер социального страхования. С помощью таких методов, как подмена SIM-карты и фишинговые аферы, человек может, по сути, завладеть всеми финансовыми счетами человека.
- Никогда не переходите по незнакомой ссылке или вложению в электронном письме, особенно от финансовых или коммерческих организаций. Используйте передовые методы обеспечения безопасности электронной почты. Лица, совершающие фишинговые атаки, обычно отправляют электронные письма, выдавая себя за доверенное учреждение, которое, как известно, часто посещает их жертва, например, Bank of America, Amazon или eBay. Не следует полностью доверять любым письмам, которые человек получает по личной деловой электронной почте. Никогда не переходите по ссылке, полученной от такой организации, вместо этого откройте отдельное окно браузера и перейдите непосредственно на сайт учреждения, чтобы изучить претензии и вести дела в обычном режиме. Любые другие электронные письма от друзей, любимых авторов блогов или некоммерческих организаций следует рассматривать с осторожностью. Проверяйте якорный текст и никогда не вводите личные данные или иную конфиденциальную информацию по ссылке, полученной по электронной почте.
- Осторожно делитесь информацией в социальных сетях. Не забывайте о личных данных на своих профилях в социальных сетях и о том, кому они разрешают доступ к ним. Сохраняйте настройки конфиденциальности на высоком уровне и не принимайте неизвестные запросы на дружбу.
- Все организации должны внедрить комплексную программу защиты данных. Программы защиты данных - это сочетание обучения пользователей и повышения их осведомленности о лучших методах цифровой безопасности с внедрением оптового решения по киберзащите, предназначенного для предотвращения потенциальной потери данных в результате кибер-атак, таких как spear phishing.
- Не допускайте попадания конфиденциальной информации в электронные письма. Излюбленной тактикой spear phishing является рассылка электронных писем сотрудникам с солидных адресов с просьбой предоставить конфиденциальную информацию, например, пароли или банковские реквизиты.
Будьте бдительны и будьте в безопасности
Ни один человек и ни одна организация не застрахованы от того, чтобы стать жертвой киберворов.
Если ваша информация находится в Интернете или на вашем смартфоне загружены приложения, то вы являетесь потенциальной мишенью для этой и других изощренных кибер-атак. Лучший способ не стать жертвой - всегда оставаться начеку.
Сохраняйте конфиденциальность информации, никогда не доверяйте посторонним источникам и обращайтесь к опытным и профессиональным специалистам в области решений по безопасности, чтобы обеспечить надежную защиту бизнес-активов.