Гид по фишингу: как мошенники чаще всего крали деньги и данные в 2023 году
Как мы уже писали в нашей первой статье "Гид по фишингу: самые популярные кибератаки на бизнес в 2023 году", причиной 90% утечек информации является фишинг. Основная проблема заключается в плохой осведомленности организаций и людей в том числе о том, как их распознавать.
Сегодня можно часто услышать множество историй о том, как пенсионер перевел все накопления мошенникам, как кто-то пообщался с псевдоследователем по экономическим преступлениям, а у кого-то заканчивается договор с сотовым оператором. Cloud Networks сделали подборку самых частотных фишинговых атак в 2023, а также привели способы распознавания каждой такой кибератаки: на что следует обращать внимание, если ты - не эксперт в кибербезопасности и не чуешь за версту киберпреступников.
Что такое фишинговая атака?
Фишинговая атака – это такой тип киберпреступления, при котором путем социальной инженерии происходит кража чувствительных данных жертвы (к чувствительным данные - это номера телефонов и адреса, паспортные данные, информация о перемещениях по городу и тд). Самыми успешными считаются те случаи, когда пользователь сам кликнул на вредоносную ссылку или файл, которые якобы пришли от надежного отправителя. Фишинговые атаки зачастую сопровождаются атаками вредоносных программ, чтобы нанести еще больший вред.
Самые распространенные типы фишинговых атак и как их определить
Фишинг через электронную почту (Email phishing)
Фишинг через электронную почту стоит во главе списка как самый старый и самый распространенный способ атак. Мы его также упомянули в гиде по "бизнес-фишингу". Мошенники используют адрес электронной почты жертвы, притворяясь источником, которому можно доверять. Особо старательные хакеры в точности копируют формат электронных рассылок легальных компаний и включают в письмо вредоносную ссылку, документ или изображение, которые могут обмануть пользователя и заставить его подтвердить персональную информацию или автоматически скачать вредоносный код.
Как распознать атаку через электронную почту?
- Запрос персональной информации. Легальные компании НИКОГДА не запрашивают персональные данные по почте.
- Срочная проблема. Многие мошенники маскируют свою попытку фишинга срочным сообщением, например, взлом аккаунта, ошибка оплаты, подтверждение логина или нарушение авторских прав. НИКОГДА не нажимайте на ссылки или проверьте прямо на сайте
- Сокращенные ссылки. Сокращение ссылки тоже является одним из способов скрыть вредоносные URL. Сторонние общедоступные сервисы могут скрыть настоящий адрес ссылки.
- Почтовый адрес без домена. Опасные адреса почты обычно имеют либо домен сторонних провайдеров, либо варианты емейлов легальных компаний: вместо @cloudnetworks.ru могут использовать @cloudnetworksofficial.ru. Всегда следует проверять адрес отправителя, чтобы убедиться, что он полностью совпадает с названием компании.
- Ошибки в грамматике или правописании. Любая ошибка в письме должна стать триггером. Зачастую атаки производят хакеры не с территории России, то есть оттуда, где русский язык – не родной.
- Прикрепленные файлы. Если источник не подтвержден, то не следует открывать единственное или пустое изображение. Если электронное письмо представляет собой скриншот письма или пустое сообщение без текста, не нажимайте на изображение. Вредоносный код может быть привязан к нему, а после клика – автоматически загрузиться.
Голосовой фишинг (Voice phishing)
Голосовым фишингом, также известным как вишинг, называют те случаи, когда мошенник звонит по телефону и пытается украсть информацию или деньги. Особо изощренные технологии позволяют преступникам подменять идентификационный номер вызывающего абонента и притворяться источником, которому можно доверять. Обычно звонящий создает чувство срочности и авторитетности, чтобы не дать жертве мыслить ясно.
Некоторые тактики вишинга включают:
- Член семьи попал в беду и нуждается в финансовой помощи
- Налоговым службам нужен ваш номер социального страхования для подтверждения возврата налогов
- Заплатить смешную сумму для выкупа фальшивого приза
- Издано постановление об избрании меры пресечения в виде заключения под стражу
- Возможна расширенная гарантия на транспортное средство
- Ваш банковский счет заблокирован из-за подозрительной активности
- Предложение о гарантированном доходе от инвестиций
- Крупный долг, который необходимо погасить
Как распознать голосовой фишинг?
- Заблокированные или неопределенные номера. Фишинговые звонки обычно исходят от заблокированных номеров. Если вы взяли трубку и собеседник звучит подозрительно, положите трубку.
- Запрос чувствительной информации или деньги. Государственные учреждения всегда действую через официальные письма и никогда не станут запрашивать личную информацию с помощью звонков.
HTTPS-фишинг (HTTPS phishing)
HTTPS-фишинг – это атаки, основанные на использовании URL, который выглядит как абсолютно безопасная ссылка. HTTPS – стандартный протокол для шифрования трафика между браузерами и вебсайтами, который требует сертификаты TSL/SSL. Ранее браузеры могли определять сайты, которые не имеют протокола HTTPS – как первой линии защиты от киберпреступлений.
Тем не менее, хакеры сейчас могут заполучить эти сертификаты бесплатно и добавить HTTPS на свои фишинговые сайты, стирая различия между тем, что выглядит безопасно, а что – нет.
Как распознать HTTPS-фишинг?
- Сокращенные URL. Короткие ссылки могут скрывать настоящий адрес, в том числе прятать попытки фишинга. Ссылки должны быть в исходном формате, где видно источники, на который они ведут
- Текст с гиперссылками. Текст с кликабельными ссылками может также вести на вредоносный сайт. Убедитесь в источнике ссылке, наведя на нее курсор, но не кликая.
- Ошибки в URL. Любая ошибка в домене емейла – мгновенный знак, что письмо фейковое.
Клон-фишинг (Clone phishing)
Вместо отправки фейковых писем, клон-фишинг подразумевает пересылку реального сообщения от компании или персоны, копируя его почти до идентичного уровня, но с заменой файла или ссылки в письме на опасные. Электронное письмо будет выглядеть как пересланное в списке входящих. Иногда мошенники используют фейковые, но очень похожие адреса, а самые изощренные хакеры подменяют адрес электронной почты.
Как распознать клон-фишинг?
- Задублированные письма. Лучший способ распознать клон-фишинг – просмотреть последние входящие. Если есть дубликаты писем, поищите новые ссылки в более ранних сообщения – это может быть фишинг. Всегда сравнивайте ссылки с предыдущими полученными сообщениями.
- Ошибка в адресе. В большинстве своем фейковые адреса электронной почты имеют незаметную ошибку, которую можно легко не заметить.
- Текст с гиперссылками. Если навести курсор на ссылку, то браузер покажет ее в левом нижнем углу. Если URL не соответствует тексту, к которому он привязан, то это может быть красным флагом.
SMS-фишинг (SMS phishing)
SMS-фишинг, либо «смишинг», похож на вишинг, но вместо звонков мошенники отправляют текстовые сообщения со ссылками по SMS. Так как личные номера телефонов обычно менее доступны для публичного доступа, люди склонны больше верить полученным на них сообщениям. Именно поэтому хакерам проще красть данные через сообщения с URL.
Как распознать SMS-фишинг?
- Нежелательные сообщения. Если вы не подписывались на SMS-рассылку сами, текстовые сообщения о бесплатном купоне или суперпредложении на то, чем вы не пользуетесь, являются признаком фишинга. Другие тактики включают в себя просьбы подтвердить аккаунт, проверить статус заказа или подтвердить медицинскую информацию.
- Неизвестный отправитель. Запрос информации через SMS должен стать красным флагом. Посмотрите информацию о номере в бесплатных сервисах. Самое важно правило – не кликайте на ссылки в сообщениях.
- Запрос аутентификации. Если вы получили запрос авторизации, кто-то может пытаться получить доступ к вашим аккаунтам. Смените пароль, как только получили это письмо.
Фишинг через всплывающие окна (Pop-up phishing)
Хотя большинство пользователей браузеров установили блокировщик рекламы или всплывающих окон, хакеры еще могут спрятать вирус на вебсайте. Они могут выглядеть как окна уведомлений или реклама. Каждый, кто кликнет на это всплывающее окно или рекламу, будет заражен вирусом.
Как распознать фишинг через всплывающие окна?
- Уведомления браузера. Многие браузеры, в том числе Chrome и Safari, спрашивают пользователей, разрешить или блокировать уведомления, когда они заходят на новый сайт. Браузеры не могут фильтровать спам, поэтому, если пользователь случайно нажмет на «разрешить», вредоносный код может автоматически скачаться.
- Новая вкладка или новое окно. Поиск в интернете без блокировки всплывающих окон может быть опасен, особенно для мобильных устройств. Посещение определенных сайтов может вызвать всплывающее окно или вкладку с ссылками для загрузки вируса.
- Срочные сообщения. Всплывающие окна с информацией о том, что вам нужно обновить антивирус или обновить подписку, – самый ясный сигнал о фишинге. Вы должны обновляться, совершать платежи на самом вебсайте, а не через всплывающие окна на абсолютно стороннем сайте.
Фишинг в социальных сетях (social media phishing)
Наравне с электронными письмами, социальные сети стали популярным вектором атак у киберпреступников. Используя огромное количество персональных данных, которые показывают пользователи социальных сетей, мошенники могут легко использовать методы социальной инженерии для получения чувствительных данных. Биллионы людей по всему миру используют Вконтакте, Snapchat и другие социальные сети для общения, тем самым увеличивая риски фишинговой атаки.
Эти атаки обычно используют ссылку, которая ведет на опасный вебсайт, для кражи важной информации. Иногда мошенник может подружиться в вами, а затем попытаться украсть деньги – якобы он попал в беду.
Самые распространенные тактики включают:
- Предложения или онлайн-скидки
- Исследования или соревнования
- Запросы дружбы
- Фейковые видео
- Комментарии под видео или фото
Как распознать фишинг в социальных сетях?
- Подозрительные ссылки. Если вы получили ссылку от друга, возможно, его аккаунт взломали. Если ссылка содержит ошибки или странный набор чисел, букв, лучше проигнорировать ссылку.
- Подозрительный аккаунт. Если вы получили сообщение или запрос дружбы от незнакомого человека, не принимайте его. Такие аккаунты не проявляют активность почти во всех случаях, так как созданы исключительно для поиска жертв.
Фишинг-англ (angler phishing)
Мошенники могут вывести фишинг через социальные сети на новый уровень, изображая персонал из поддержки клиентов при фишинг-англ. Киберпреступники создают фейковый аккаунт и пишут недовольному пользователю, которого они нашли в комментариях к посту в социальных сетях.
Во время разговора мошенник предлагает помощь после подтверждения некоторых персональных деталей и направляет ссылку для решения проблемы. Естественно, ссылка содержит вирус, и атакующий успешно заражает жертву.
Как распознать фишинг-англ?
- Неподтвержденный аккаунт. Официальный аккаунт поддержки компании будет подтвержден и вести на главную страницу. Если крупные компании, такие как VK связываются с вами, убедитесь, что у них есть подтверждение у имени пользователя. Вы можете найти на сайте компании официальную поддержку или контактную информацию.
- Отсутствие истории профиля. Даже если малый бизнес еще не получил верификацию, он должен иметь внушительную историю взаимодействия с пользователями. Аккаунты с малым количеством подписчиков и без постов похожи на новые аккаунты, которые пытаются использовать людей, не обременяющих себя проверкой собеседника.
«Злой двойник» (Evil Twin phishing)
Фишинг «злого двойника» представляет собой атаку, при которой создается небезопасная точка доступа Wi-Fi, которая «заманивает» подключиться. При подключении все входящие и исходящие данные можно перехватить, включая личные и платежную информацию. Хакеры могут также заставлять пользователей посещать фейковые порталы в надежде предоставить ценные аутентификационные детали.
Такой способ фишинга особенно популярен в общественных местах с бесплатным Wi-Fi, например, кофейни, библиотеки, аэропорты или отели. Лучший способ защититься – использовать VPN при использовании общедоступного Интернета.
Как распознать «Злого двойника»?
- Задублированные точки доступа Wi-Fi. Если вы заметили несколько точек подключения с одинаковым именем, определите безопасную и запароленную. Если оба доступа не требуют пароль, будет очень опрометчиво подключаться к таким сетям.
- Предупреждения о небезопасном подключении. Некоторые ноутбуки или мобильные устройства покажут уведомления о том, что сеть, к который вы хотите подключиться, не является безопасной. Если вы получили такое сообщение, подумайте, стоит ли подключаться.
Подмена веб-сайта (website spoofing)
Атакующие создают полностью фейковый вебсайт для кражи персональных данных. Хорошо сделанный фейковый вебсайт будет состоять из тех же элементов, что и подлинный: логотипы, текст, цвета, функционал. В основном спуфят сайты финансовых организаций и здравоохранения, социальные сети, потому что они обрабатывают самую важную информацию.
Как распознать подмену вебсайта?
- Ошибки в URL. Атакующие часто используют в своих интересах омографы, которые используют схожесть символов. Например, «rn» вместо «m», либо «vv» вместо «w».
- Ошибки вебсайта. За редким исключением подмена полностью соответствует оригиналу. Иногда логотипы на сайте худшего качества. Если что-то выглядит не так, прекратите пользоваться сайтом, особенно если вы получили ссылку через электронную почту или в сообщении. Сохраните нужный вам сайт в закладки браузера.
Подмена электронной почты (Email spoofing)
Подмена электронной почты происходит тогда, когда злоумышленник создает полностью фейковый домен в попытки одурачить пользователей. Для пущей скрытности, атакующий может исправить хедер и включить туда домен компании в надежде, что жертва не проверит адрес, с которого пришло письмо. Так как протокол SMPT не предусматривает проверку домена, злоумышленники могут легко подменять электронные письма.
Преступники могут скрывать адрес отправителя и показывать только имя. Они могут использовать настоящее имя, которое жертва наверняка узнает, и поэтому откроет письмо. Когда атакующий комбинирует и настоящее имя, и настоящий домен в хедере, пользователь может легко повестись на обман.
Не путайте спуфинг домена со спуфингом DNS, так как в первом случае создается полностью новый домен, а не просто взламывается DNS-сервер.
Как распознать кражу домена?
- Нежелательная почта. К каждому новому письму, особенно с каким-либо запросом, следует относиться с подозрением. Прочитайте письмо внимательно и используйте другой канал коммуникации для подтверждения почты.
- Ошибки в адресе почты. Фейковые домены выглядят как настоящие при беглом взгляде, но при дальнейшем изучении можно заметить омографы. Если у вас есть подозрение, что письмо отправили с фейкового аккаунта, скопируйте и вставьте ссылку в блокнот или текстовый документ (Р7 или Microsoft Word) для проверки правописания.
Подмена DNS (DNS spoofing)
Подмена DNS (также известная как отравление DNS сервера или фарминг) является более техничным процессом, при котором киберпреступники взламывают DNS – сервер, который переводит имя домена в IP-адрес. Когда DNS взломан, он может автоматически перенаправлять с URL компании на вредоносный вебсайт под другим IP-адресом.
Как только пользователь переходит на подменный вебсайт, есть 2 сценария: 1. Вирус автоматически загружается на устройство 2. Подмененный вебсайт может заставить пользователя подтвердить персональный данные или данные платежной карты.
Как распознать фарминг?
- Небезопасный вебсайт. Обычно небезопасные вебсайты – знак попытки фишинга, либо заражения. В большинстве случаев такие вебсайты начинаются с HTTP, а не HTTPS.
- Ошибки вебсайта. Фейковый вебсайт обычно содержит ошибки, включая ошибки в орфографии, кнопках, которые не работают, изображения плохого качества и тд.
Фишинг на картинках (Image-based phishing)
Фишинг на картинке обычно является частью фишингового электронного письма. В дополнение к гиперссылкам и зараженным URL, картинки тоже могут содержать ссылки на инфицированные вебсайты. В некоторых случаях картинка может быть единственным, что есть в письме является небезопасным, чтобы обмануть пользователя.
Как распознать фишинг на картинках?
- Встроенная ссылка. Наведите курсор на изображение и проверьте, есть ли ссылка на сторонний сайт. Есть ли в этой ссылке орфографические ошибки? Обычно безопасно открывать и читать электронные письма, пока вы не начинаете кликать по ссылкам и картинкам.
- Спам. Каждое письмо, отправленное в папку «Спам», может быть фишинговым, даже если оно выглядит как официальное письмо от компании или человека. Существует множество способов сделать так, чтобы письмо выглядело официальным, но если оно помечено как спам, значит, в нем могут быть фишинговые элементы.
- Большие кнопки CTA. Популярные фишинговые тактики включают приглашение и привлекающие взгляд кнопки действия (CTA – call to action) похожие на рассылки о распродаже. Пользователи, которые не такие внимательные, как ИБ-специалисты, могут, не подумав, кликнуть на кнопку просто потому, что она есть в письме. Убедитесь, что письмо получено от подтвержденного отправителя, URL и контент не вызывают недоверия, тогда кликайте на кнопки действия.
Фишинг в поисковых системах (Search Engine Phishing)
При фишинге в поисковых системах злоумышленники создают страницы с большим содержанием ключевых слов, чтобы поисковики ранжировали страницу наверху поисковой системы. Эти страницы обычно содержат яркое предложение, чтобы одурачить ничего не подозревающего пользователя. Как только пользователь зашел на страницу, его просят оставить платежную информацию или номер социального страхования. Такие фейковые страницы обычно включают:
- Бесплатную продукцию
- Бесплатный отдых
- Возможности инвестирования
- Промокоды на скидку
- Вакансии
- Совпадения на сайте знакомств
Как распознать фишинг в поисковых системах?
- Предложения из серии «раз в жизни». Бесплатный сыр – в мышеловке, и если что-то кажется слишком хорошим, чтобы быть правдой, так и есть. Преступники находятся в поиске любителей легкой наживы или любителей сэкономить. Хорошо изучите веб-сайт перед тем, как вводить персональные данные.
- Плохо сделанные вебсайты. Многие вебсайты сделаны на скорую руку, так как они готовы исчезнуть из сети, как только на них пожалуются. Если сайт выглядит плохо сделанным и с минимальным функционалом, избегайте его.