Что такое фишинг и как от него защититься?

Как не стать жертвой фишинговых мошенников?

Фишинг — это распространенный способ интернет-мошенничества. Фишинговые мошенники действуют по отработанной схеме: закидывают наживку — письмо, сообщение, ссылку на сайт и пытаются поймать доверчивых пользователей. Поэтому неудивительно, что сам термин произошел от англоязычного phishing — рыбалка.

Фишинг становится популярнее с каждым годом. По статистике Google, в 2021 году компания обнаружила более 2 миллионов фишинговых сайтов — это на 27% больше, чем в 2020 году.

Почтовый фишинг

Злоумышленники отправляют пользователям письма под видом известного бренда: подделывают адрес, чтобы он напоминал официальный. Получатель нажимает на ссылку и переходит на поддельный сайт или загружает документ с вирусом. Одна из вариаций почтового фишинга — клон-фишинг. Мошенники определяют, какими программами и магазинами вы часто пользуетесь, а затем отправляют письма якобы от этих брендов.

Целевой фишинг

Его еще называют спеар-фишинг (spear phishing). Мошенники нацеливаются на конкретную компанию, изучают нескольких сотрудников по аккаунтам в соцсетях или информации на сайте.
Затем этим сотрудникам отправляют письма будто бы от коллег: используют реальные имена, должности, номера рабочих телефонов. Человек думает, что получил внутренний запрос, и следует указаниями из письма.

В 2020 году американская медицинская компания Elara Caring неделю останавливала утечку данных клиентов, после того как злоумышленники получили доступ к аккаунтам сотрудников и стали рассылать с них фишинговые сообщения. В результате атаки мошенники украли информацию о ста тысячах пациентов: имена, даты рождения, банковские данные, номера водительских прав и социального страхования.

У спеар-фишинга есть подвид — уэйлинг. Слово происходит от whailing — «охота на китов». Это целевой фишинг, который направлен на руководителей.

Телефонный фишинг

Этот тип атаки разделяется на два подвида: вишинг и смишинг.
Голосовой фишинг, или вишинг (vishing) предполагает разговор по телефону. Преступник звонит жертве, давит на нее и создает повышенное чувство срочности, чтобы человек сообщил конфиденциальные данные.

Мошенники часто представляются сотрудниками банков: они сообщают о заявках на кредит или подозрительных переводах, угрожают блокировкой, а затем требуют сообщить смс-код или оформить подозрительный перевод. В результате люди теряют все свои накопления.

В смишинге (smishing) вместо звонков используют СМС-сообщения с вредоносными ссылками, которые маскируют под купоны и розыгрыши.

CEO-мошенничество

Через социальные сети или веб-сайты мошенники находят информацию о руководстве компании, например о генеральном директоре или главном бухгалтере. Затем подделывают почтовый ящик и рассылают письма другим сотрудникам от имени этого руководителя.

Яркий случай СЕО-мошенничества произошел в 2015 году, когда финансовый отдел австрийско-китайской аэрокосмической компании FACC перевел злоумышленникам 61 миллион долларов, следуя указаниям из поддельного письма от гендиректора.

Фишинг в социальных сетях

Такие мошенники создают поддельные аккаунты в Instagram, ВКонтакте, Facebook, Twitter и других мессенджерах и социальных сетях. Хакеры выдают себя за знакомого жертвы или аккаунт известной компании. Они присылают сообщения со ссылками на поддельные сайты, запрашивают личную информацию через Facebook — приложения, отмечают на изображениях с призывом перейти на сайт.

Смежный способ фишинга — мошенничество в мессенджерах: Telegram, WhatsApp и Viber. Через них хакеры рассылают сообщения якобы от популярных компаний в попытке завладеть вашими личными данными.

Один из крупных примеров — мошенничество, направленное на пользователей Booking.com. В 2018 году хакеры рассылали юзерам WhatsApp-сообщения, через которые получали доступ к аккаунтам. Завладев информацией о бронированиях, злоумышленники требовали оплатить проживание по поддельным счетам. Компания не говорит, сколько денег потеряли клиенты, но, по данным CNN, от подобных типов мошенничества только за первый квартал 2021 года американцы потеряли 26 миллионов долларов.

Веб-фишинг

Главный метод этого вида — подмена сайта. Хакер создает страницу, практически не отличимую от сайта крупного бренда или компании, в которой вы работаете. Вы используете свою учетную запись для входа, и злоумышленник получает доступ к реальному аккаунту.

Хакеры либо присылают ссылку через email, либо перенаправляют пользователей на поддельный сайт при помощи фарминга. Злоумышленники взламывают систему доменных имен (DNS), и когда пользователь хочет зайти на сайт, сервер открывает страницу-подделку.

У веб-фишинга много вариаций.
Фишинг через поисковые системы. Такие мошенники таргетируются на людей, желающих что-то купить: их просят ввести конфиденциальную информацию, которую перехватывает хакер.

Атака на водопое

Хакеры выясняют, какие сайты часто посещают сотрудники компании, и подменяют адрес или добавляют к нему вредоносный код для скачивания.

Всплывающие окна или уведомления веб-браузера. Когда человек кликает на кнопку «разрешить», на устройство загружается вредоносный код.

Злой двойник

Фишинговая атака evil twin симулирует привычную точку доступа Wi-Fi. После подключения злоумышленники получают учетные данные для входа в систему и другую информацию.

Как распознать фишинг-атаки и не попасться на удочку? Фишинговые письма и сайты

Вот список подозрительных «флажков», которые указывают на фишинговое письмо:

• Письмо создает иллюзию срочности и вызывает тревогу.
• Письмо обезличено, к отправителю не обращаются по имени (этот пункт может не соблюдаться при использовании целевого фишинга).
• В письме есть грамматические и орфографические ошибки.
• Письмо пришло от подразделения или от сотрудника, который прежде с вами не общался, либо в письме содержится нехарактерная просьба.
• К письму прикреплен zip-файл или большое изображение.
• Адрес почты вызывает подозрения. Например, организация использует адреса в виде name@example.com, а письмо пришло с адреса name.example@gmail.com. Либо в имени сотрудника есть опечатки.
• Ссылки встроены в текст или сокращены, либо при наведении на ссылку отображается другой адрес.
• Отправитель пишет с личной электронной почты вместо рабочей.

Как определить фишинговый сайт?

• Веб-адрес написан с ошибками: например: appel.com вместо apple.com.
• В адресе сайта стоит http вместо https.
• У адреса неправильный домен верхнего уровня: например, .org вместо .ru.
• Логотип компании плохого качества.
• Браузер предупреждает, что сайт небезопасный.

Регулярно обновляйте софт

Злоумышленники часто используют уязвимости программного обеспечения. Чтобы избежать проблем, регулярно устанавливайте обновления, которые устраняют эти недостатки.
Установите надежный антивирус. Антивирусные программы сегодня не только сканируют загружаемые программы на предмет вредоносных кодов, но и могут определять фишинговые сайты.

Подключите почтовые фильтры

Фишинговые мошенники часто делают массовые рассылки, поэтому хороший почтовый фильтр пометит их как спам-рассылку.

Кроме того, киберпреступники часто прячут вредоносный код в активном содержимом PDF-файла или в коде — вы можете настроить почтовый клиент или антивирус так, чтобы сервис проверял такие вложения.

У разных почтовых клиентов фильтры настраиваются по-разному. Например, в почте Gmail можно помечать подозрительные письма ярлыками или сразу удалять их, а в Microsoft Exchange Online — основательно проверять вложения. Чаще всего отрегулировать почтовые фильтры можно в настройках почтовых клиентов в разделах «Фильтры» или «Правила».

Справка

Что такое фишинг?

Фишинг (англ. fishing — рыбная ловля, выуживание паролей) — вид интернет-мошенничества, цель которого получить идентификационные данные пользователей. Сюда относятся кражи паролей, номеров кредитных карт, банковских счетов и другой конфиденциальной информации. Хакеры используют его, чтобы получить доступ к конфиденциальной информации других людей: их учетным записям и данным банковских карт.

Какие бывают типы фишинга?

• Направленный фишинг
• Уэйлинг
• Вишинг
• Фишинг через электронную почту

Что такое Фишинг и Скриминг?

Фишинг и скимминг — это виды мошенничества с платежными картами. Фишинг — кража любых персональных данных, владение которыми позволяет преступникам получать выгоду. Это серии и номера паспортов, реквизиты банковских карт и счетов, пароли для входа в электронную почту, платежную систему и аккаунты в социальных сетях.

Чем отличается Фишинг от Вишинг?

Основная цель у всех одна — выудить конфиденциальную информацию, в основном через перенаправление пользователей на поддельные сайты. Но делается это по разному: В фишинге — посредством e-mail. В вишинге — посредством звонка.

Чем Фарминг отличается от Фишинга?

Фарминг больше ориентирован на атаки на систему DNS, тогда как фишинг больше ориентирован на манипулирование пользователями.

В чем опасность фишинга?

Это может быть кража денег, мошенничество с банковскими картами, потеря доступа к фотографиям, видео и файлам — киберпреступники даже могут выдать себя за вас и подвергнуть опасности других людей.

Чем отличается фишинг от спама? Какую опасность несут фишинговые письма?

Слово «спам» знает сегодня каждый пользователь интернета. Причем не только знает, но и частенько видит его в своем электронном ящике. Но само слово «спам» когда-то никак не ассоциировалось с интернетом. Фишинг — вид интернет-мошенничества, цель которого — получить идентификационные данные пользователей.

Как отличить фишинговый сайт от настоящего?

Вы можете узнать, является ли сайт фишинговым, проверив домен в адресной строке и сравнив его с изначальным адресом домена. Фишинговые сайты очень часто используют похожие домены для обмана пользователей. Пользователь думает, что переходит на заявленный сайт, однако фактически его перенаправляют на подставной сайт. Как правило, жертвами фишеров становятся клиенты банков и платежных систем.

Что будет за создание фишинг сайта?

В настоящее время уголовном законодательстве Российской Федерации не предусматривается ответственность за совершение таких деяний, как фишинг, а сам термин не закреплен ни в одном нормативном акте, и, соответственно, использовать его при квалификации деяний невозможно.

Кто проверяет сайты?

Интернет-магазины проверяют Роскомнадзор, антимонопольная служба и Роспотребнадзор. Рассказываем, как подстраховаться. Как интернет-магазины соблюдают закон, следят три службы: Роскомнадзор, антимонопольная служба и Роспотребнадзор.

Что будет если украл аккаунт в игре?

Ответственность за них предусмотрена в статье 138 УК РФ и карается штрафом до 80 тысяч рублей или общественными работами.