Phishing: Čo to je, ako to funguje a ako sa pred podvodmi chrániť

Informatec Digital » Internet » Phishing: Čo to je, ako to funguje a ako sa pred podvodmi chrániť

Bezpečnosť internetu je jednou z najväčších výziev digitálneho veku . Každý deň prehliadame web, nakupujeme online, spravujeme si bankové účty alebo kontrolujeme e-maily s dôverou, že naše údaje zostanú súkromné ​​a chránené. Kyberzločinci však nikdy neusnú a používajú čoraz sofistikovanejšie techniky na krádež našich informácií . Jednou z najčastejších a najnebezpečnejších hrozieb v tejto oblasti je phishing.

Boli by ste prekvapení, aké ľahké je padnúť do phishingovej pasce, ak neviete, ako ju rozpoznať . Aj keď si myslíte, že ste v bezpečí, pretože neklikáte na podozrivé odkazy, pravdou je, že podvodníci zdokonalili svoje triky. Od e-mailov s logami takmer identickými s logami vašej banky až po poplašné správy, ktoré apelujú na vaše emócie, aby vás oklamali a prinútili prezradiť citlivé osobné alebo bankové informácie. V tomto prípade má zmysel naučiť sa jasným a praktickým spôsobom, čo je phishing, ako funguje a ako najlepšie zostať o krok pred zloduchmi.

Čo je phishing a prečo je takou rozšírenou hrozbou?

Phishing je technika digitálneho podvodu, ktorej hlavným cieľom je získať dôverné údaje používateľov . Útočníci sa zvyčajne vydávajú za spoločnosti, vládne agentúry, banky alebo služby, ktorým dôverujeme. Prostredníctvom e-mailov, SMS správ, telefonátov alebo falošných odkazov sa nás snažia oklamať, aby sme dobrovoľne poskytli informácie, ako sú heslá, čísla kreditných kariet alebo prihlasovacie údaje do online služieb.

Termín phishing pochádza z anglického slova „fishing“, ktoré označuje „chytanie“ obetí na návnadu a čakanie, kým sa chytia. Niektorí tvrdia, že slovo pochádza zo spojenia „password harvesting fishing“, hoci sa to javí skôr ako neskoršie vysvetlenie než skutočný pôvod. V každom prípade je koreň jasný: phishing sa snaží oklamať nič netušiacich používateľov, aby ukradol súkromné ​​informácie.

Táto hrozba zaujíma významné miesto vo svete kyberkriminality vďaka svojej obrovskej efektivite a nízkym nákladom pre útočníkov . Odoslanie tisícok škodlivých e-mailov alebo správ stačí na to, aby oklamalo niekoľko obetí a odhalilo cenné údaje. Navyše nevyžaduje narušenie technologických systémov, ale skôr manipuláciu s ľuďmi , čo ju robí ešte nebezpečnejšou pre každého používateľa, spoločnosť alebo inštitúciu.

Historický vývoj a pôvod phishingu

Prvé pokusy o phishing boli odhalené v polovici 90. rokov 20. storočia , hoci k ich rozsiahlemu prijatiu došlo o niekoľko rokov neskôr. Termín „phishing“ bol prvýkrát použitý v roku 1996 na hackerských fórach na opis schém krádeže účtov zameraných na AOL, v tom čase populárneho poskytovateľa internetových služieb. Útočníci sa vydávali za zamestnancov a posielali správy so žiadosťou o overenie fakturácie, čím získavali prístup k účtom obetí.

Odvtedy sa phishing výrazne vyvinul, čo sa týka techník, dosahu a sofistikovanosti . Dnes zločinci používajú množstvo metód útoku, od starostlivo vytvorených e-mailov až po SMS správy, hovory (vishing) a dokonca aj QR kódy (qrishing), pričom vždy zneužívajú ľudský faktor ako svoju primárnu zraniteľnosť. Táto všestrannosť urobila z phishingu najrozšírenejšiu útočnú techniku ​​na krádež údajov a peňazí od používateľov a firiem.

Súčasný dopad a rozsah phishingu

Phishing spôsobuje obrovské finančné straty a vážne poškodzuje reputáciu a bezpečnosť svojich obetí . Podľa správy spoločnosti IBM s názvom „Náklady na únik údajov“ je phishing najčastejším vektorom úniku údajov na svete a predstavuje približne 15 % bezpečnostných incidentov . Odhaduje sa, že straty severoamerických spoločností môžu v priemere presiahnuť 4,88 milióna dolárov na jedno narušenie . Na individuálnej úrovni môže ktorýkoľvek používateľ stratiť prístup k e-mailovým účtom, utrpieť finančné straty alebo sa stať obeťou podvodu s identitou.

Útočníci sa zvyčajne zameriavajú na obete od jednotlivých používateľov až po veľké organizácie a vládne agentúry . Známym príkladom bol hackerský útok na prezidentskú kampaň Hillary Clintonovej v USA v roku 2016, kde bol falošný e-mail na obnovenie hesla použitý na krádež tisícov dôverných e-mailov.

Kľúč k jeho úspechu spočíva v tom, že štandardné bezpečnostné techniky a filtre, ako napríklad antivírusový softvér alebo sieťové kontroly, nie vždy dokážu tieto podvodné správy odhaliť . Hlavnou taktikou phishingu je psychologická manipulácia.

Najčastejšie používané phishingové techniky a metódy

Phishing sa neustále prispôsobuje novým digitálnym zvykom, čo vedie k nespočetným variáciám . Medzi najbežnejšie metódy patria:

• Tradičný phishingHromadné e-maily alebo SMS správy vydávajúce sa za legitímne spoločnosti (banky, sociálne siete, internetové obchody), ktoré nabádajú používateľov, aby klikali na odkazy a poskytovali osobné údaje na falošných webových stránkach.
• vishingIde o telefonáty, pri ktorých sa používatelia vydávajú za dôveryhodných pracovníkov (banky, operátori atď.) s cieľom získať dôverné údaje, ako sú heslá, tokeny alebo iné bezpečnostné kódy.
• SMiShingovýchVariant, ktorý používa SMS správy alebo chaty prostredníctvom okamžitých správ na oklamanie obetí. Napríklad správy varujúce pred podozrivou aktivitou na bankových účtoch a vyžadujúce informácie na „overenie“ identity.
• QrishingPoužívanie manipulovaných QR kódov na presmerovanie na falošné webové stránky, kde sa vyžadujú osobné údaje alebo sa inštalujú škodlivé aplikácie.
• URL phishingVytváranie odkazov, ktoré vyzerajú legitímne, ale presmerovávajú na falošné webové stránky, pričom často maskujú URL adresu, aby bola neviditeľná (pravopisné chyby, podobné znaky atď.).
• Spear PhishingÚtoky zamerané konkrétne na jednotlivcov alebo zamestnancov, založené na predchádzajúcom výskume obete s cieľom personalizovať správu a zvýšiť jej dôveryhodnosť.
• lovu veľrýbVariant zameraný na vysokých úradníkov alebo osoby s prístupom k dôverným informáciám, ktorý používa ešte personalizovanejšie a sofistikovanejšie správy.
• Business Email Compromis (BEC)Útoky prostredníctvom firemného e-mailu s cieľom oklamať zamestnancov a vykonávať podvodné prevody alebo ukradnúť kľúčové interné údaje.
• PharmingManipulácia DNS systémov s cieľom presmerovať používateľov na falošné webové stránky bez ich vedomia.
• Phishing založený na škodlivom softvériPripájanie infikovaných súborov k e-mailom alebo správam, ktoré po otvorení nainštalujú škodlivý softvér.
• TabnabbingZneužívajú možnosť, že obete majú otvorených viacero kariet prehliadača, aby zmenili obsah jednej z nich a simulovali potrebu opätovného prihlásenia, čím ukradnú zadané prihlasovacie údaje.
• NapájadloInfikovať webové stránky navštevované zamestnancami spoločnosti alebo organizácie s cieľom napadnúť pravidelných návštevníkov a získať informácie.
• Evil TwinVytváranie falošných Wi-Fi hotspotov s cieľom ukradnúť informácie od tých, ktorí sa pripájajú v domnení, že sú v legitímnej sieti.

Okrem toho sa v posledných rokoch objavili služby Phishing ako služba (PHaaS) , platformy, ktoré umožňujú akémukoľvek kyberzločincovi, a to aj bez rozsiahlych technických znalostí, automaticky spúšťať phishingové kampane zaplatením poplatku.

Ako identifikovať phishingovú správu: Znaky a príklady

Odhalenie phishingového e-mailu alebo SMS správy nie je vždy jednoduché , ale existuje niekoľko indikátorov, ktoré nás na to môžu upozorniť:

• Gramatické a pravopisné chybyVeľké spoločnosti zriedka robia vo svojej komunikácii hrubé chyby, ale podvodné správy sú často plné zjavných nedostatkov.
• Nízka kvalita log a vizuálovObrázky sú často pixelované alebo nerešpektujú proporcie pôvodného dizajnu.
• Podozrivé odkazyAk podržíte kurzor myši nad odkazom a zobrazená URL adresa nezodpovedá skutočnému odkazu, s najväčšou pravdepodobnosťou ide o phishing.
• Naliehavé alebo alarmujúce žiadostiSprávy, ktoré trvajú na naliehavosti, aby ste konali rýchlo, s hrozbami zablokovania účtu, finančnej straty, právnych problémov atď.
• Žiadosti o citlivé osobné údajeAk sa vás niekto opýta na informácie, ako sú heslá, čísla kariet alebo bezpečnostné otázky, okamžite buďte podozrievaví.

Medzi typické príklady patria falošné oznámenia o pozastavení bankových účtov, údajné vrátenie daní, potvrdenia o neuskutočnených nákupoch alebo transakciách a správy, ktoré údajne pochádzajú od vedúcich pracovníkov alebo zamestnancov spoločnosti.

Hlavné ciele a dôsledky phishingu

Hlavným cieľom phishingu je ukradnúť súkromné ​​informácie na účely podvodného použitia . To sa môže prejaviť v:

• Krádež peňazí prostredníctvom podvodných bankových prevodov alebo neoprávnených nákupov.
• spoofing na prístup k iným službám, páchanie trestných činov alebo predaj ukradnutých údajov na čiernom trhu.
• Vydieranie prostredníctvom vyhrážok alebo vydierania, ak sa získajú citlivé údaje.
• Poškodenie osobnej a obchodnej povesti, strata dôvery a právne alebo daňové problémy.

V obchodnom svete môže phishing viesť k obrovským finančným stratám a strate kľúčových strategických informácií. V najhoršom prípade môže ohroziť kontinuitu podnikania.

Rozmanitosť útočných techník a ich rastúca sofistikovanosť

Kyberzločinci neustále zdokonaľujú svoje metódy, ako obísť bezpečnostné systémy a oklamať aj tých najopatrnejších používateľov . Medzi najpokročilejšie techniky patria:

• Odkazy, ktoré sa zdajú byť legitímne, ale majú podvodné ciele, často vložené do zdanlivo neškodných obrázkov alebo textu.
• Škodlivé prílohy ktoré po otvorení nainštalujú škodlivý softvér do zariadenia obete.
• Formuláre na zber údajov na webových stránkach, ktoré dokonale napodobňujú vzhľad oficiálnych stránok.
• Pokročilé techniky na obchádzanie spamových filtrov a antivírusov, ako napríklad vloženie škodlivej správy do obrázkov, ochrana príloh heslami alebo detekcia skenovania virtuálnych počítačov s cieľom skryť skutočný obsah útoku.

Vývoj phishingu je taký rýchly, že niekedy je prakticky nemožné na prvý pohľad rozlíšiť legitímnu správu od falošnej.

Mobilný phishing a sociálne siete: nové útočné cesty

Nárast používania smartfónov a sociálnych médií otvoril nové možnosti pre phishing . Kyberzločinci zneužívajú textové správy (SMS), platformy okamžitých správ, škodlivé mobilné aplikácie a klamlivé príspevky na sociálnych sieťach na krádež informácií alebo infikovanie zariadení.

Medzi bežné príklady patria správy, ktoré sa zdajú byť od bánk a žiadajú vás o potvrdenie podozrivej platby, upozornenia na údajné výhry alebo problémy s vaším účtom, prípadne podvodné odkazy pri nákupe a predaji aplikácií, recenzie reštaurácií alebo dokonca online herné chaty.

Rýchlosť a neformálna povaha týchto kanálov spôsobuje, že mnohé obete znížia svoju ostražitosť, keď čelia zdanlivo „normálnej“ správe, čo zvyšuje úspešnosť útokov.

Ako sa chrániť pred phishingom: kľúčové opatrenia a tipy

Okrem zdravého rozumu a opatrnosti existuje niekoľko návykov a nástrojov, ktoré vám pomôžu chrániť sa pred phishingom . Aby ste sa účinne chránili, mali by ste:

• Vždy skontrolujte pôvod správ, pričom sa vyhýbajte klikaniu na odkazy alebo sťahovaniu súborov od neznámych alebo podozrivých odosielateľov.
• Dávajte si pozor na akúkoľvek správu, ktorá trvá na naliehavosti alebo obsahuje zjavné chyby.: ortografické, vizuálne alebo v štruktúre odkazu.
• Nikdy neposkytujte dôverné informácie e-mailom ani SMS správou.Legitímne spoločnosti nikdy tieto informácie týmto spôsobom nevyžadujú.
• Používajte aktualizované prehliadače a antivírus a aktivujte všetky odporúčané vrstvy ochrany. Niektoré prehliadače, ako napríklad Edge vo Windowse alebo Safari na Apple, obsahujú špecifické phishingové filtre, hoci nie sú neomylné.
• Chráňte si svoje heslá používanie správcov hesiel a vždy povolenie dvojstupňového overovania, ak je k dispozícii.
• skontrolujte url stránok, ku ktorým pristupujete, a pred zadaním akýchkoľvek údajov starostlivo skontrolujte adresu.

V prípade pochybností kontaktujte spoločnosť alebo subjekt priamo prostredníctvom jeho oficiálnych kanálov bez použitia kontaktných informácií uvedených v samotnej podozrivej správe.

Čo robiť, ak ste sa stali obeťou phishingu

Ak si myslíte, že ste sa stali obeťou phishingu a poskytli ste citlivé informácie, konajte rýchlo :

• Okamžite si zmeňte heslo dotknutej služby a ak je to možné, aktivujte dvojstupňové overenie.
• Kontaktujte svoju banku alebo finančnú inštitúciu, aby nahlásila incident, zablokovala karty a nahlásila neoprávnené výdavky. Pamätajte, že predpisy vyžadujú, aby banky niesli zodpovednosť za tento typ podvodu, ak je nahlásený okamžite.
• Vykonajte dôkladnú kontrolu zariadenia pomocou aktualizovaného antivírusového programu na zistenie a odstránenie možných infekcií.
• Informujte svoje kontakty Ak ste poskytli prístup k e-mailu alebo účtom na sociálnych sieťach, aby ste zabránili ostatným padnúť do pasce e-mailov odoslaných z vašich profilov.

Ak je škoda značná a nemôžete získať náhradu, vyhľadajte právnu pomoc, aby ste obhájili svoje práva.

Phishing a zákon: právna situácia v Španielsku a na celom svete

Phishing je v mnohých krajinách uznaný ako trestný čin , hoci trestné stíhanie a sankcie sa líšia v závislosti od jurisdikcie. V Španielsku zákon kriminalizuje vydávanie sa za iné webové stránky s cieľom získať osobné údaje a udeľuje tresty odňatia slobody a vysoké pokuty. Mnohé ďalšie krajiny (Spojené štáty, Kolumbia, Argentína atď.) prijali alebo navrhli špecifické právne predpisy na trestanie phishingu, zatiaľ čo iné na stíhanie týchto prípadov používajú tradičné trestné činy, ako je podvod.

Existujú aj medzinárodné organizácie a pracovné skupiny zamerané na boj proti phishingu, ako napríklad Pracovná skupina proti phishingu, ktorá spolupracuje s orgánmi činnými v trestnom konaní a technologickými spoločnosťami s cieľom zastaviť podvodné webové stránky a varovať pred novými hrozbami.

Dôležitosť školenia a informovanosti

Najlepšou zbraňou proti phishingu zostávajú znalosti a prevencia . Mnoho organizácií školí svojich zamestnancov, aby rozpoznali pokusy o podvod a simulovali interné phishingové kampane, aby otestovali ostražitosť a reflexy svojich tímov. Tieto opatrenia sa ukázali ako vysoko účinné, pretože väčšina phishingových útokov je úspešná iba vtedy, keď používatelia poľavia v ostražitosti alebo si neuvedomujú riziká.

Technológia navyše napreduje a zahŕňa inteligentné riešenia na detekciu hrozieb (filtre proti phishingu, analýza odkazov, overovanie odosielateľa atď.), ale žiadna bariéra nie je 100 % účinná proti vynaliezavosti zločincov. Preto je pre ochranu nevyhnutné zachovať si kritický prístup a sledovať nové trendy.

Phishing je digitálna hrozba, ktorá nerozlišuje medzi jednotlivcami a firmami a postihuje všetky zariadenia rovnako. Rastie spolu s technologickým pokrokom a zneužíva akúkoľvek nedbanlivosť alebo nedostatok povedomia na krádež našich údajov, peňazí alebo duševného pokoja. S aktuálnymi informáciami, osvedčenými postupmi a zdravým rozumom je však možné minimalizovať riziko a udržať si náskok pred kybernetickými zločincami . Zostaňte informovaní, pozorne si prečítajte správy, ktoré dostávate, a pamätajte: v prípade pochybností nikdy nezdieľajte svoje osobné údaje. Prvý krok k ochrane vášho súkromia je vo vašich rukách.