Что такое фишинг

Что такое фишинг в интернете?

Для тех, кто знаком с английским языком станет ясно, что это слово переводится как «Рыбалка». Но на самом деле к настоящей рыбалке это никакого отношения не имеет. Речь идет скорее о ловле лохов. Иными словами фишинг — это определенный вид мошенничества в интернете, с целью получения какой-либо конфиденциальной информации пользователя (учетные данные и пароли от сервисов, доступ к вашим кредитным картам, электронной почте и т.д.).

Мошенники пытаются выудить эту информацию любыми способами. В основном создаются какие-то левые сайты, которые либо копируют оригиналы, либо очень похожи на них, либо просто выглядят кк вполне себе честные ресурсы, не вызывающие каких-либо подозрений. Главное, чтобы «клиент» поверил, что он предоставляет всю информацию настоящим сервисам.

Чаще всего человек попадает на такие папки по ссылкам. Например вы читаете сообщение, что вы выиграли Айфон или деньги, после чего стоит ссылка.

У вас глаза «загорелись» и вы на нее переходите, чтобы узнать подробнее. Вас перекидывает на сайт ВК. Вы думаете, что скорее всего это ссылка на какой-то пост вконтакте и вас просто выкинуло. Вы без каких-либо сомнений вводите свой логин и пароль, и с этого момента ваши учетные данные у мошенников. Так что готовьтесь, что скоро от вас посыпятся сообщения вашим друзьям с просьбой положить вам на телефон (причем не ваш) N-ную сумму денег.

Вот, например, вы получили письмо с какими-то документами. Нажали на один из них, чтобы прочитать подробнее, но вас тут же выкидывает на страницу авторизации электронной почты. Многие думают, что это глюк, или сессия закончилась, поэтому безо всяких умыслов вводят свои учетные данные, даже не посмотрев, что адрес-то совершенно другой. И всё. Вы сливаете свою информацию, сами того не подозревая.

Но на самом деле стоит отдать мошенникам должное. Ведь это не просто банальный развод, типа курсов, которые продаются через глопарт. Здесь приходится настраивать все на психологическом уровне. Ведь на самом деле уже мало кто ведется на то, что он выиграл 100000 рублей. Всё делается гораздо лучше.

Лучшая защита от фишинга в Интернете

Чем меньше люди осведомлены о правилах работы организаций, за представителей которых выдают себя кибераферисты, тем большим успехом пользуются мошеннические схемы получения персональных данных. Сайты многих банков, платежных систем и других компаний, где фиксируется конфиденциальная информация, содержат развернутые предупреждения о том, что сообщать свои пароли, логины, номера счетов и прочее никому не следует и что работники компании не могут об этом попросить. Но люди продолжают попадаться на удочку фишеров.

Для борьбы с фишингом в Интернете была организована специальная группа под названием APWG – Anti-Phishing Working Group, объединяющая предприятия, являющиеся целью атак фишеров (в том числе крупные мировые банки), и разработчиков антивирусного, антиспамерского и антифишингового ПО (IT-компании). APWG проводит мероприятия по ознакомлению пользователей. Члены группы, число которых на сегодняшний день перевалило за 2500, постоянно обмениваются информацией о новых сайтах фишеров и схемах работы мошенников.

APWG с оптимизмом смотрит в будущее и надеется научить пользователей избегать подозрительных сайтов

Ведь удалось же привить людям осторожность при работе с письмами и файлами от неизвестных отправителей.. Против фишинга в Интернете предпринимаются и технические меры:

Против фишинга в Интернете предпринимаются и технические меры:

• браузеры собирают черные списки опасных сайтов и оповещают пользователя о вероятной угрозе;
• спам-фильтры почтовых служб всё время совершенствуются.

9 полезных советов по защите от фишинга:

Но, какими бы совершенными ни были программы, не следует полагаться на них целиком. Внимательность ничто не заменит. Не игнорируйте предупреждения вашего антивирусника или браузера, который распознал сайт как опасный. Кроме того, большинство пользователей не глядя устанавливают игры и софт, не читают скучные пользовательские соглашения, а это может быть небезопасно.

Составляющие фишинга

Разберем механизм фишинга: что заставляет людей попадаться на удочку мошенников?

Психологические факторы

Фишинг используют, играя на чувствах и эмоциях, присущих большинству из нас. Это могут быть как отрицательные качества человеческой натуры: лень, жажда легких денег, любопытство и даже ревность, так и абсолютно естественные чувства честного человека: страх перед возможным банкротством или невозможностью погасить долг, боязнь быть обманутым и др.

Разумеется, подобный обман очень быстро вскроется, но фишинг-мошенники редко работают в долгосрочной перспективе. Их цель – несколько жертв, а в дальнейшем будет изобретено что-то другое.

Побуждение к действию

Вышеупомянутые эмоции побуждают пользователей пойти на поводу у фишеров. Что может стать причиной выдачи информации преступникам? Например:

Можно привести еще множество примеров фишинга. Все они имеют целью запугать человека либо соблазнить выгодным предложением, а после – выудить нужную информацию, а нередко и деньги.

Поддельные ссылки

Ссылки, используемые для фишинга, ведут на ложные интернет-страницы, которые максимально похожи на настоящие. Чтобы неопытный пользователь (к тому же, находящийся под влиянием эмоций) не мог распознать подделку, над созданием фейкового сайта трудятся программисты и дизайнеры.

Есть одна отличительная особенность фишинга, на которой я бы хотела акцентировать внимание: мошенники постоянно вас торопят. В их обращении довольно часто присутствуют такие слова – «скорее», «быстрее», «торопись, а то будет поздно» и т.д

и т.п. Это своего рода маркетинговый ход, который применяют и реальные компании в рекламных слоганах. Но согласитесь, солидная компания, банк, юридическая фирма и тем более государственный орган вряд ли будут использовать такие слова. Это один из факторов, который должен насторожить. Поторопиться злоумышленники призывают по нескольким причинам:

• вы можете передумать;
• вы проконсультируетесь с кем-то, кто укажет вам на фишинг;
• фейковые ссылки, как правило, не живут долго.

Обход фильтров

Чтобы письмо не отправилось прямиком в папку «Спам», мошенники в области фишинга используют различные ухищрения. Например, заменяют текст картинкой, русские буквы – латинскими или цифрами. Так, мне неоднократно приходило в Вайбер сообщение от «Сбербанка», с очень похожим логотипом и номером отправителя «900». Однако если присмотреться, нули были заменены на заглавные буквы «О». К сожалению, многие люди, особенно пожилые, не обращают внимания на подобные нюансы.

Пример фишинга

Оформление потенциально фишинговой страницы выглядит, как наспех выполненная поделка — это второй признак, что нас хотят обмануть. Хотя стоит отметить, что обычно злоумышленники полностью копируют реальный сайт и в целом более основательно подходят к этому вопросу. Но вполне возможно сайт так может выглядеть из-за того, что подгрузка различных элементов происходит со множества других адресов, которые мы не стали разрешать в корпоративной среде.

Если внимательно изучить заголовки письма, то можно заметить, что в отправителе указан pentestit.ru, а в Return-Path, который обычно скрыт и означает адрес доставки уведомлений об ошибках, указан домен, принадлежащий некоторой медицинской организации.

Эта информация позволяет определить, что письмо является фишинговым, а злоумышленник постарался запутать пользователя, скрыв не только отправителя, но и обратный адрес пересылки.

Возвращаемся на фишинговую страницу и изучим ее. При обращении через curl в ответе видим закодированное содержимое страницы.

После декодирования еще раз смотрим содержимое и очищаем его от всего лишнего. Например, в начале идет много закомментированного кода, который в целом нам не особо интересен.

Теперь, после очистки кода, с ним можно работать. Если спустимся ниже, то увидим код проверки ввода логина и пароля после нажатия кнопки «Sign In». Если поля будут пустые, то будет выводиться предупреждение:

Если поля заполнены, то по нажатию кнопки данные из этих полей будут отправляться на сайт злоумышленника в формате JSON по указанному адресу:

После отправки данных жертва будет перенаправлена на домен компании, указанный после символа @ с помощью строчки:

Домен для подстановки извлекается из переменной my_slice, за инициализацию которой отвечает фрагмент кода ниже:

Отдельно хочется обратить внимание, что злоумышленник скорее всего не очень опытный и где-то взял шаблон кода, который просто немного переписал под себя. На это указывает огромное количество закомментированного кода и несколько вставок new injection в функциональной части

Кто под прицелом фишинга в Интернете?

Ради того, чтобы добраться до ваших личных данных, киберпреступники применяют разные хитрые уловки. Это и поп-апы на сайтах, и загрузочные страницы, и целые фишинговые сайты, внешне неотличимые от оригинала, и привычный спам по электронной почте, и именные сообщения от различных организаций.

Целью фишинговых атак являются:

• частные лица;
• предприятия и организации.

Чаще всего фишеры атакуют сервисы электронных платежей, аукционные площадки и банки, поскольку наибольший интерес для них представляет та информация, которая дает доступ к деньгам. Не менее часто крадут регистрационные данные почтовых ящиков, чтобы затем рассылать вирусы или формировать зомби-сети.

У физических лиц, пользующихся услугами банков, провайдеров, почтовых служб, веб-кошельков и социальных сетей, мошенники стремятся украсть:

• Ф. И. О., никнейм на сайте, фактический адрес;
• логин и пароль от социальной сети или почтового ящика;
• сведения с банковской карты (номер, CCV-код и PIN-код);
• номера телефона и банковского счета;
• номер в системе социального страхования.

Завладев этими данными, мошенники получают возможность красть деньги с банковской карты, использовать её как подставной счет, брать кредит на чужое имя.

Обналичить счет – не такая простая задача, поскольку лицо, занимающееся обналичкой, рискует быть пойманным, как и вся преступная группа, организующая подобное мошенничество. Поэтому некоторые фишеры не используют сами конфиденциальные данные, украденные у людей, а перепродают их другим преступникам, у которых сложились собственные схемы вывода денежных средств с карт и счетов.

Рекомендуемые статьи по данной теме:

• Белая раскрутка сайта без перехода на темную сторону
• Страница захвата и ее необходимость для развития бизнеса
• Продвижение сайта в Интернете для чайников

Когда жертвами интернет-фишинга становятся компании, то сначала фишеры получают регистрационные данные кого-либо из работников, а затем, зайдя через его учетную запись, осуществляют полномасштабную атаку на организацию.

Иногда разрабатываются фишинговые сайты, максимально схожие по дизайну с оригиналом, чтобы пользователь ничего не заподозрил, и даже URL-адрес делают правдоподобным. Он выглядит как адрес реального сайта, но с небольшой опечаткой, либо как его субдомен.

«Гарпунный» фишинг

«Охота на китов»

Добычу конфиденциальных данных руководителей и прочих важных людей называют «Охотой на китов». Фишерам потребуется немного больше времени и усилий, чтобы определить личностные особенности жертвы, выбрать подходящие средства и удачный момент для кражи регистрационной информации.

Вас также может заинтересовать: Как привлечь клиентов через интернет: самые эффективные способы

Vishing (вишинг)

Vishing (вишинг), иначе известный как voice phishing (голосовой фишинг), похож на смишинг в том, что телефон используется в качестве средства для атаки, но вместо того, чтобы использовать текстовые сообщения, атака проводится с помощью телефонного звонка. Вишинг-звонок часто передает автоматическое голосовое сообщение якобы от легитимной организации (например, ваш банк или государственное учреждение).

Злоумышленники могут заявить, что вы задолжали большую сумму денег, срок действия вашей автостраховки истек или ваша кредитная карта имеет подозрительную активность, которую необходимо немедленно исправить. В этот момент жертве обычно говорят, что она должна предоставить личную информацию, такую как учетные данные кредитной карты или номер социального страхования, чтобы подтвердить свою личность, прежде чем получить дополнительную информацию и предпринять какие-либо действия.

Пример вишинга

В сентябре 2020 года медицинская организация Spectrum Health System сообщила о вишинг-атаке, в рамках которой пациенты получали телефонные звонки от лиц, маскирующихся под ее сотрудников. Злоумышленники намеревались извлечь персональные данные пациентов и членов Spectrum Health, включая идентификационные номера членов и другие личные медицинские данные, связанные с их учетными записями. Spectrum Health сообщила, что злоумышленники использовали такие меры, как лесть или даже угрозы, чтобы заставить жертв передать свои данные, деньги или доступ к их личным устройствам.

Чем опасны фишинговые сайты

Чаще всего фишинговые сайты создают для банков, авиакомпаний, сервисов бронирования билетов и доставки еды — там, где пользователь будет что-то оплачивать или есть шанс получить доступ к его счету.

86 фишинговых сайтов Деливери-клаба, Сбермаркета и Яндекс-еды появились в пандемию — новость в Коммерсанте

На фишинговых сайтах есть форма оплаты или форма ввода логина и пароля от личного кабинета. С личным кабинетом опасность в том, что мошенник получает логин, пароль и код из смс, а затем — доступ к деньгам на счете. Работает это так:

• пользователь вводит логин и пароль на поддельном сайте;
• мошенник видит эти данные и вводит их на настоящем сайте;
• пользователю приходит смс от банка и он вводит код на поддельном сайте;
• этот код мошенник вводит на настоящем сайте и получает доступ к личному кабинету и счету пользователя.

А через форму оплаты на фишинговом сайте мошенник может списать любую сумму. Например, пользователь заказывает пиццу за 700 рублей, вводит номер карты и получает код в смс. Но код приходит не на 700 рублей, а на 30 000 рублей, которые получит мошенник.

Пользователь заказал пиццу по ссылке из инстаграма, и с его карты списалось 30 000 рублей.

Комментарий на виси-ру

Когда смс с кодом появляется на экране телефона в виде уведомления, видно только код. Сумму пишут ниже, и чтобы ее увидеть, нужно раскрыть уведомление.

Фишинг в интернете. Как это работает.

Фишеры делают рассылку электронных писем (спам) в форме  извещений от официальных учреждений и компаний, социальных сетей, делают фишинговые веб-сайты, всплывающие окошки и тому подобное. Основной составляющей фишинга либо фишинговой атаки считается процесс изготовления дублирующей копии либо клона знаменитого и известного интернет-сайта в целях кражи пароля юзера, и другой защищенной информации. 

Этот способ получил распространение, так как большинство людей не соблюдают простые правила компьютерной безопасности. Применяя разные психологические приемы, фишеры побуждают излишне доверчивых граждан вводить личные (конфиденциальные) данные на липовую интернет-страницу (фишинг-страничку), не отличимую от настоящего интернет-сайта, взятого преступниками для копирования. 

В основной массе случаев, единственное различие фальшивой странички от истинной – ее неправильный адрес (URL) в адресной строке. Часто пользователи не обращают на него внимания. И поскольку внешний вид фишингого сайта никак не отличается от оригинала, то очень многие на эту уловку попадаются. Но и домены для своих махинаций фишеры подбирают с умом. И даже поглядев в адресную строку человек может не заметить подмены.

Фишинг через социальные сети

Иногда фишинг может быть направлен к определенным людям или отделам организации. Такие атаки имеют общее название направленного фишинга и зависят от подробной информации об объекте. Например, грабитель может использовать информацию, собранную из недавних писем, чтобы создать привлекательный ответ, который предположительно отправлен коллегами этого пользователя.

Грабители могут также включать ссылки к вредному – зараженные программы в личных сообщениях, помещенных в социальные сети. Это особенно широко распространено после любых глобальных катастроф или в течение периодов быстрого расширения важных новостей, когда люди щелкают по интригующим ссылкам без своего тщательного исследования чаще.

Мы коротко рассмотрели фишинг: происхождение термина “фишинг”, действия взломщиков, как защитить себя, фишинг через социальные сети. Оставляйте свои комментарии или дополнения к материалу

Разбираем фишинговые сайты

В последнем письме приведена ссылка https://is.gd/SwnIQn, на котором якобы можно получить обещанные денежные средства. Как и предполагалось, происходит редирект на другой адрес https://is.gd/s2miuH, где речи о переводе нет, а требуется пройти некий опрос, который и принесет деньги, причем уже за 100 000 рублей.

Рисунок 6. Главная страница фишингового сайта

 

Создатели утверждают, что при прохождении опроса необходимо ввести данные карты для того, чтобы выполнить тестовое списание денег в размере 160 рублей, которые они обязательно вернут с заслуженной суммой.

Рисунок 7. Фейковая платежная система

 

Фейковая платежная система, ради которой вся кампания и построена. Пользователь вводит данные банковской карты, и они утекают кардерам на действия, которые на сленге называются «вбив» или «обнал».

Система стара как мир — каждый хочет быть индивидуальным и получить легких денег, на эту уловку социальной инженерии и рассчитан данный фишинг. Платежная система скопирована с настоящей и вызывает подозрение, лишь если внимательно посмотреть на URL — https://globalpay4.top/select/internal-account/235?label=donors.

Если перейти лишь на https://globalpay4.top, то получим пустую страницу с надписью «top secret!».

Доменное имя имеет IP 185.254.188.69, и это не web-хостинг. Это выделенный сервер.

Рисунок 8. Информация об IP-адресе

 

Если учитывать фишинговую кампанию сайта в сумме с письмом, то очень много логических несовпадений: выплата по договору, а на сайте необходимо пройти опрос, подозрительный URL, чтобы получить деньги — сначала их надо отдать. Все эти неувязки должны наталкивать на мысли об обмане.

Фишинг в поисковых системах

При использовании фишинга в поисковых системах хакеры создают свой собственный веб-сайт и индексируют его в легитимных поисковых системах. Эти сайты часто предлагают дешевые товары и невероятно заманчивые предложения, пытающиеся заманить ничего не подозревающих онлайн-покупателей, которые видят сайт на странице результатов поиска в Google или в других поисковиках. Если жертва нажимает в поисковике на ссылку для перехода на такой сайт, то, как правило, предлагается зарегистрировать аккаунт или ввести информацию о своем банковском счете для завершения покупки. Конечно, мошенники затем крадут эти личные данные, чтобы использовать их для извлечения финансовой выгоды в дальнейшем.

Пример фишинга в поисковых системах

В 2020 году сообщил, что ежедневно обнаруживается 25 миллиардов спам-сайтов и фишинговых веб-страниц. Кроме того, Wandera сообщила в 2020 году, что каждые 20 секунд запускается новый фишинговый сайт. Это означает, что каждую минуту в поисковых системах появляются три новых фишинговых сайта!

Советы по обнаружению и предотвращению фишинговых атак

Один из лучших способов защитить себя от фишинговой атаки – это изучить примеры фишинга в действии и понимать, что нужно искать при попытке обнаружить фишинговую атаку и что нужно предпринять для предотвращения атаки. Ниже представлены основные признаки, которые позволят вам выявить потенциальную фишинговую атаку:

• В электронном письме Вас просят подтвердить персональную информацию: Если вы получаете электронное письмо, которое выглядит подлинным, но кажется совершенно неожиданным, то это явный признак того, что письмо могло прийти от поддельного и ненадежного отправителя.
• Плохая грамматика: Неправильно написанные слова, плохая грамматика или странный фразеологический оборот также являются предупреждающим знаком попытки фишинга.

Сообщения, оказывающие серьезное давление: Если вам кажется, что сообщение предназначено для того, чтобы вы запаниковали и немедленно предприняли какие-то меры, то, наоборот, действуйте крайне осторожно – скорее всего, вы столкнулись с распространенной среди кибер-преступников техникой. Подозрительные ссылки или вложения: Если вы получили неожиданное сообщение с просьбой открыть неизвестное вложение, никогда не делайте этого, пока не будете полностью уверены, что отправитель является легитимным контактом

Подозрительные ссылки или вложения: Если вы получили неожиданное сообщение с просьбой открыть неизвестное вложение, никогда не делайте этого, пока не будете полностью уверены, что отправитель является легитимным контактом.

Слишком хорошо, чтобы быть правдой: Если с вами связываются с целью предложить какую-то «сделку века» или «суперневероятное предложение», то скорее всего речь идет о подделке или обмане.

Следующая лучшая линия защиты от всех видов фишинговых атак и кибер-атак в целом – это использование надежного антивируса. По крайней мере, вы можете воспользоваться преимуществами бесплатного антивируса, чтобы лучше защитить себя от онлайн-преступников и сохранить ваши личные данные в безопасности. 

Как это работает?

Популярные схемы обмана по телефону

Мошенники присылают СМС, стремясь запугать человека. Несколько лет назад были популярны рассылки в духе «мама, я сбил на машине человека, пришли денег». Но вскоре даже самые доверчивые пенсионеры перестали реагировать на такие «разводки».

Теперь преступники чаще выдают себя за сотрудников банка. Например, присылают сообщение: «С вашей карты совершена покупка на сумму 10 000 рублей. Если вы не проводили эту операцию, свяжитесь со службой безопасности по телефону…».

Также сообщения могут имитировать подтверждение операций по переводу средств или сообщение о блокировке.

Никогда не отвечайте на эти сообщения и не перезванивайте! Если чего-то опасаетесь, позвоните в колл-центр своего банка по номеру, указанному на банковской карточке.

Пример фишингового сообщения от лица банка. В коротком номере нули замены на букву «О».

Мошенники звонят и пытаются выманить данные карточки в личном разговоре. Опять же, они могут выдавать себя за ваших близких, представляться сотрудниками сотовой компании, государственного учреждения или банка.

Звонок может начинаться с дежурной фразы: «Здравствуйте, как к вам можно обращаться?» И это уже выдает мошенников с головой — и банк, и сотовый оператор прекрасно знают ваше имя и им известно, как вас называть. Даже если к вам обращаются по имени, будьте внимательны — узнать имя и телефон не так трудно.

Далее в ход идут стандартные угрозы (блокировка карты, отмена операции) или обещания (мэрия предоставляет вам бесплатную путевку).

Главное в телефонном разговоре: Никогда не называйте данные своей банковской карты и коды подтверждения из СМС. Если вам звонят «из банка», вешайте трубку и перезванивайте в банк, чтобы уточнить информацию и пожаловаться на подозрительных людей.

Популярные схемы обмана в интернете

«Письма счастья». Злоумышленники присылают многообещающее, интригующее или угрожающее сообщение. Их главная задача — заставить получателя нажать на ссылку и попасть на вредоносный сайт. Эти рассылки могут имитировать сообщения от популярных сайтов или официальных органов.

Не открывайте письма и сообщения в соцсетях от незнакомых адресатов. Не скачивайте файлы. Не нажимайте на ссылки. Не вступайте в переписку.

Пример фишингового письма со ссылкой на мошеннический сайт. Скриншот: Wikimedia.

На сайтах объявлений мошенники особо активны. Если человек пытается продать какую-то вещь, ему наверняка позвонит «заинтересованный клиент» и пообещает перевести деньги на карточку. А для этого попросит назвать номер карты и код, написанный на обороте. Либо после получения номера карточки попросит озвучить код подтверждения, пришедший на телефон.

Никогда и никому не называйте код с обратной стороны карты, PIN-коды и СМС-коды подтверждения. Если кто-то хочет получить от вас эти данные — перед вами мошенник.

Фишинговые сайты — это сайты-клоны, поддельные страницы платежных сервисов и онлайн-магазинов. Если ввести там информацию своей карты, преступники снимут с нее деньги.

Пример сайта-клона. Скриншот drweb.ru

Пользуйтесь антивирусом — зараженный компьютер может перенаправлять вас на мошеннический сайт, когда вы набираете в строке браузера правильный адрес. Пользуйтесь проверенными сайтами и сверяйте адреса — не допущена ли опечатка? Убедитесь, что адрес платежного шлюза начинается с https- то есть данные передаются по защищенному протоколу.

Depositphotos

Что такое фишинг, и как он работает в Интернете?

Термин «фишинг» (phishing) происходит от двух английских слов: password (пароль) и fishing (рыбная ловля). Он обозначает способ онлайн-мошенничества, который заключается в выманивании персональной информации пользователей: логинов, паролей от различных сайтов, номеров банковских карт и лицевых счетов и т. п.

Обычно фишинг принимает форму поддельных писем-уведомлений от различных контор: интернет-провайдера, банка, платежной системы и т. п. с призывом срочно изменить или сообщить свои личные данные. Это аргументируется разнообразными причинами: сбоем в системе, потерей данных о клиентах и др.

• Фишинг как вид мошенничества в Интернете был впервые упомянут в связи с корпорацией AOL в середине 90-х гг. Через этот мессенджер злоумышленники рассылали пользователям сообщения с просьбой указать пароль от учетной записи. С аккаунтов, к которым хакеры получили доступ, затем рассылался спам.
• Первые попытки атак на платежные системы начались в 2001 году. Под удар попал сервис e-gold. Фишинг в Интернете с тех пор получил значительное развитие, и мошенники остаются одной из главных угроз для банков и других подобных учреждений, а также их клиентов.
• В США веб-мошенниками была собрана огромная база данных по налогоплательщикам.
• Социальные сети часто подвергаются атакам фишеров. Пользователи MySpace в 2006 году пережили волну краж регистрационных данных, а в 2008 году то же самое случилось с пользователями сети «ВКонтакте».

Вас также может заинтересовать: Виды мошенничества в интернете: схемы обмана и как с ними бороться

Очень лакомый онлайн

Фишинг, вишинг и смишинг — это мошеннические схемы, в которых для кражи личных данных с целью дальнейшего взлома банковского аккаунта и незаконного списания средств используются интернет-технологии.

Фишинг – это почти что рыбалка, только «наживкой» является электронное письмо с провокационным содержанием, а «уловом» могут стать ваши деньги.

Чтобы пользователь не раздумывал долго, мошенники пытаются его напугать. В письмах часто используют формулировки, намекающие на то, что у вас могут быть проблемы с доступом к счету или карте, если вы не введете необходимые данные здесь и сейчас.

Мошенники могут запросить номера счетов, логин и пароль от интернет-банкинга, номера дебетовых/кредитных карт, даты истечения срока действия, код cvc – все то, что позволит им быстро списать средства с вашего счета.

Вишинг и схемы, связанные с ним, строятся на телефонных звонках. В конце 2020 и начале 2021 года этот вид мошенничества стал набирать обороты в Беларуси. В ход пошли не только звонки на стационарный или мобильный номер, но и в такие популярные мессенджеры, как Viber и WhatsApp.

В вишинговой схеме может использоваться как робот-автоответчик, так и более «эксклюзивный» вариант с настоящим оператором. Схемы первого типа уже изжили себя, поэтому ставка все чаще делается на живое общение. Мошенники звонят, представляются сотрудниками службы безопасности банка и уведомляют вас, что на ваш счет или карту была совершена хакерская атака. Чтобы предотвратить списание ваших денег, вам предлагается провести нехитрые действия: сообщить 16-значный номер карты и cvc. Также вам может быть предложено установить на ваше устройство – чаще всего на смартфон – специальную «утилиту», которая обеспечит безопасность. Мошенники будут торопить вас и не давать опомниться. Но что действительно повергнет вас в шок, это то, с какой скоростью они спишут у вас деньги, если вы поведетесь на их уловки.

ВАЖНО! При звонке мошенники зачастую не знают, клиентом какого банка вы являетесь. Если они не угадывают с первой попытки, то рассказывают историю, что ваш банк является их банком-партнером и они уполномочены на получение информации

Это первый признак того, что вас пытаются обмануть.

Кроме того, служба безопасности банка не станет звонить вам в мессенджеры и точно не станет спрашивать такие данные, как полный номер карты (только если последние 4 и первые 6 цифр на карте) и cvc.

Как защитить себя от фишинга?

К сожалению, нет такого инструмента, который бы гарантировал высокий уровень защиты от такого рода мошенников. Чтобы их избежать, нужно использовать несколько элементов. Наиболее важными из них являются здравый смысл и ограниченная уверенность в каждом сообщении. Помните, мы на переднем крае борьбы с преступниками и только от вас зависит, насколько эффективно вы сможете им противостоять.

Также рекомендуется использовать антивирусные программы, несмотря на то, что они не смогут указать, что просматриваемая электронная почта является фишинговой, но они смогут заблокировать некоторые небезопасные сайты и вложения. Уверен, что антивирусное ПО обязательно поможет вам защитить компьютеры и персональные данные.

Также важно использовать актуальное программное обеспечение, в частности операционные системы, потому что новые уязвимости и проблемы безопасности постоянно обнаруживаются разработчиками и обезвреживаются. Помните, что только использование самых последних версий ОС гарантирует получение своевременных обновлений безопасности

Хорошей практикой также является использование двухэтапной проверки личности пользователя в web-сервисах. Она широко используется в электронном банкинге, но доступна во все большем количестве сервисов и веб-сайтов. Двухэтапная (или двухкомпонентная) проверка состоит в вводе дополнительного кода в дополнение к традиционному паролю и логину

Код для входа может быть отправлен вам по электронной почте, в SMS или сгенерирован приложением, предоставленным поставщиком услуг. Существуют также сторонние программы, которые позволяют связывать учетные записи со многими веб-сайтами и создавать коды в одном месте, например, на вашем смартфоне.

Однако наиболее удобной формой двухэтапной проверки являются физические ключи безопасности U2F, которые устраняют необходимость переписывать пароли и коды в блокнот. Просто вставляете ключ в USB-порт компьютера, тем самым связываясь с поддерживаемыми службами для авторизации.

Фишинг представляет собой огромную угрозу, поскольку, согласно некоторым исследованиям, он является не только причиной потери денег многими пользователями, но и основной причиной утечки данных компаний. Однако, как мы показали в этой статье, в большинстве случаев намерения киберпреступников легко распознать и предотвратить их.

Как распознать вишинг

Иногда людям трудно определить, когда они стали жертвой вишинга. Пользователи часто не понимают, что услужливый человек на другом конце обманом выманивает у них личные данные. Однако есть предупреждающие знаки, которые помогают распознать потенциальное мошенничество.

Во многих случаях звонящие являются самозваными экспертами или специалистами в своих областях. Они могут представляться компьютерными специалистами, банкирами, полицейскими или даже жертвами мошенничества.

Однако, если звонящие действительно те, кем они представляются, то их профессиональную принадлежность нетрудно проверить простым звонком. Если они не смогут или не захотят предоставлять информацию, необходимую для проверки их личности, доверять им нельзя. Но даже если они предоставляют контактную информацию, стоит проверить их легитимность, позвонив по официальному номеру телефона организации.

И хотя мы часто уступаем напористости звонящих, нагнетаемая ими атмосфера необходимости срочного решения проблемы – это огромный красный флаг. Пользователям нужно сделать пару глубоких вдохов, а затем записать всю информацию, которую предоставляет звонящий, не запрашивая никаких подробностей. Кроме того, можно попытаться найти в Интернете общий номер телефона, перезвонить по нему и проверить, является ли данный человек/организация тем, за кого себя выдаёт.

Получателям таких вызовов также не стоит нажимать на ссылки в электронных письмах (фишинг) или SMS-сообщениях в мобильном телефоне (SMiShing). Любая переписка может содержать «перехватчиков», загружающих вредоносное ПО, которое может контролировать компьютерные системы, красть данные пользователей и даже следить за ними.

Если пользователи получают незапрашиваемые звонки с предложением каких-либо компьютерных услуг, не следует перезванивать на тот телефон, с которого им звонили.

Сегодня существует технология, которая позволяет злоумышленникам заблокировать телефонную линию жертвы после окончания разговора, и перенаправлять все следующие звонки пользователя на мошенническое вызывное устройство. Людям, которые считают, что проблема может действительно существовать, следует использовать другой телефон для звонка на официальный номер.

Заключение

Бороться с фишингом нужно, однако вряд ли удастся победить этот вид мошенничества в ближайшее время. Причин этому несколько.

Во-первых, доверчивые, неопытные пользователи будут всегда. В первую очередь это пожилые люди, дети, а также лица, никогда ранее не сталкивавшиеся с интернет-мошенничеством.

Другая причина в том, что фишеры следят за развитием современных технологий и разрабатывают программы, адаптированные под новейшие системы защиты информации.

Кроме того, всегда были и будут сотрудники, которые продают базы данных и научные разработки. Поэтому фишинг сейчас намного опаснее, чем, скажем, карманные воришки.

Уголовная ответственность за мошенничество в информационной сфере предусматривает наказание сроком до двух лет, а при преступлении, совершенном группой лиц, – до пяти лет.

Если вы уже пострадали от фишинга: отправили кому-то данные банковской карты, включая CVV-код, или пароль от платежной системы – немедленно обратитесь в банк. Также рекомендую воздержаться от отправки денег на малоизвестные платежные системы и обезличенные электронные кошельки.