Фишинг как он есть

Тема в разделе "Информационная безопасность.", создана пользователем DronVR, 25 авг 2018.

  1. DronVR

    DronVR Приватный уровень доступа

    Сообщения:
    257
    Симпатии:
    230
    Баллы:
    43
    Фишинг

    Секрет жизнестойкости этого вида мошенничества в том, что он опирается не на “дыры” в программном обеспечении, а на уязвимость в человеческой сущности, у которой есть доступ к важным данным. Поэтому нелишним будет в очередной раз напомнить, что такое фишинг, каковы самые распространенные виды фишинговых атак, а также способы противодействия им.

    Фишинг : основные примеры фишинговых атак


    Фишинг — это вид интернет-мошенничества, построенный на принципах социальной инженерии. Главная цель фишинга — получить доступ к критически важным данным (например, паспортным), учетным записям, банковским реквизитам, закрытой служебной информации, чтобы использовать их в дальнейшем для кражи денежных средств. Работает фишинг через перенаправление пользователей на поддельные сетевые ресурсы, являющиеся полной имитацией настоящих.

    1. Классический фишинг — фишинг подмены

    К этой категории можно отнести большую часть всех фишинговых атак. Злоумышленники рассылают электронные письма от имени реально существующей компании с целью завладеть учетными данными пользователей и получить контроль над их личными или служебными аккаунтами. Вы можете получить фишинговое письмо от имени платежной системы или банка, службы доставки, интернет-магазина, социальной сети, налоговой и т.д.

    Фишинговые письма создают с большой скрупулезностью. Они практически ничем не отличаются от тех писем, которые пользователь регулярно получает в рассылках от настоящей компании. Единственное, что может насторожить — просьба перейти по ссылке для выполнения какого-либо действия. Переход этот, однако, ведет на сайт мошенников, являющийся “близнецом” страницы сайта банка, социальной сети или другого легального ресурса.

    Побудительным мотивом для перехода по ссылке в подобных письмах может выступать как “пряник” (”Вы можете получить 70% скидку на услуги, если зарегистрируетесь в течение суток”), так и “кнут” (”Ваша учетная запись заблокирована в связи с подозрительной активностью. Чтобы подтвердить, что вы владелец аккаунта, перейдите по ссылке”).

    [​IMG]
    Приведем список самых популярных уловок мошенников:

    Ваша учетная запись была или будет заблокирована /отключена.
    • Тактика запугивания пользователя может быть очень эффективной. Угроза того, что аккаунт был или в ближайшее время будет заблокирован, если пользователь сейчас же не зайдет в учетную запись, заставляет тут же потерять бдительность, перейти по ссылке в письме и ввести свой логин и пароль.
    В Вашей учетной записи обнаружены подозрительные или мошеннические действия. Требуется обновление настроек безопасности.
    • В таком письме пользователя просят срочно войти в учетную запись и обновить настройки безопасности. Действует тот же принцип, что и в предыдущем пункте. Пользователь паникует и забывает о бдительности.
    Вы получили важное сообщение. Перейдите в личный кабинет, чтобы ознакомиться.
    • Чаще всего такие письма присылают от имени финансовых организаций. Пользователи склонны верить правдивости писем, поскольку финансовые организации действительно не пересылают конфиденциальную информацию по электронной почте.
    Фишинговые письма налоговой тематики.
    • Такие письма входят в тренд, как только близится время платить налоги. Темы писем могут быть самыми разными: уведомление о задолженности, просьба выслать недостающий документ, уведомление о праве на получение возврата налога, и т.д.
    [​IMG]
    2. Целенаправленная фишинговая атака

    Не всегда фишинг бьет наудачу — часто атаки являются персонифицированными, целенаправленными. Цель та же — заставить пользователя перейти на фишинговый сайт и оставить свои учетные данные.

    Естественно, у будущей жертвы больше доверия вызовет письмо, в котором к ней обращаются по имени, упоминают место работы, должность, занимаемую в компании, еще какие-либо индивидуальные данные. Причем информацию для направленных фишинговых атак люди чаще всего предоставляют сами. Особенно “урожайны” для преступников такие ресурсы как всем известная LinkedIn — создавая резюме в расчете на потенциальных работодателей, каждый старается указать побольше сведений о себе.

    Для предупреждения подобных ситуаций организациям следует постоянно напоминать сотрудникам о нежелательности размещения личной и служебной информации в открытом доступе.

    3. Фишинг против топ-менеджмента

    Особый интерес для мошенников представляют учетные данные руководства.

    Как правило, специалисты по безопасности любой фирмы внедряют четкую систему допусков и уровней ответственности, в зависимости от должности работника. Так, менеджер по продажам имеет доступ к базе данных продукции, а список сотрудников компании для него — запретная зона. HR-специалист, в свою очередь, полностью в курсе, какие вакансии кем заняты, какие только что освободились, кто достоин повышения, но понятия не имеет о номерах и состоянии банковских счетов родной фирмы. Руководитель же обычно сосредотачивает в своих руках доступ ко всем критически важным узлам жизни предприятия или организации.

    Получив доступ к учетной записи главы компании, специалисты по фишингу идут дальше и используют ее для коммуникации с другими отделами предприятия, например, одобряют мошеннические банковские переводы в финансовые учреждения по своему выбору.

    Несмотря на высокий уровень допуска, менеджеры высшего звена не всегда участвуют в программах обучения персонала основам информационной безопасности. Вот почему, когда фишинговая атака направлена против них, это может привести к особенно тяжелым последствиям для компании.



    [​IMG]

    4. Фишинг рассылки от Google и Dropbox

    Сравнительно недавно в фишинге появилось новое направление — охота за логинами и паролями для входа в облачные хранилища данных.

    В облачном сервисе Dropbox и на Google Диске пользователи, как личные так и корпоративные, хранят множество конфиденциальной информации. Это презентации, таблицы и документы (служебные), резервные копии данных с локальных компьютеров, личные фотографии и пароли к другим сервисам.

    Неудивительно, что получить доступ к учетным записям на этих ресурсах — заманчивая перспектива для злоумышленников. Для достижения этой цели используют стандартный подход. Создается фишинговый сайт, полностью имитирующий страницу входа в аккаунт на том или ином сервисе. Потенциальных жертв на него в большинстве случаев перенаправляет фишинговая ссылка в электронном письме.

    5. Фишинговые письма с прикрепленными файлами

    Ссылка на подозрительный сайт с целью украсть данные пользователя — не самое страшное, на что способен фишинг. Ведь в этом случае преступники получат доступ лишь к определенной части конфиденциальной информации — логину, паролю, т.е к аккаунту в определенном сервисе. Гораздо хуже, когда фишинг-атака приводит к компрометации всего компьютера жертвы вредоносным программным обеспечением: вирусом-шифровальщиком, шпионом, трояном.

    Такие вирусы могут содержаться во вложениях к письмам. Предполагая, что письмо пришло от доверенного источника, пользователи охотно скачивают такие файлы и заражают свои компьютеры, планшеты и лэптопы.



    [​IMG]

    Что такое фарминг

    Классический фишинг со ссылками на сомнительные ресурсы постепенно становится менее эффективным. Опытные пользователи веб-сервисов обычно уже осведомлены об опасности, которую может нести ссылка на подозрительный сайт и проявляют осмотрительность, получив странное письмо или уведомление. Заманить жертву в свои сети становится все труднее.

    В качестве ответа на снижение результативности традиционных атак злоумышленниками был придуман фарминг — скрытое перенаправление на мошеннические сайты.

    Суть фарминга состоит в том, что на первом этапе в компьютер жертвы тем или иным образом внедряется троянская программа. Она зачастую не распознается антивирусами, ничем себя не проявляет и ждет своего часа. Вредонос активируется лишь тогда, когда пользователь самостоятельно, без всякого внешнего воздействия, решает зайти на интересующую преступников страницу в интернете. Чаще всего это сервисы онлайн-банкинга, платежные системы и прочие ресурсы, осуществляющие денежные транзакции. Здесь-то и происходит процесс подмены: вместо проверенного, часто посещаемого сайта хозяин зараженного компьютера попадает на фишинговый, где, ничего не подозревая, указывает нужные хакерам данные. Делается это с помощью изменения кэша DNS на локальном компьютере или сетевом оборудовании. Такой вид мошенничества особенно опасен из-за трудности его обнаружения.

    [​IMG]

    Защита от фишинга — основные правила
    1. Обязательно проверить URL-адрес, по которому рекомендуется перейти, на наличие незначительных ошибок в написании.
    2. Использовать лишь безопасные https-соединения. Отсутствие всего одной буквы “s” в адресе сайта обязано насторожить.
    3. С подозрением относиться к любым письмам с вложениями и ссылками. Даже если они пришли со знакомого адреса, это не дает гарантии безопасности: он мог быть взломан.
    4. Получив неожиданное подозрительное сообщение, стоит связаться с отправителем каким-либо альтернативным способом и уточнить, он ли его послал.
    5. Если все же необходимо посетить ресурс, лучше ввести его адрес вручную или воспользоваться ранее сохраненными закладками (увы, от фарминга это не убережет).
    6. Не использовать для доступа к онлайн-банкингу и другим финансовым сервисам открытые Wi-Fi сети: часто их создают злоумышленники. Даже если это не так, подключиться к незащищенному соединению не составляет сложности для хакеров.
    7. На всех аккаунтах, где это возможно, подключить двухфакторную аутентификацию. Эта мера может спасти положение, если основной пароль стал известен взломщикам.
    Выводы

    Полностью уничтожить фишинг в обозримом будущем вряд ли получится: человеческая лень, доверчивость и жадность тому виной.

    Ежедневно происходят тысячи фишинговых атак, которые могут принимать самые разнообразные формы:
    • Классический фишинг. Фишинговые письма, отправленные от имени известных действительно существующих компаний, которые практически неотличимы от писем, которые пользователи обычно получают от этих компаний. Единственное отличие может заключаться в просьбе проследовать по ссылке, чтобы выполнить какое-то действие.
    • Целенаправленная фишинговая атака. Персонализированные фишинговые письма, направленные на конкретного человека. Такие письма содержат имя, должность потенциальной жертвы, а также любые другие личные данные.
    • Фишинг против топ-менеджмента. Фишинг-письма нацеленные на получение доступа к учетной записи главы компании, генерального директора, технического директора и т.д. После получения доступа к таким учетным записям специалисты по фишингу могут продолжать использовать их для связи с другими отделами, например, подтверждать мошеннические банковские переводы любому финансовому учреждению по своему выбору.
    • Фишинг рассылки от Google и Dropbox. Относительно новое направление фишинговых атак, целью которых являются имена пользователей и пароли для входа в облачные хранилища данных.
    • Фишинговые письма с прикрепленными файлами. Фишинг-письма с вложениями, содержащими вирусы.
    • Фарминг. Скрытая переадресация на мошеннический сайт, выполненный с помощью изменения кэша DNS на локальном компьютере или сетевом оборудовании.
    Только наличие своевременной и наиболее полной информации о методах хакеров, а также здоровая подозрительность по отношению к необычным, неожиданным сообщениям и предложениям, позволят существенно снизить ущерб от этого вида интернет-мошенничества.

    Потому обязательно ознакомьтесь с правилами защиты от фишинга. И прежде всего никому не передавайте свои пароли, заведите привычку всегда вбивать адреса нужных сайтов вручную или пользоваться закладками в браузере, будьте особенно внимательны к ссылкам в письмах.

    Источник
     
    НСК-СБ нравится это.
  2. НСК-СБ

    НСК-СБ Команда форума Действительный члены НП "МОД" Приватный уровень доступа

    Сообщения:
    2.340
    Симпатии:
    1.610
    Баллы:
    613
    Кардинг, фишинг и скимминг: что это и как защитить свои средства?

    Мошеннические схемы то и дело претерпевают изменения. Согласно обзору ФинЦЕРТа, объем несанкционированных операций, совершенных с использованием платежных карт, эмитированных на территории РФ, в 2018 году составил 1,4 млрд рублей, что на 44% больше, чем в прошлом году. По данным Генпрокуратуры, количество выявляемых в России киберпреступлений за шесть лет выросло почти в 16 раз, до 174 тысяч (сюда входят и незаконные операции с картами).
    Владельцам важно сохранять бдительность и не попадаться на уловки мошенников. Разберемся, с какими видами кардинга можно столкнуться и как защитить свои средства.

    Кардинг

    Термином кардинг (carding) называют мошеннические операции с платежными картами (реквизитами карт), не одобренные держателем карты. Кардинг включает в себя различные способы обмана законных владельцев материальных средств.
    Алексей Сизов, начальник отдела по противодействию мошенничеству Центра прикладных систем безопасности «Инфосистемы Джет», выделяет три базовых направления мошеннических действий:
    Кража или незаконное получение карты — это либо физическое воздействие на владельца, либо поиск уязвимости в процессе выдачи, доставки или оформления банковского продукта и использование карты злоумышленником.
    Компрометация данных карты для последующего изготовления подделки. В первую очередь речь идёт о копировании данных магнитной полосы карты и краже PIN-кода. Наиболее широко этот вид мошенничества был распространен до массового перевода карт на чиповые технологии. Сегодня такая схема встречается редко, так как в России около трёх лет назад ввели запрет на выпуск нечиповых карт, а почти по всему миру действует Chip Liability Shift — обязанность банка-эквайера обслуживать карту с чипом именно по чипу.
    Компрометация реквизитов карты для совершения операций CNP (без присутствия карты). Яркий пример — оплата покупок или услуг в интернете.
    Конечная цель преступников во всех случаях — получить доступ к деньгам. Для реализации своих замыслов мошенники изобретают весьма хитрые схемы, нередко пользуясь доверчивостью и невнимательностью граждан. Один из популярных способов обвести вокруг пальца собственника карты — это фишинг.

    Фишинг

    Фишинг (phishing от англ. fishing — рыбная ловля, закидывание удочки) — буквально выуживание реквизитов карты у ее держателя. Примечательно, что необходимые данные передает сам владелец. Как правило, прибегают к нескольким видам фишинга.
    СМС-фишинг
    На телефон отправляют сообщение:
    о блокировке карты, якобы от имени банка и номером телефона, позвонив по которому, можно решить проблему;
    о выигрыше, забрать который можно, заплатив за доставку.
    Вариаций смс-фишинга масса, но все они сводятся к предложению передать данные карты. В таких случаях нужно проявить бдительность.
    Если поступили сведения о блокировке, следует звонить в банк по официальному номеру, а подлинность сообщения о выигрыше уточнить, связавшись с магазином или сервисом, проводящими акцию.

    Интернет-фишинг

    Мошенники создают фишинговые (поддельные) страницы, имитирующие официальные сайты банков, платежных сервисов или магазинов, меняя в названии несколько букв или знаков. Увы, далеко не все внимательно проверяют веб-адрес, смело кликая на ссылку.
    Нередко злоумышленники заманивают на фишинговые сайты, отправляя поддельные электронные письма, составленные техподдержкой банка, скажем, о блокировке карты. Под предлогом проверки информации о держателе они просят ввести все реквизиты, узнав которые, беспрепятственно получают доступ к деньгам. Выманивают данные и прикрываясь продажей товаров.
    Прежде чем оставлять реквизиты карты на сайте, нужно тщательно сверить веб-адрес с официальным названием магазина, сервиса или платёжной системы, а также проверить ссылки, находящиеся на странице: если ресурс фишинговый, скорее всего, они не работают. Когда нужно воспользоваться сайтом кредитной организации, лучше сразу обратиться к официальному перечню, размещенному на сайте ЦБ.

    Вишинг

    Вишинг (англ. vishing — от voice phishing) идентичен фишингу, с той только разницей, что злоумышленники звонят по телефону, представляясь сотрудниками банка, покупателями товаров и так далее, таким образом пытаясь выманить у держателя PIN-код или заставить его совершить определенные действия со счетом.
    Владельцу карты нужно помнить, что сотрудники банка не требуют сообщить PIN-код, а в случае блокировки карты скорее всего предложат подъехать в офис лично. Покупателям товаров в принципе ни к чему знать конфиденциальные данные о карте продавца, поэтому просьбы сообщить такие сведения должны насторожить.

    Скимминг

    Еще один метод, которым активно пользуются мошенники, это скимминг. Скимминг — это копирование данных платежной карты с помощью специального устройства (скиммера). Данные карты считываются, когда владелец вставляет ее в банкомат. Для получения PIN-кода злоумышленники устанавливают мини-камеры или накладки на клавиатуру.

    Шимминг — это модернизированная разновидность скимминга.

    Схема обмана аналогична: со вставляемых в банкомат карт считываются все важные данные, отличие лишь в том, что визуальных признаков присутствия «шима» внутри аппарата нет.
    Мошенники вместо весьма громоздких и визуально заметных накладок на картоприемник используют тонкое, гибкое, практически незаметное устройство, которое располагается внутри картридера. Оно считывает данные карты, используемые впоследствии злоумышленниками.

    Поддельные банкоматы

    Иногда мошенники создают поддельные банкоматы, оставляя их в неохраняемых местах. Такие устройства внешне полностью копируют настоящие, а вот «начинка» содержит встроенный компьютер с установленной на него системой, скиммер и накладки на клавиатуру. Жертва вставляет карту, пытается совершить какие-то действия, но банкомат выдает ошибку. Человек забирает карту, но вся информация с нее уже считана.
    Попасться на удочку злоумышленников можно не только пользуясь банкоматом, но и расплачиваясь картой, скажем, в ресторанах или магазинах. Алгоритм схож: официант, продавец или кассир, могут использовать скиммер или переносное устройство, прикрепленное к терминалу.
    Защититься от скимминга можно, если пользоваться банкоматами, находящимися в отделениях банков. Уровень защиты в кредитных организациях в разы выше, и установить считывающие устройства там намного сложнее.
    Ну а когда возможности обратиться в отделение нет, старайтесь выбирать банкоматы, стоящие под камерами, в охраняемых местах. Визуально проверяйте аппарат, скажем, накладку на картоприемник: если она шатается, значит, с ней что-то не так. Расплачиваясь картой, следите, чтобы ее данные никто не фотографировал на телефон.

    Внедренные вирусы

    В этом случае злоумышленники внедряют в электронное устройство (телефон, компьютер) программу, способную считывать данные карты. Подобные вирусы могут передавать мошенникам информацию, которую пользователь вводил в интернет-браузер: логины и пароли от социальных сетей, интернет-банков, электронных кошельков, различных сайтов и так далее.
    Вредоносная программа может попасть на телефон или ноутбук случайно, под видом другой программы, неосторожно скачанной из электронного письма или с непроверенного сайта.
    Чтобы избежать обмана, важно вовремя обновлять антивирус и пользоваться только лицензионным софтом.

    Способы защиты

    Перечень описанных видов мошенничества не исчерпывающий. Алексей Сизов, начальник отдела по противодействию мошенничеству Центра прикладных систем безопасности «Инфосистемы Джет», отмечает, что среди мошеннических схем встречаются:
    Использование реквизитов карт для получения доступа к другим продуктам, например, ДБО или онлайн-кредитованию, где информация о карте, последних операциях и тем более коды подтверждения и паспортные данные являются достаточными сведениями для смены паролей в онлайн— или мобильном банке и совершения иных манипуляций со счетами.
    Кража средств с бесконтактных карт. Эта схема наделала много шума некоторое время назад, однако больших потерь зафиксировано не было, и вряд ли стоит ожидать существенных проблем в этом направлении.
    С течением времени схемы обмана только совершенствуются. Естественно, с злоумышленниками активно борются сами банки.

    Алексей Сизов «Инфосистемы Джет»

    «С мошенничеством борются профильными системами антифрод-мониторинга, следящими за поведением карт (совокупностью характеристик по количеству операций, суммам, месту проведения и типу операций). Такие системы стали обязательными с 2003-2004 года, когда появились требования по мониторингу со стороны международных платёжных систем Visa и Mastercard.
    Кроме автоматизированных систем, большой вклад в безопасность внесла технология «чиповых» карт, которая практически полностью исключила возможность эффективного клонирования. Помимо этого, банки постоянно занимаются контролем ключевых процессов по выпуску карт, их дистанционной доставки и прочих, что на самом деле связано с задачами идентификации и аутентификации держателя очно или дистанционно»
    Однако не только банки, но и сами владельцы карт должны принимать меры предосторожности. Алёна Цыганова, старший юрисконсульт консалтинговой компании Alta Via, всем, кто заботится о сохранности своих денежных средств, советует соблюдать несколько простых правил:
    Хранить PIN-код, а также данные для входа в интернет-банк (логин, пароль, проверочные слова или специальные коды) в безопасном месте, а лучше всего — в своей памяти.
    Не сообщать третьим лицам данные карты и одноразовые СМС-пароли для подтверждения операций.
    Быть осмотрительными, совершая покупки в интернете. Использовать только проверенные и официальные сайты. Товары/услуги на незнакомых сайтах по явно заниженным ценам должны насторожить. А также выбирать банкоматы, расположенные в офисах банка или крупных торговых центрах с видеонаблюдением.
    Алексей Сизов, рекомендует внимательно изучать уведомления от банка о совершаемых операциях, использовать отдельную карту для оплаты в интернете, устанавливать суточные лимиты (если банк предоставляет такую возможность) и не держать все сбережения на счете одной карты.
    Если деньги уберечь всё же не удалось, Алёна Цыганова рекомендует незамедлительно обратиться в банк с заявлением о несогласии с проведенными операциями (п. 11 ст. 9 ФЗ N 161-ФЗ), а также в полицию.
    Кардинг, фишинг и скимминг: что это и как защитить свои средства?
     

Поделиться этой страницей

Яндекс.Метрика
  1. Этот сайт использует файлы cookie, чтобы персонализировать контент и сохранить вход в систему, если Вы зарегистрируетесь.
    Продолжая использовать этот сайт, Вы соглашаетесь на использование файлов cookie.
    Скрыть объявление