Інтернет-фішинг

За даними організацій We Are Social, Hootsuite і ООН, на кінець 2021 року кількість користувачів мережі становила близько 4,95 млрд людей, а це 62,5% всього населення планети. Такі цифри роблять інтернет-простір привабливим полем діяльності для шахраїв і всіх, хто шукає легку наживу. Перші атаки фішингу з’явилися ще в минулому столітті. За даними Google, їхніми жертвами щороку стають близько 12,4 млн людей.

Як працює фішинг? Це вид шахрайства, що полягає у крадіжці конфіденційної інформації. Простими словами, хакери користуються довірою недосвідчених користувачів і звертаються до них під цілком «законними» приводами, пропонуючи здійснити авторизацію або оновити програму. Головна мета фішингу — обман з метою встановлення шкідливого програмного забезпечення на комп’ютер жертви для отримання особистих даних: номеру телефону, PIN-кодів банківських карток, логінів/паролів електронної пошти та облікових записів у соцмережах.

Фішинг в інтернеті — актуальна проблема, про наявність якої ви могли навіть не замислюватись. Але попереджений — значить озброєний, тому варто уважно ставитися до кожного листа від невідомого відправника. Як перевірити фішинговий сайт і не «повестися» на відомі хитрощі, розкажуть експерти Portmone.

Принцип роботи інтернет-фішингу

Суть фішингу полягає в тому, що жертва повідомляє дані про себе добровільно. Шахрай у цьому випадку грає певну роль: наприклад, уповноваженої особи відомої компанії, використовуючи видозмінену електронну адресу фірми та корпоративну символіку.

Наведемо приклад: потенційна жертва отримує електронного листа нібито від співробітника свого банку з повідомленням, що проводиться модернізація системи захисту. У листі користувача просять перейти за посиланням і ввести PIN-код банківської картки на фішинговому сайті — це лише один із найпоширеніших варіантів, але не найскладніший і не найдієвіший.

Яку мету переслідує фішинг? Головне завдання шахрая — приспати увагу користувача. Проходячи за посиланням, потенційна жертва повністю впевнена, що лист надійшов дійсно від банку (соцмережі, корпорації, роботодавця чи іншого перевіреного ресурсу). Необережний користувач може не помітити невідповідність адреси, посилань, розташування символіки. Дехто отримує безліч листів, часто не вдивляючись у такі «дрібниці». Втім, якщо вам дійсно обмежили доступ до певних ресурсів, його можна відновити, написавши в службу підтримки. У гіршому ж випадку людина ризикує втратити всі свої заощадження. Жертвами фішингу можуть ставати як окремі користувачі, так і фінансові компанії, недостатньо захищені системи онлайн-платежів і аукціони.

Далеко не всі користувачі орієнтуються в правилах безпеки в мережі та мають достатній рівень обізнаності, чим і користуються досвідчені фішери. Шахраї вдаються до застосування методів психології та соціальної інженерії. Цей термін належить до сфери інформаційної безпеки та описує засоби маніпулювання з метою отримання певної інформації від користувача.

Стандартні схеми інтернет-фішингу

За довгі роки існування таких методик шахраї придумали кілька ефективних схем.

До видів фішингу належать:

• Спам електронною поштою — доставлення листів з фішинговими посиланнями від імені корпорації/сайту/компанії з використанням «справжньої» символіки, онлайн-адрес, доменів.
• Фішинг у соціальних мережах — передбачає використання Facebook, Instagram і Twitter. Гортаючи стрічку новин, користувач розслабляється і не чекає підступних дій, чим і користуються зловмисники. Щоб заманити людину у свою пастку, шахраї можуть створювати підроблені облікові записи, видаючи себе за когось зі знайомих жертви або навіть за співробітників техпідтримки відомих компаній.
• Фальсифікація рекламних банерів — один з найпростіших методів. Банери використовуються для переадресації користувача на сайт шахрая.
• IRC, передача IM-повідомлень — використання групових чатів і каналів у соцмережах, де за підтримки роботів можуть доставлятися шкідливі посилання.
• Використання троянських програм. Джерелом такої атаки може бути персональний комп’ютер користувача, що вже постраждав від дій фішера. Під час завантаження файлів з неперевірених сайтів разом з програмою або відеогрою «бонусом» йде прихована підпрограма (вірус). Він непомітно для користувача може збирати його персональні дані та надсилати їх шахраєві. Деякі хакери розробили успішні методи обману інтернет-юзерів для встановлення у них шкідливого ПЗ і тепер використовують цілі мережі, розгорнуті за допомогою троянського програмного забезпечення.

Як виявити фішингову атаку

Найчастіше жертвами фішингу стають люди, що не бажають перевіряти вірогідність інформації. Але в деяких випадках розпізнати хитрощі хакера важко навіть недовірливим користувачам. Пропонуємо розібратися, на що звертати увагу, щоб не втратити гроші та захистити свій комп’ютер від атак.

Фішингові сайти, повідомлення та посилання можуть виглядати по-різному:

• Інтернет-магазин, що пропонує купити товари за низькими цінами, після чого користувач опиняється «на гачку». Сайт має аналогічний дизайн і може не відрізнятися від справжнього за структурою. Думаючи, що здійснює покупку, юзер вводить реквізити та запитувану інформацію про банківську картку. У результаті зловмисники отримують усі дані.
• Лист від адміністратора соцмережі, який повідомляє про злом облікового запису та просить перейти за посиланням, щоб підтвердити свою особистість.
• Повідомлення нібито від вашого банку про величезну заборгованість. Щоб розказати про помилку, пропонується увійти до профілю та ввести банківські реквізити з усіма необхідними даними.
• Лист електронною поштою від «організаторів розіграшу», в якому міститься повідомлення, що ви виграли велику суму в рандомному жеребкуванні. Залишилося лише забрати гроші, перейшовши за посиланням. Такий тип фішингу досі результативний, попри його банальність.
• З хакерами можна зустрітися і в соцмережах: коментарі та особисті повідомлення можуть містити посилання на проблемні сайти. Навіть облікові записи знайомих можуть бути зламані та розсилати шахрайські пропозиції.
• Поява на сайті додаткового вікна для входу в систему, яке вже містить логін — вашу електронну пошту, є підозрілою. Радимо завжди перевіряти такі вебсайти на надійність. А яким чином — читайте далі.

Як захиститися від фішингу

Ми підкажемо, як виявити фішинговий сайт — це допоможе захиститися від шахрайських дій. Скористайтеся рекомендаціями:

1. Ніколи не довіряйте підозрілим електронним листам і не переходьте за вказаними в них посиланнями. Співробітники банку не проситимуть надіслати дані вашої банківської картки, а модератори соцмереж — пароль від акаунту. У разі виникнення проблеми вам зателефонують з фінансової установи або ви отримаєте оповіщення під час входу в соцмережу.
2. Перевірка сайту на фішинг шляхом уточнення протоколу. Надійні сайти захищені протоколом https, а не http. Адресний рядок має містити символ замку, після натискання на який з’являється інформація про підтверджений сертифікат безпеки.
3. Обов’язково перевірте посилання на фішинг. Щоб обдурити користувача, шахраї трохи змінюють адресу, вводячи невірні літери або замінюючи їх цифрами. Наприклад, замість instagram.com може бути instagram.co; замість facebook.com — facebok.com тощо. Короткі посилання bit.ly також можуть бути небезпечними, адже не завжди можна дізнатися, що ховається за цим скороченням. Якщо лист надійшов нібито від імені відомої компанії, то ви можете повідомити про це співробітникам відділу безпеки, використовуючи контакти на офіційному сайті. Вони вживуть заходів, щоб усунути фішинговий сайт з мережі.
4. Не ігноруйте оповіщення — не можна знімати блокування антивірусу з підозрілих сайтів без належної перевірки. Знайдіть надійний антивірус із вбудованим захистом від фішингу, що допоможе розпізнати шпигунські та шкідливі програми. Зверніть увагу на попередження соцмережі або браузера під час переходу на невідомий вебсайт. Електронна пошта позначає деякі листи як спам не тому, що система так захотіла. Можливо, адресат має проблеми з відділом безпеки, що вплине на захист ваших даних.
5. «Вітаємо! Ви виграли $100 000 000. Гроші можна отримати, перейшовши за посиланням». Фантазія інтернет-шахраїв безмежна. Ставтеся скептично до листів із зайвим емоційним забарвленням, що повідомляють про виграш, або навпаки — пропонують пожертвувати певну суму на благодійність.
6. Фішинговий сайт може виглядати так, ніби він ще перебуває в процесі розроблення. Неактивні гіперпосилання, орфографічні помилки, відсутність контактної інформації та інші невідповідності мають насторожити користувача.
7. Шкідлива розсилка зі знайомих облікових записів також досі актуальна. Перед тим, як перейти за посиланням у листі від вашого друга чи колеги, зверніть увагу на зміст. Профіль цієї людини міг бути зламаний. Зателефонуйте знайомому або скористайтеся альтернативним месенджером, щоб дізнатися, чи надсилав він цей лист.

Дотримання цих нескладних правил захистить ваш ПК від атак хакерів і допоможе зберегти кошти. Якщо ж ви хочете бути впевненими в збереженні даних вашої банківської картки під час онлайн-транзакцій, вибирайте надійний сервіс онлайн-платежів. Компанія Portmone гарантує безпеку конфіденційної інформації своїх клієнтів. Ми першими в Україні отримали сертифікат відповідності міжнародним стандартам PCI DSS і використовуємо технологію токенізації. Приєднуйтеся до «Портмоне»!