Manatiling Malayo sa mga 6 Mga Sikat na Pag-atake ng Phishing

Ang mga scam ay umiiral nang mahaba, napakatagal. Digital scam, mula noong mga unang araw ng digital na komunikasyon.


Hindi nagtagal matapos na naimbento ang email, lumitaw ang mga email scam. Sa oras na iyon, lahat kami ay pinagkakatiwalaang mga email, kaya walang naniniwala na maaari silang maging isang scam vector. At ito ay napatunayang isang napaka-epektibo. Bilang ng 2004, ang mga pag-atake sa phishing laban sa mga kliyente sa banking banking ay nadagdagan nang malaki. Ang mga customer ng E-banking ay nakatanggap ng mga email na may mga link na isinasagawa ang mga ito sa pekeng mga website na may tunay na tunay at propesyonal na hitsura. Ang mga biktima ay nahulog sa bitag, nag-type sa lahat ng kanilang mga numero ng account at password, at ibigay ang mga ito sa mga umaatake sa pilak na mga platter. Ang mga pagkawala na dulot ng ganitong uri ng pag-atake na total $ 929 milyon sa pagitan ng Mayo 2004 at Mayo 2005.

Matapos ang unang napakalaking mga kampanya sa phishing, ang mga system ng email ay nagsimulang magdagdag ng mga intelihente na filter para sa mga hindi kanais-nais at nakakahamak na mensahe, at nabawasan ang tagumpay ng pangunahing mga taktika sa phishing email. Ngunit hindi ito nawala. Sa totoo lang, lumitaw ang mas sopistikadong mga taktika, kasama ang iba pang mga anyo ng phishing, tulad ng pagmemensahe sa phishing, boses phishing, at marami pa. Lahat sila ay nagsasamantala sa pinakamahina na link sa chain ng cybersecurity: ang end-user. Samakatuwid, ang anumang inisyatibo na anti-phishing ay dapat magsimula sa pamamagitan ng pag-alam sa gumagamit ng mga taktika na ginagamit ng mga phisher. Kaya suriin natin ang mga ito.

Email phishing at higit pa

Ang mga email na mensahe na may kahina-hinalang mga attachment o link ay madaling napansin ng mga filter ng seguridad, kaya kailangan ng mga phisher upang magdisenyo ng isang bagong uri ng pag-atake sa email. Nag-atake sila ng kompromiso sa email ng negosyo (BEC), batay sa mga mensahe na walang nakakahamak na nilalaman sa lahat-hindi mga link at walang mga kalakip, isang simpleng mensahe lamang mula sa isang taong kilala mo mula sa iyong kapaligiran sa trabaho..

Upang maisagawa ang ganitong uri ng naka-target na pag-atake, kailangan ng mga nagagawang impormasyon tungkol sa biktima at sa taong pinapanggap nila, upang mapanatili ang isang tuluy-tuloy na diyalogo. Matapos ang mga unang mensahe, hihilingin ng mananalakay ang sensitibong impormasyon o ipadala ang biktima nito ng isang file o dokumento na may nakakahamak na nilalaman.

Ang spoofing ng website

Sa pangkalahatan, ang spoofing ay kasangkot sa lahat ng uri ng mga pagtatangka sa phishing, dahil palaging mayroong isang tao o isang bagay na nagpapanggap na isang tao o iba pa. Sa partikular, ang website ng spoofing ay tungkol sa paggawa ng lehitimong hitsura ng webpage. Ang isang spoofed website ay kahawig ng pahina ng pag-login ng isang tunay na site – hindi lamang ito ay ginagaya ang pangkalahatang hitsura at pakiramdam, ngunit gumagamit din ito ng isang katulad na pangalan ng domain (habang tinatalakay namin sa ibaba).

Karaniwan, ang mga phony site na ito ay nangangailangan ng iba pang mga uri ng phishing —email, messaging, SMS, atbp. Upang isagawa ang biktima patungo sa kanila. Sa sandaling sinubukan ng biktima na mag-log in sa nasabing site, ang sensitibong data nito ay nahuhulog sa mga kamay ng mga umaatake.

Ang isang uri ng pag-atake na may kaugnayan sa spoofing ng website ay isang pag-atake sa homograf. Sinasamantala ng ganitong uri ng pag-atake ang mga bagong pamantayan sa internet na nagpapahintulot sa paggamit ng mga titik na hindi ASCII sa mga URL. Dahil ang iba’t ibang mga wika ay naglalaman ng magkakaibang (bagaman halos kapareho) na mga character, maaaring gamitin ng mga umaatake ang mga character na ito upang magrehistro ang mga pangalan ng domain na malapit na kahawig ng umiiral na mga web address. At ang mga pangalan ng domain na ito ay naka-link sa mga spoofed na website.

Halimbawa, ang isang pangunahing pamalit ng karakter na ginagamit para sa pag-atake sa homograpya ay binubuo ng pagpapalit ng mga titik na “o” para sa “0” (zeroes). Ang mas maraming mga kumplikadong pamamaraan ay gumagamit ng magkakaibang naka-encode na mga character na magkapareho, tulad ng mga titik na “a,” “c” at “p” sa Latin at Cyrillic. Ang isang bahagyang mas sopistikadong lansihin ay nagsasamantala sa pagkakahawig sa pagitan ng ASCII slash (“/”) at ang operator ng matematika division (“∕”). Gamit ang ganitong lansihin, maaaring isipin ng sinuman ang mga adres na ito ay pareho:

entingebsite.com∕folder.com/

entingebsite.com/folder.com/

Sa kasong ito, ang spoofed na pangalan ng domain ay patuloyebsite.com∕folder.com, at ang tunay ay isinasaalang-alang ngebebsite.com.

Mga naglalabas na filter

Kung nakikita ng isang filter ng email na ang isang mensahe ay dapat na ipinadala ng isang kilalang kumpanya tulad ng Microsoft (halimbawa), ngunit naiiba ang pinagmulan ng address mula sa Microsoft, ito ay markahan ang mensahe bilang malisyosong. Ngunit kung ang salitang “Microsoft” ay hindi lilitaw sa anumang bahagi ng mensahe, hahanapin ito ng filter.

Ang mga magsasalakay ay maaaring linlangin ang mga email filter sa pamamagitan ng pagpasok ng mga nakatagong teksto sa loob ng isang pangalan ng kumpanya, sa paraang iniisip ng sinumang tao na nagmumula sa kumpanya na iyon, kahit na ang email filter ay hindi. Ang isa pang magkakatulad na trick ay binubuo ng pagpuno ng isang mensahe na may puting teksto sa ibabaw ng puting background, hindi mabasa sa mga tao ngunit hindi mag-email ng mga scanner, na naloko naniniwala na ang mensahe ay nagmula sa isang mapagkakatiwalaang mapagkukunan.

Pagnanakaw ng pagkakakilanlan at phishing sa social media

Milyun-milyong mga gumagamit ng social media ay may mga profile sa publiko, naglalantad ng mga larawan, personal na impormasyon, at isang listahan ng mga contact, dahil lamang sa nais nilang magkaroon ng maraming mga kaibigan sa online. Kung ito ang iyong kaso, magiging madali para sa isang umaatake na nakawin ang ilan sa iyong mga larawan at data, lumikha ng isang maling profile at magsimulang makipag-chat sa iyong mga kaibigan, nagpapanggap na ikaw, at humihiling sa kanila ng anumang bagay sa iyong pangalan.

Ang mga numero ng telepono at mga kumbinasyon ng pangalan ay mga phelling vectors din, lalo na para sa mga WhatsApp scam (higit pa sa ibaba). Ang sinumang nakakaalam ng iyong pangalan at numero ng telepono ay maaaring makipag-ugnay sa iyo sa pamamagitan ng WhatsApp na may isang nakakumbinsi na mensahe upang linlangin ka sa paggawa ng isang bagay, tulad ng, halimbawa, sa pagpasok ng isang malisyosong website na nakilala bilang isang video sa YouTube na “dapat mong makita.”

Mga panganib sa WhatsApp

Mayroong maraming mga scam sa WhatsApp na kasing tanyag ng App mismo. Ngunit gayon pa man, maraming mga gumagamit ng WhatsApp ang hindi nakakaalam ng mga scam at nahuhulog dito. Ang WhatsApp Gold ay isang sikat na scam na nag-aalok ng mga gumagamit upang mag-upgrade sa isang “Gold” na bersyon ng App na may mga espesyal na tampok. Malinaw, walang ganoong bersyon, at ang makukuha mo kung susundin mo ang mga tagubilin ng phisher ay isang aparatong na-impeksyo ng malware.

Ang isa pang tanyag na scam ay isang kahilingan na magbayad upang mapanatiling aktibo ang iyong account. Ang lansihin na ito ay halos kasing edad ng App mismo, ngunit hindi alam ng mga gumagamit ay maaari pa ring mahulog para dito. Tandaan na walang WhatsApp account upang mapanatiling aktibo, at samakatuwid, hindi na kailangang magbayad ng anumang bagay upang mapanatili ang iyong pagmemensahe sa App.

Spear phishing at whaling

Kapag ang isang pagtatangka sa phishing ay lubos na naka-target – Naangkin sa mga tiyak na tao, organisasyon, o kumpanya – ito ay tinatawag na sibat phishing. Karaniwan itong ginagawa sa pamamagitan ng mga mensahe ng email o mga pribadong sistema ng komunikasyon, gamit ang mga nakompromiso na account. Nagbabala ang FBI tungkol sa mga scam ng spear phishing na kinasasangkutan ng mga email na sinasabing mula sa National Center for Missing and Exploited Children.

https://biztechmagazine.com/

Ang mga pag-atake na ito ay madalas na inilunsad ng mga hacker at mga aktibista sa computer na na-sponsor ng gobyerno. Ang mga Cybercriminals ay gumamit nang isa-isa na dinisenyo na mga diskarte at mga diskarte sa social engineering upang epektibong isapersonal ang mga mensahe at website. Bilang isang resulta, tinatapos ng mga biktima ang pagbubukas ng mga mensahe na itinuturing nilang ligtas. Sa ganoong paraan, ninakaw ng mga cybercriminals ang datos na kailangan nila upang salakayin ang mga network ng mga biktima.

Ang pag-whaling ay isang espesyal na uri ng sibat phishing na target ang mga high-executive executive – ang “malalaking isda.” Ang mga pag-atake na ito ay naglalayong mga CEO, CFO, at iba pang mga executive na responsable sa pamamahala ng pananalapi at mahalagang impormasyon ng mga korporasyon. Sa gayong makitid na mga target, ang mga mensahe ng pain ay kailangang maingat na idinisenyo upang magkaroon ng isang mapagkakatiwalaan at maaasahang hitsura. Karaniwan, ang mga umaatake ay gumagamit ng impormasyon na nakalap mula sa mga hindi pribadong social media account na kabilang sa mga biktima.

Mga Countermeasures

Kapag kailangan mong palakasin ang isang chain, dapat mo munang maghanap para sa pinakamahina na link at palakasin ito. Kaya, sa chain ng cybersecurity, una sa lahat, dapat mong palakasin ang gumagamit na may kamalayan at kaalaman tungkol sa mga panganib at kanilang pag-iwas. Narito ang ilang mga tip na dapat isagawa ng lahat:

# Maging maingat sa lahat ng mga komunikasyon

Anumang link o kalakip, nakarating man sa pamamagitan ng email, mensahe ng WhatsApp, serbisyo sa pagmemensahe, SMS, o kahit sa pamamagitan ng isang pisikal na aparato (isang Pendrive, halimbawa), ay maaaring mapanganib. Hindi mahalaga kung sigurado ka na alam mo ang nagpadala, at maaasahan ito. Bago buksan ito o mag-click dito, i-double-check ito sa pamamagitan ng isang alternatibong daluyan, tulad ng ipinaliwanag sa ibaba.

Ang pinakakaraniwang mga mensahe sa phishing ay nagpapanggap na mula sa isang kilalang mapagkukunan, tulad ng isang bangko, kumpanya ng serbisyo sa pananalapi, o isang serbisyo na batay sa subscription at sabihin sa iyo na i-renew ang iyong mga kredensyal o iyong subscription. Ang unang bagay na dapat mong tanungin ang iyong sarili ay: Ako ba ay isang customer ng kumpanyang ito? Kung hindi, balewalain lamang ang mensahe, o mas mahusay, ipasa ito sa pagpapatupad ng batas.

Gayundin, huwag sagutin ang mga kahina-hinalang mensahe mula sa hindi kilalang mga mapagkukunan. Halimbawa, maaari kang matukso na magtanong, “Sino ka?” kapag nakatanggap ka ng isang nakakaintriga na mensahe mula sa isang hindi kilalang numero sa pamamagitan ng WhatsApp. Sa pamamagitan lamang ng pagtatanong sa tanong na iyon, sinasabi mo sa mga phisher na ang iyong numero ay aktibo at may isang gumagamit nito, at mas maraming target na pag-atake sa phishing ay maaaring sundin.

# Mag-double-check sa pamamagitan ng isang alternatibong daluyan

Hindi makontrol ng mga tagadala ang lahat ng media ng komunikasyon. Iyon ay isang kahinaan na maaari nating gamitin laban sa kanila, gamit ang iba’t ibang media upang i-double-check ang anumang kahina-hinalang mensahe. Halimbawa, kung nakakakuha ka ng isang email mula sa isang katrabaho na humihiling sa iyo na mag-click sa isang link, tawagan siya sa pamamagitan ng telepono at tanungin kung ano ang link na iyon at bakit ka dapat mag-click dito.

# Iulat ang mga phisher sa mga awtoridad

Sa tuwing kumpirmahin mo na ang isang natanggap na mensahe ay tumutugma sa isang pagtatangka sa phishing, dapat mong iulat ito sa FTC sa ftc.gov/complaint. Kung ito ay isang email, maaari mong maipasa ito [protektado ng email] at [protektado ng email] Kung nahulog ka sa isang scam at sa tingin ang iyong pribadong data ay maaaring ikompromiso, bisitahin ang IdentityTheft.gov. Makakakita ka ng detalyadong mga tagubilin ayon sa ninakaw na impormasyon.

Huling ngunit hindi bababa sa: Protektahan ang iyong sarili

Upang maprotektahan ang iyong sarili mula sa mga pag-atake sa phishing, dapat mong gawin ang parehong pag-iingat upang maprotektahan ang iyong sarili mula sa anumang iba pang banta sa digital na mundo: panatilihing napapanahon ang iyong mga aparato, mas mabuti sa pag-update ng auto; gamitin ang pinakabagong mga bersyon ng napatunayan na mga anti-virus at security utility; i-configure nang maayos ang iyong mga email filter; backup ang iyong data; palitan ang pana-panahong mga password; matutong pag-iba-iba ang mga lehitimong babala mula sa mga maling, at basahin nang mabuti ang tunay na mga babala.

At, sa pangkalahatan, manatiling may kaalaman, at dobleng suriin ang bawat babala sa seguridad na nakukuha mo mula sa iyong mga kaibigan dahil sa karamihan ng oras na sila ay mga maling alarma, na nilikha gamit ang nag-iisang layunin ng pagdaragdag ng pangkalahatang pagkalito at pagpapadali ng mga tunay na alarma na maalis.

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map