Что такое «фишинг»

Поймать (фишинг)

поле

— рыбалка, рыбная ловля и

пароль

— пароль) — вид онлайн-мошенничества, предназначенный для кражи вашей личности. Это включает кражу паролей, номеров кредитных карт, банковских счетов и другой конфиденциальной информации.

Фишинг — это поддельные уведомления по электронной почте от банков, интернет-провайдеров, платежных систем и других организаций о том, что получателю по какой-либо причине необходимо срочно передать/обновить личную информацию. Для этого могут быть разные причины. Это может быть потеря данных, сбой системы и многое другое.

Фишеры становятся все более изощренными в своих атаках и используют методы социальной инженерии. Но в любом случае они пытаются запугать клиента, чтобы он выдал свои личные данные, придумывают для этого критическую причину. Как правило, сообщения содержат угрозы, например, блокировку учетной записи, если получатель не соответствует требованиям, указанным в сообщении («если вы не предоставите свои данные в течение недели, ваша учетная запись будет заблокирована»). Как ни странно, фишеры часто ссылаются на необходимость улучшения антифишинговых систем («если вы хотите защитить себя от фишинга, перейдите по этой ссылке и введите свое имя пользователя и пароль») в качестве причины, по которой пользователь якобы должен отказаться от конфиденциальной информации. .

Рис. 1. Пример фишингового сообщения, запрашивающего (для дополнительной безопасности)

Перейдите по ссылке и обновите свои данные в Федеральном кредитном союзе.

Фишинговые страницы обычно недолговечны (в среднем 5 дней). Поскольку фишеры относительно быстро распознают новые угрозы, им приходится регистрировать все больше и больше страниц. Их внешний вид и методы работы остаются неизменными: они выглядят точно так же, как и официальный сайт, которым пытаются себя представить фишеры.

Пользователь вводит свой логин и пароль на поддельном сайте, и мошенники в лучшем случае получают доступ к его почтовому ящику, а в худшем — к электронному кабинету. Однако не все фишеры сами снимают деньги со счетов своих жертв. Дело в том, что обналичить счета практически сложно, а человека, который вносит наличные деньги, также легче отследить и привлечь мошенников к ответственности. Поэтому после получения личной информации некоторые фишеры продают ее другим мошенникам, которые, в свою очередь, имеют отлаженную схему вывода денег со своих счетов.

Наиболее частыми жертвами фишинга являются банки, электронные платежные системы и аукционы.

Наиболее частыми жертвами фишинга являются банки, электронные платежные системы и аукционы. Другими словами, фишеров интересует личная информация, которая дает им доступ к деньгам. Но не только. Также популярна кража личных данных из электронной почты — эти данные могут быть полезны людям, распространяющим вирусы или создающим зомби-сети.

Характерной особенностью фишинговых писем является то, что они являются подделками очень высокого качества. Получатель получает электронное письмо с логотипами банка/веб-сайта/поставщика, которые выглядят точно так же, как настоящие. Подозрительный пользователь нажимает на ссылку «перейти на сайт и авторизоваться», но на самом деле он получает не официальный сайт, а эквивалент фишинга, сделанный с точностью, достойной лучшего случая.

Еще один прием фишинга — использование ссылок, очень похожих на URL-адреса исходных страниц. Достаточно заметный и бдительный пользователь может заметить, что в командной строке браузера будет отображаться совсем другая ссылка, чем на легитимном сайте. Такие «мошеннические» ссылки тоже существуют, но предназначены они для менее искушенного пользователя. Они часто начинаются с IP-адреса, хотя давно известно, что законные компании избегают таких ссылок.

По этой причине фишинговые URL-адреса часто похожи на настоящие URL-адреса. Они могут содержать название реального URL-адреса, за которым следуют другие слова (например, www.login-examplebank.com вместо www.examplebank.com). Еще один популярный в последнее время прием фишинга — ссылка с точками вместо косой черты, которая очень похожа на настоящую ссылку (www.examplebank.com.personal.login вместо www.examplebank.com/personal/login). Другой вариант фишинга — www.examplebank.com-personal.login.

Ссылка на законный веб-сайт также может появиться в теле сообщения, но фактический URL-адрес, на который она указывает, будет другим. Бдительность пользователя еще больше ослабляется тем фактом, что электронное письмо может содержать ряд вторичных ссылок, указывающих на законный сайт, но корневая ссылка, по которой пользователь должен щелкнуть, чтобы войти, ведет на фишинговый сайт.

Рис. 2. Пример фишингового письма (поддельное уведомление Ebay)

с несколькими ссылками, только одна из которых приведет пользователя на фишинговый сайт.

Иногда требуется предоставить личные данные прямо в электронном письме. Имейте в виду, что ни один банк (или другая организация, запрашивающая конфиденциальную информацию) так не поступит.

Рис. 3. Пример фишингового письма (подмена рекламы интернет-банка Barclays,

где пользователя просят ввести свои данные непосредственно в содержание письма).

Фишерные технологии продолжают совершенствоваться. Есть термин, относящийся к фишингу — фарминг.

Фишерные технологии продолжают совершенствоваться. Термин фарминг связан с фишингом. Это также фишинговая афера, предназначенная для получения личных данных пользователей не по электронной почте, а напрямую с официальных сайтов. Фермеры заменяют цифровые адреса законных веб-сайтов поддельными на своих DNS-серверах, перенаправляя пользователей на вводящие в заблуждение веб-сайты. Этот вид мошенничества тем более опасен, что обнаружить поддельный сайт практически невозможно.

Наиболее популярными объектами фишинга являются аукционы Ebay и платежная система PayPal. Пострадали и различные банки по всему миру. Фишерные атаки могут быть случайными или целенаправленными. В первом случае атаки осуществляются «наобум». Самые крупные и популярные цели, такие как Ebay, находятся под атакой, потому что существует высокая вероятность того, что случайный получатель имеет там учетную запись. В последнем случае мошенники выясняют, каким банком, платежной системой, интернет-провайдером или сайтом пользуется получатель. Этот способ более сложен и затратен для фишеров, но больше шансов, что жертва будет обманута на провокацию.

Кража личных данных — не единственная угроза, которая может поджидать вас после перехода по фишинговой ссылке. Часто нажатие на нее может вызвать шпионское ПО, кейлоггер или троян. Поэтому, даже если у вас нет аккаунта, которым могут воспользоваться мошенники, вы не можете чувствовать себя в полной безопасности.

По данным Gartner, в США в 2006 году средний убыток на одну жертву фишинга составил 1244 доллара. В 2005 году эта сумма не превышала 257 долларов, что говорит о невероятном успехе фишеров. В России ситуация несколько иная. Поскольку электронные платежные системы не так распространены в России, как на Западе, ущерб от фишинга не так велик. Однако по мере распространения электронных платежных систем в России доля фишинга в общем почтовом потоке будет увеличиваться, как и наносимый им ущерб. Так что, хотя в России проблема еще не так остра, готовиться к ней нужно уже сейчас.

Низкий уровень осведомленности пользователей о правилах работы компаний, от имени которых действуют преступники, способствует успеху фишинговых афер. И хотя многие сайты, которые запрашивают конфиденциальную информацию, имеют специальные предупреждения о том, что они никогда не запрашивают конфиденциальную информацию в своих электронных письмах, пользователи по-прежнему отправляют свои пароли мошенникам. Вот почему несколько лет назад была создана Рабочая группа по борьбе с фишингом (APWG) — группа по борьбе с фишингом, состоящая как из «целей» фишинга, так и из компаний-разработчиков программного обеспечения для защиты от фишинга и спама.В рамках деятельности APWG члены APWG организуют мероприятия по повышению осведомленности пользователей и информируют друг друга о новых фишинговых сайтах и угрозах.В настоящее время APWG насчитывает более 2500 членов, в том числе некоторые из крупнейших мировых банков и ведущих ИТ-компаний.Таким образом, оптимистичный прогноз состоит в том, что со временем пользователи научатся опасаться фишинговых сайтов так же, как они научатся опасаться электронных писем с вложениями от неизвестных получателей.Между тем спам-фильтры по-прежнему являются основной защитой от фишинга.