Резюме

• Фішинг — це зловмисна практика, за якої зловмисники видають себе за довірених осіб, щоб обманом змусити людей розкрити конфіденційну інформацію.

• Навчіться розпізнавати типові ознаки фішингу, як-от підозрілі URL-адреси та термінові запити особистої інформації, щоб бути пильними.

• Вивчіть різні методи фішингу, від поширених шахрайств електронною поштою до складного фішингу, щоб посилити захист від кібербезпеки.

вступ

Фішинг — це шкідлива тактика, за якої зловмисники видають себе за надійні джерела, щоб оманою змусити людей надати конфіденційні дані. У цій статті ми проллємо світло на те, що таке фішинг, як він працює та що ви можете зробити, щоб не стати жертвою цих видів шахрайства.

Як працює фішинг

Фішинг покладається насамперед на соціальну інженерію, метод, за допомогою якого зловмисники маніпулюють людьми, щоб вони розкрили конфіденційну інформацію. Зловмисники збирають особисті дані з загальнодоступних джерел (таких як соціальні мережі) для створення, здавалося б, справжніх електронних листів. Жертви часто отримують шкідливі повідомлення, які нібито походять від родичів або авторитетних організацій.

Найпоширенішою формою фішингу є електронні листи, які містять шкідливі посилання або вкладення. Натискання цих посилань може встановити зловмисне програмне забезпечення на пристрій користувача або перевести його на підроблені веб-сайти, призначені для викрадення особистої та фінансової інформації.

Хоча легше виявити погано написані фішингові електронні листи, кіберзлочинці використовують передові інструменти, такі як чат-боти та генератори мови штучного інтелекту, щоб підвищити достовірність своїх атак. Через це користувачам важко відрізнити справжні повідомлення від шахрайських.

Як розпізнати спроби фішингу

Розпізнати фішингові електронні листи може бути складно, але є деякі ознаки, на які ви можете звернути увагу.

Загальні ознаки

Будьте обережні, якщо повідомлення містить підозрілі URL-адреси, використовує публічні адреси електронної пошти, викликає страх або терміновість, запитує особисту інформацію або містить орфографічні та граматичні помилки. У більшості випадків ви можете навести курсор миші на посилання, щоб перевірити URL-адреси, не натискаючи їх.

Шахрайство на основі цифрових платежів

Фішери часто видають себе за надійні платіжні онлайн-сервіси, такі як PayPal, Venmo або Wise. Користувачі отримують шахрайські електронні листи із закликом перевірити дані передбачуваного входу. Важливо бути пильним і повідомляти про будь-які підозрілі дії.

Фішингові атаки в сфері фінансів

Шахраї видають себе за банки чи фінансові установи та заявляють про недоліки безпеки, щоб отримати особисту інформацію. Поширені тактики включають оманливі електронні листи про грошові перекази або шахрайство з прямими депозитами для нових співробітників. Вони також можуть стверджувати, що існує термінове оновлення безпеки.

Фішингове шахрайство, пов’язане з роботою

Ці персоналізовані шахрайства включають зловмисників, які видавали себе за керівників, генеральних директорів або фінансових директорів, вимагаючи фальшивих банківських переказів або покупок. Голосовий фішинг за допомогою генераторів голосу штучного інтелекту по телефону – ще один метод, який використовують шахраї.

Як запобігти фішинговим атакам

Щоб уникнути фішингових атак, важливо застосувати кілька заходів безпеки. Уникайте прямого натискання будь-якого посилання. Замість цього перейдіть на веб-сайт компанії або офіційні канали зв’язку, щоб перевірити, чи інформація, яку ви отримали, є законною. Розгляньте можливість використання інструментів безпеки, таких як антивірусне програмне забезпечення, брандмауери та фільтри спаму. 

Крім того, організації повинні використовувати стандарти автентифікації електронної пошти для перевірки вхідних електронних листів. Поширені приклади методів автентифікації електронної пошти включають DKIM (DomainKeys Identified Mail) і DMARC (Domain-based Message Authentication, Reporting and Conformance).

Для окремих осіб важливо повідомити своїх рідних і друзів про ризики фішингу. Для компаній життєво важливо навчати працівників методам фішингу та проводити регулярні навчальні тренінги, щоб зменшити ризики.

Якщо вам потрібна додаткова допомога та інформація, зверніться до державних ініціатив, як-от OnGuardOnline.gov, і таких організацій, як Anti-Phishing Working Group Inc. Вони надають детальніші ресурси та вказівки щодо виявлення, запобігання та звітування про фішингові атаки.

Види фішингу

Технології фішингу розвиваються, і кіберзлочинці використовують різноманітні методи. Різні типи фішингу зазвичай класифікуються на основі мети та вектора атаки. Розберемо його більш детально.

Клонування фішингу

Зловмисник використовує попередньо надісланий законний електронний лист і копіює його вміст у подібний, який містить посилання на шкідливий сайт. Зловмисник також може стверджувати, що це оновлене або нове посилання, і вказати, що попереднє було неправильним або втратило чинність.

Фішинг

Цей тип атаки спрямований на особу чи установу. Спеціальна атака є більш витонченою, ніж інші типи фішингу, оскільки вона адаптована. Це означає, що зловмисник спочатку збирає інформацію про жертву (наприклад, імена друзів або родини) і використовує ці дані, щоб заманити жертву на файл шкідливого веб-сайту.

Фармінг

Зловмисник заражає запис DNS, який фактично переспрямовує відвідувачів із законного веб-сайту на шахрайський, створений зловмисником заздалегідь. Це найнебезпечніша з атак, оскільки записи DNS не знаходяться під контролем користувача, через що користувач не може захистити себе.

Китобійний промисел

Різновид фішингу, націленого на заможних і важливих людей, як-от генеральних директорів і урядовців.

Підробка електронної пошти

Фішингові листи часто підробляють повідомлення від законних компаній або людей. Вони можуть містити посилання на шкідливі сайти, створені для нічого не підозрюючих жертв. На цих сайтах зловмисники збирають облікові дані, а також ідентифікаційну інформацію, використовуючи вміло замасковані сторінки входу. Сторінки можуть містити трояни, кейлоггери та інші шкідливі сценарії, які викрадають особисту інформацію.

Переадресація веб-сайту

Переспрямування веб-сайту спрямовує користувачів за URL-адресами, відмінними від тих, які вони збиралися відвідати. Актори, які використовують вразливості, можуть вставляти перенаправлення та встановлювати шкідливе програмне забезпечення на комп’ютерах користувачів.

Типосквотінг

Typosquatting спрямовує трафік на підроблені веб-сайти, які використовують іноземні мови, поширені орфографічні помилки або тонкі варіанти в домені верхнього рівня. Фішери використовують домени для імітації законних інтерфейсів веб-сайтів, користуючись тим, що користувачі неправильно вводять або читають URL-адресу.

Фальшиві платні оголошення

Платна реклама — ще одна тактика, яка використовується для фішингу. У цих (підроблених) оголошеннях використовуються домени, до яких зловмисники застосували typosquatting і отримують гроші за підвищення в результатах пошуку. Сайт може навіть відображатися як один із найпопулярніших результатів пошуку в Google.

Напад на водопій

Під час атаки на водопою фішери вивчають користувачів і визначають, які веб-сайти вони часто відвідують. Вони сканують ці сайти на наявність уразливостей і намагаються впровадити шкідливі сценарії, призначені для націлювання на користувачів під час наступного відвідування цього веб-сайту.

Крадіжка особистих даних і фальшиві роздачі

Вони видають себе за впливових осіб у соціальних мережах. Фішери можуть видавати себе за ключових керівників компанії та рекламувати розіграші подарунків або вдаватися до інших шахрайських дій. Жертв цієї містифікації можна навіть охопити індивідуально за допомогою процесів соціальної інженерії, спрямованих на пошук довірливих користувачів. Актори можуть зламувати підтверджені облікові записи та змінювати імена користувачів, щоб видавати себе за реальну фігуру, зберігаючи підтверджений статус.

Останнім часом фішери активно націлюються на такі платформи, як Discord, X і Telegram, з тими ж цілями: підробка чатів, видавання себе за інших осіб та імітація законних сервісів.

Шкідливі програми

Фішери також можуть використовувати шкідливі програми, які контролюють вашу поведінку або викрадають конфіденційну інформацію. Програми можуть використовуватися як відстеження цін, гаманці та інші інструменти, пов’язані з криптовалютою (які мають базу користувачів, схильних до торгівлі та володіння криптовалютами).

SMS і голосовий фішинг

Форма фішингу на основі текстових повідомлень, зазвичай через SMS або голосові повідомлення, яка спонукає користувачів ділитися особистою інформацією.

Фішинг проти Фармінг

Хоча деякі вважають фармінг різновидом фішингової атаки, він ґрунтується на іншому механізмі. Основна відмінність між фішингом і фармінгом полягає в тому, що фішинг вимагає від жертви помилки. Навпаки, фармінг вимагає лише спроби жертви отримати доступ до законного веб-сайту, запис DNS якого зламано зловмисником.

Фішинг у криптографії та блокчейні

Хоча технологія блокчейн забезпечує надійну безпеку даних завдяки своїй децентралізованій природі, користувачі в просторі блокчейну повинні залишатися пильними щодо соціальної інженерії та спроб фішингу. Кіберзлочинці часто намагаються використовувати вразливі місця людини, щоб отримати доступ до закритих ключів або облікових даних для входу. У більшості випадків шахрайство ґрунтується на людській помилці.

Шахраї також можуть намагатися обманом змусити користувачів розкрити їхні вихідні фрази або переказати кошти на підроблені адреси. Важливо бути обережним і дотримуватися рекомендованих правил безпеки.

Висновки

Підсумовуючи, розуміння фішингу та отримання інформації про нові методи шахрайства має вирішальне значення для захисту особистої та фінансової інформації. Поєднуючи потужні заходи безпеки, навчання та обізнаність, окремі особи та організації можуть захистити себе від постійної загрози фішингу в нашому взаємопов’язаному цифровому світі. Залишайся САФУ!

Подальше читання

• П’ять порад щодо захисту ваших криптовалютних активів

• П’ять способів покращити безпеку вашого облікового запису Binance

• Як безпечно проводити однорангові транзакції (P2P).

Офіційне повідомлення та попередження про ризики: цей вміст надається «як є» лише для загальної інформації та в освітніх цілях, без будь-яких заяв або гарантій. Його не слід розглядати як фінансову, юридичну чи іншу професійну пораду, а також не має на меті рекомендувати придбання будь-якого конкретного продукту чи послуги. Вам слід звернутися за індивідуальною порадою до відповідних професійних консультантів. Оскільки цю статтю надали треті сторони, зверніть увагу, що висловлені думки є думками сторонніх авторів і не обов’язково відображають думку Binance Academy. Для отримання додаткової інформації прочитайте наше повне юридичне повідомлення тут. Ціни на цифрові активи можуть бути нестабільними. Вартість інвестицій може як зменшуватися, так і зростати, і ви можете не повернути вкладену суму. Тільки ви несете відповідальність за свої інвестиційні рішення. Binance Academy не несе відповідальності за будь-які збитки, які ви можете понести. Цей матеріал не слід розглядати як фінансову, юридичну чи іншу професійну консультацію. Для отримання додаткової інформації перегляньте наші Умови використання та Попередження про ризики.