У цифрову епоху одним з найпоширеніших і небезпечних методів інтернет-шахрайства є фішинг.
Незалежно від того, чи відбувається це електронною поштою, СМС чи через соціальні мережі, мета одна й та сама: обманом отримати від вас особисту інформацію чи гроші. Хоча фішингові повідомлення є небезпечними пастками, вони часто виглядають офіційними повідомленнями. Ось чому важливо ретельно перевіряти будь-яке підозріле повідомлення, незалежно від того, наскільки «офіційним» воно виглядає, а виявивши трохи пильності та вживши кілька простих заходів безпеки, ви зможете знизити ризик шахрайства.
Фішинг – це атака, за допомогою якої робиться спроба обманом вкрасти ваші гроші або особисту інформацію (номери кредитних карток, банківські реквізити або паролі) на веб-сайтах, які видають себе за легітимні. Інтернет-злочинці зазвичай видають себе за надійні компанії, друзів або знайомих у підроблених повідомленнях, які найчастіше містять посилання на фішинговий веб-сайт.
Види фішингу та як розпізнати шахрайство
«Ваш банківський рахунок заблоковано. Перейдіть за цим посиланням, щоб повторно активувати його». Це класичний приклад шахрайства, оскільки посилання веде на підроблений сайт, який копіює реальну сторінку банку, а введені дані прямо потрапляють до злочинців. Після того, як користувач надсилає свої дані, він незабаром виявляє, що гроші зникли з його рахунку.
«Доброго дня, ви є спадкоємцем сумми в 2 500 000 євро. Терміново надішліть дані для переказу: fals.stop@consultmail.com » . І в цьому випадку повідомлення помилкове, оскільки в обмін на обіцяні гроші запитуються персональні дані електронною поштою і використовується неофіційна адреса електронної пошти. Після надсилання даних спадщина так і не надходить.
В іншому випадку співробітник компанії відкриває заражене вкладення, відправлене «з бухгалтерії», і вся ІТ-система блокується програмою-вимагачем ( ransomware – тип вірусу, який блокує доступ до комп’ютерної системи доти, доки не буде виплачено певну суму грошей).
Вищезгадані сценарії є тактикою, що використовується при фішингу, і можуть полегшити доступ до всіх типів конфіденційних даних. Кіберзлочинці також можуть схилити вас відвідати підроблені веб-сайти іншими способами, наприклад, за допомогою текстових повідомлень ( змішинг ) або телефонних дзвінків ( вішинг ). Такі повідомлення часто містять інструкції з введення PIN-коду або іншої особистої інформації.
Отже, зловмисники використовують різні способи обману людей, зокрема:
- Підроблені листи з терміновими повідомленнями: «Обліковий запис припинено», «Платеж не підтверджено», «Приз виграно» . Це найпоширеніший тип фішингу, метою якого є переконати жертву натиснути на шкідливе посилання або надати персональні дані.
- Оманливі СМС : жертва отримує текстове повідомлення, що містить підроблене посилання або помилковий номер телефону, за допомогою яких зловмисник намагається вкрасти персональні дані або банківські реквізити. Наприклад, текстове повідомлення може бути таким: «Посилання затримано на митниці. Оплатіть мито тут».
- Телефонні дзвінки (вішинг). Зазвичай зловмисники використовують підроблені телефонні дзвінки з «банків» чи «державних установ», запитуючи персональні дані чи «верифікацію» картки під приводом надзвичайної ситуації.
- Підроблені посилання, що ведуть на сайти, практично ідентичні офіційним, але контрольовані зловмисниками.
- Заражені вкладення замасковані під рахунки-фактури, контракти або повідомлення.
Реальні небезпеки
За даними Microsoft , найбільш поширена форма фішингових атак використовує такі прийоми, як підроблені гіперпосилання, щоб переконати отримувачів електронних листів поділитися своєю особистою інформацією. Зловмисники часто видають себе за великих постачальників облікових записів, таких як Microsoft або Google або навіть за колег.
За цими гіперпосиланнями ховається безліч небезпек, у тому числі:
- Крадіжка особистості . У таких випадках персональні дані можуть бути використані для відкриття банківських рахунків або здійснення шахрайства.
- Несанкціонований доступ до облікових записів . Викрадені паролі можуть призвести до злому онлайн-акаунтів.
- Зараження шкідливою програмою ( malware ) або програмою-вимагачем ( ransomware ) . Простий клік може встановити вірус, який шифрує дані та вимагає викуп.
- Фінансові втрати. Багато користувачів втрачають свої заощадження через перекази на шахрайські рахунки.
Загальні елементи атаки фішингу
Фішинг працює саме тому, що виглядає реалістично. Ось чому важливо ретельно перевіряти будь-яке підозріле повідомлення , яким би «офіційним» воно не здавалося.
Як захиститись?
Фішинг працює, тому що зловмисники вміють виглядати переконливо, але його можна уникнути, якщо запам’ятати кілька простих правил:
- Перевіряйте джерело . Не покладайтеся лише на ім’я відправника. Проаналізуйте повну електронну адресу. Лист з адреси ” banca@mail-customer.com ” не від банку.
- Не переходьте за підозрілими посиланнями та не відкривайте вкладення у листах, особливо якщо ви не очікуєте такого повідомлення. Увійдіть безпосередньо на сайт установи, а не за отриманим вами посиланням.
- Ніколи не надайте особисту інформацію електронною поштою або по телефону .
- Увімкніть двоетапну автентифікацію (2 FA ) . Це додатковий бар’єр від несанкціонованого доступу, навіть якщо пароль буде скомпрометовано, обліковий запис залишиться захищеним.
- Установіть та активуйте надійний антивірус та антифішингове програмне забезпечення . Багато програм безпеки можуть виявляти та блокувати шкідливі сайти та файли.
- Інформуйтеся . Підписуйтесь на сайти, що заслуговують на довіру і повідомляйте владі, якщо ви стали об’єктом шахрайства.
Що робити, якщо ви стали жертвою фішингу?
Якщо ви випадково ввели свої особисті дані або перейшли за фішинговим посиланням, важливо діяти швидко, щоб обмежити збитки. Якщо ви ввели свої дані для входу на підроблений сайт, терміново змініть пароль відповідного облікового запису та всіх інших облікових записів, де ви використовували той самий пароль. Щоб запобігти подібним інцидентам у майбутньому, встановіть більш складні паролі. Якщо ви надали дані своєї картки, негайно зателефонуйте до свого банку та попросіть заблокувати картку.
Якщо ви отримали електронний лист або СМС-повідомлення, яке, як ви вважаєте, надійшло від банку, інтернет-магазину або відомої компанії, зв’яжіться з ними безпосередньо та повідомте про інцидент. Про цей випадок також можна повідомити компетентні органи, наприклад, поліцію.
Якщо ваша електронна пошта на робочому місці була зламана, якнайшвидше зверніться до свого ІТ-відділу або відділу кібербезпеки. Якщо ви завантажили вкладення або натиснули на підозріле посилання, проскануйте свій телефон або комп’ютер за допомогою оновленої антивірусної програми.
Про фішингові шахрайства також можна повідомляти Кіберполіції, яка займається розслідуванням кіберзлочинів. Ви можете подати заяву онлайн на їхньому сайті https://ticket.cyberpolice.gov.ua/.
Методи кібератак розвиваються паралельно із розвитком технологій. Незважаючи на те, що шахраї вміють обманювати навіть обережних користувачів, важливо діяти негайно, щоб убезпечити будь-які свої конфіденційні дані.
