Що таке фішинг? Види фішингу, фішингові атаки та захист
Фішинг: що це таке та як не стати жертвою шахрайства
Фішинг – це один із найпопулярніших інструментів кіберзлочинців. За його допомогою аферисти викрадають конфіденційні дані людей, які в подальшому використовуються для інших шахрайських схем. При цьому зловмисники діють так, щоб людина добровільно повідомила свої логіни/паролі, дані банківських карток та іншу персональну інформацію.
Сьогодні шахраї отримали доступ до ШІ та інших ІТ-інструментів, тому діють дедалі переконливіше та сміливіше. Щоб не стати жертвою обману, важливо розібратися, що таке фішинг та які правила безпеки захистять від нього.
У чому суть фішингу та як він працює
Фішинг є однією з форм соціальної інженерії – методів психологічного тиску на користувача для “виманювання” в нього важливої інформації. Зловмисники створюють підроблені SMS-повідомлення, дзвінки, електронні листи та навіть сайти, імітуючи офіційні джерела. Вони користуються довірою людей до авторитетних організацій та осіб, а також неуважністю і незнанням правил конфіденційності даних.
Фішингова атака може виглядати дуже просто. Ось поширений приклад досить ефективної шахрайської схеми:
Кіберзлочинці розсилають SMS-повідомлення від імені відомого банку з проханням перейти за посиланням та заповнити анкету, щоб “актуалізувати дані клієнта”.
Людина переходить за посиланням, потрапляючи на сторінку, яка імітує сайт банку.
Користувач вказує персональну інформацію в анкеті клієнта.
Усі дані потрапляють до зловмисників.
Часто в таких “анкетах” потрібно вказати конфіденційну інформацію, наприклад, дату випуску та CVV-код банківської картки або облікові дані для входу в сервіс онлайн-банкінгу. Повідомляючи ці відомості, людина передає стороннім особам повний доступ до своїх коштів на банківських рахунках.
Інструменти та цілі фішингу
Кіберзлочинці активно використовують поширені канали розповсюдження інформації. Фішингова атака може бути організована через розсилку електронних листів, повідомлень у месенджерах та соціальних мережах, SMS-повідомлень. При цьому у шахраїв є кілька основних цілей:
Фінансова вигода – доступ до банківських карток та рахунків, отримання коштів безпосередньо від жертви (людина сама перераховує гроші за чужими реквізитами).
Персональні дані – логіни та паролі, паспортні дані, інформація про платіжні картки.
Доступ до акаунтів – можливість входу в профілі в соцмережах, поштових застосунках, месенджерах, онлайн-банках та інших сервісах.
Поширення шкідливого ПЗ – зараження комп'ютерів та мобільних пристроїв вірусами та програмами, що викрадають конфіденційні дані.
Фішинг завжди має на меті дізнатися вашу персональну інформацію, щоб отримати доступ до коштів на рахунках чи зламати акаунти. Важливо пам'ятати, які дані не можна нікому повідомляти, та уважно ставитися до будь-яких повідомлень від банків, держслужб та інших офіційних джерел.
Які існують види фішингу?
Фішинг має декілька різновидів, які відрізняються способом атаки, каналами зв'язку та рівнем персоналізації жертви. Основні з них:
Email-фішинг – шахраї створюють масові розсилки електронних листів, видаючи себе за представників банку, державної організації чи якогось сервісу. Отримувача просять перейти за певним посиланням або надіслати свої дані. Такі листи не персоналізовані і часто починаються з загальної фрази, наприклад, “Шановний клієнте!”.
Цільовий фішинг – така схема, спрямована на конкретну людину або компанію. В ній шахраї використовують реальну інформацію про жертву, тому обман виглядає дуже переконливо. Прикладом може бути лист від керівника організації з вимогою надіслати певні документи або кошти за вказаною адресою/реквізитами.
Полювання на “кита” (Whaling) – фішингова атака, ціль якої є певна людина, що займає впливову посаду. Цілями зловмисників можуть бути директори, топ-менеджери, власники компаній, а також чиновники. Шахраї намагаються отримати доступ до важливих корпоративних даних або великих сум коштів. Таке “полювання” максимально персоналізоване, щоб не викликати підозри.
Вішинг (voice phishing) – фішинг, основним інструментом якого є телефонні дзвінки. Злочинець телефонує жертві від імені, наприклад, банку та просить повідомити певні дані (CVV-код до картки, пароль для входу в онлайн-банкінг, паспортну інформацію тощо). Приводом для дзвінка є нібито підозріла операція за рахунком, блокування картки або інші “проблеми”.
SMS-фішинг (смішинг) – кіберзлочинці надсилають повідомлення через SMS та месенджери. Короткі сповіщення містять сторонні посилання та яскравий заклик до дії, наприклад, “Терміново підтвердіть заблокований переказ”.
Соціальний фішинг – атака через соцмережі за допомогою фейкових акаунтів та зламаних акаунтів. Шахраї розсилають повідомлення від імені друзів з закликами проголосувати в конкурсі, поширити якийсь допис, надіслати гроші тощо.
Не варто недооцінювати зловмисників. Звісно, дзвінком від імені “служби безпеки банку” мало кого можна обманути, адже ця схема сьогодні відома кожному. Та зловмисники вміють діяти дуже переконливо, особливо якщо в них є базова інформація про жертву. Вони часто знаходять відомості про людей на сайтах пошуку роботи або онлайн-дошках оголошень і на їх основі створюють персоналізовані повідомлення, якісно імітуючи, наприклад, листи від Виконавчої служби чи Пенсійного фонду.
Фішинговий сайт – найсильніша “зброя” шахраїв
Фішинговий сайт – це підроблений вебресурс, який імітує офіційну сторінку справжнього сервісу. Зовні він може бути ідентичним реальному сайту, повністю повторюючи його дизайн, логотипи, інформацію та навіть адресу.
Найчастіше хакери підробляють сервіси, в яких користувачі вводять свої персональні або платіжні дані. Це можуть бути веб-сторінки банку, онлайн-магазину, сервісу з бронювання житла чи авіаквитків. Щойно людина вказує свою інформацію на фішинговому сайті, вона одразу потрапляє до злочинців.
Найгірше те, що розпізнати підробку складно, особливо якщо її створили професіонали. Але є кілька ознак фейку, які можна помітити:
неправильна веб-адреса з помилками або дивними символами;
відсутність безпечного з'єднання (https);
помилки в контенті, застарілі банери, неактуальні новини;
постійні заклики повідомити свої дані.
Щоб не натрапити на фішинговий сайт, важливо не переходити за сумнівними посиланнями та завжди перевіряти наявність безпечного з'єднання. Також можна встановити у браузері опцію блокування ресурсів з підозрою на шахрайство.
Як розпізнати фішинг?
Фішингова атака – це “полювання” на ваші персональні дані, тому головною ознакою обману є вимога повідомити конфіденційну інформацію. Важливо пам'ятати, що ніхто не має права запитувати у вас:
логіни/паролі для входу в будь-які акаунти (особливо банківські);
PIN- та CVV-коди до карток;
одноразові коди з SMS-повідомлень від банку чи інших організацій;
фото чи копії паспорта.
Важливо! Кожна людина несе відповідальність за збереження в таємниці своїх конфіденційних даних. Тому коли вона добровільно повідомляє їх третім особам, то всі наслідки та збитки лягають на її плечі. Наприклад, якщо шахраї списали з вашої картки кошти через те, що ви розголосили її CVV-код, то банк не відшкодує такі втрати, адже в крадіжці немає провини організації.
Вашим основним інструментом захисту від обману є уважність. Розмовляючи з представником будь-якої організації, стежте за розмовою та не поспішайте відповідати на підозрілі запитання чи виконувати якісь інструкції (переходити за посиланням, вводити команди в банкоматі, встановлювати додатки тощо).
Також звертайте увагу на відправників повідомлень. Насторожити повинні сторонні домени, помилки у назві організації, “майже правильні” веб-адреси. Щоб не стати жертвою фішингу в мережі, слід не переходити за незнайомими посиланнями з повідомлень та не нехтувати перевіркою URL для розпізнавання підробленого сайту. Також обов'язково увімкніть опцію двофакторної автентифікації у фінансових додатках.
Гра на емоціях – важлива риса фішингових схем
Фішинг – це вид атак, в якому зловмисники намагаються грати на емоціях потенційних жертв. Найчастіше вони намагаються викликати страх втратити гроші або зіткнутися з проблемами. Повідомлення про “блокування картки”, “несанкціоноване списання з рахунку”, “підозрілу активність” змушують хвилюватися та приймати поспішні рішення. В такому стані люди, не замислюючись, повідомляють важливу інформацію та виконують інструкції.
Залякування може стосуватися не лише банківських операцій, а й інших сфер життя. Наприклад, шахраї можуть повідомляти про припинення соцвиплат, відкриття кримінального чи адміністративного провадження, борги за комунальні платежі тощо.
Також зловмисники тиснуть на бажання швидкої вигоди. Вони пропонують оформити фінансову допомогу, виграти цінний подарунок, отримати якісь пільги чи знижку. Щоб скористатися “унікальною пропозицією”, потрібно тільки вказати свої дані в спеціальній анкеті.
Практично всі види фішингу спрямовані на те, щоб людина поспішала та не звертала увагу на можливі ознаки обману. Тому в повідомленнях часто є заклики терміново перейти за посиланням, швидко відреагувати на загрозу чи встигнути отримати вигоду.
Що робити, якщо ви стали жертвою фішингової атаки?
Інтернет-шахрайство стає все більш майстерним, тож стати його жертвою може кожен. Щойно ви зрозуміли, що ваші дані потрапили до зловмисників, важливо діяти швидко, щоб мінімізувати можливі втрати. Для цього потрібно:
Припинити взаємодію – закрийте підозрілий сайт, перервіть телефонний дзвінок, не повідомляйте та не вводьте жодних даних.
Змінити паролі – якщо ваш акаунт скомпрометовано, то негайно змініть дані для входу та увімкніть двофакторну автентифікацію.
Заблокувати картки – якщо ви повідомили дані платіжних карток, то заблокуйте їх через фінансовий додаток або зателефонувавши на гарячу лінію банку.
Перевірити пристрій на віруси – якщо ви перейшли на підроблений сайт або встановили підозрілий додаток, то видаліть сторонні програми та запустіть антивірусне сканування.
Повідомте про інцидент – якщо шахрайство пов'язане з якоюсь компанією (банком, державною організацією, великим онлайн-сервісом і т.д.), зв'яжіться з її представником та розкажіть про те, що трапилося.
Сприймайте подібні ситуації як джерело корисного досвіду. Проаналізуйте, на яку саме шахрайську “вудку” ви спіймалися та як уникнути цього в майбутньому. Підвищіть безпеку своїх акаунтів: встановіть більш складні паролі, активуйте двофакторну автентифікацію, увімкніть вхід в додатки через відбиток пальця.
Також попередьте про відомі вам види фішингу своїх знайомих. Ваш досвід може допомогти іншим не стати жертвами кіберзлочинців та захистити свої кошти і дані.
Часто задавані питання
Що таке фішинг?
Це вид шахрайства, у межах якого зловмисники намагаються дізнатися конфіденційні дані користувачів. Злочинці діють від імені представників відомих організацій, онлайн-ресурсів, сервісів та ін.
В чому небезпека фішингу?
Наслідком шахрайства може бути крадіжка коштів з банківських рахунків та карток, злам акаунтів, зараження пристрою вірусами, витік персональних даних.
Що таке фішинговий сайт?
Це підроблений сайт, який імітує веб-сторінку справжнього ресурсу, наприклад, банку чи онлайн-магазину. Він повністю повторює дизайн, структуру та контент оригіналу.
Які основні ознаки фішингу?
На фішинг вказує спроба дізнатися ваші персональні дані. Ознаками підроблених повідомлень є їх терміновість, прохання перейти за невідомим посиланням, підозрілий відправник.
Чим відрізняється фішинг від вішингу?
Фішингові схеми використовують електронні листи, SMS-повідомлення, сповіщення в месенджерах та соцмережах. Тоді як вішинг – це телефонні дзвінки від чужого імені.