Фішинг
 Написи англійською:
На папері: "Нам треба перевірити номер вашої кредитної картки", Риба каже "Не піддавайтеся на приманку. Захищайте свої фінансові дані" |
Фі́шинґ[1] (англ. phishing МФА: ['fiʃiŋ] від fishing — риболовля) — вид шахрайства, метою якого є виманювання в довірливих або неуважних користувачів мережі персональних даних клієнтів онлайнових аукціонів, сервісів із переказу або обміну валюти, інтернет-магазинів. Шахраї намагаються змусити користувачів самостійно розкрити конфіденційні дані — наприклад, надсилаючи електронні листи з пропозиціями підтвердити реєстрацію облікового запису, що містять посилання на сайт, зовнішній вигляд якого повністю копіює дизайн відомих ресурсів.
Огляд[ред. | ред. код]
Фішинґ — один з різновидів соціальної інженерії, заснований на незнанні користувачами основ мережевої безпеки. Зокрема, багато хто не знає простого факту: сервіси не розсилають листів з проханнями повідомити свої облікові дані, пароль та інше.
Для захисту від фішинґу виробники основних інтернет-браузерів домовилися про застосування однакових способів інформування користувачів про те, що вони відкрили підозрілий сайт, який може належати шахраям. Нові версії браузерів вже володіють такою можливістю, яка відповідно іменується «антифішинґ».
За даними компанії PhishMe, станом на березень 2016 року 93 % всіх фішинґових листів намагались заразити комп'ютер жертви шкідливими програмами криптографічного здирництва (так зване англ. ransomware) — вони шифрують дані на жорсткому диску та вимагають гроші від жертви за їхнє розшифрування. Також серед стійких тенденцій до підвищення ефективності фішинґових атак було названо частіші випадки підлаштування вмісту листів під певну категорію жертв (за їхнім фахом) та із включенням певних елементів особистої інформації (зокрема, звернення до жертви за іменем)[2].
Складові [3][ред. | ред. код]
Фішинґові сайти[ред. | ред. код]
Фішинґовий сайт[4] — це шахрайський вебресурс, який виманює реквізити платіжних карток під виглядом надання послуг, що не існують (наприклад, поповнення мобільного рахунку, переказів з картки на картку), або вебресурс організації, якій користувач довіряє (наприклад, клон інтернет-банку), що має на меті збір реквізитів платіжних карток для подальшої крадіжки грошових коштів з рахунків власників платіжних карток. Більше ніж 90% фішинґових сайтів надають відсутні послуги з поповнення мобільного рахунку та переказу коштів з картки на картку.
Розкручуючи свій злочинний сайт, шахраї експлуатують людські мотиви: допитливість, бажання отримати вигоду, заробити тощо. Найпоширеніші повідомлення фішерів: «Дізнайтеся, чи є ваша картка в базі даних хакерів! Уведіть дані, щоб перевірити», «При поповненні рахунку від 20 грн Ви гарантовано отримуєте 10 % від суми поповнення», «Акція! Поповнення рахунку, а також перекази з картки на картку будь-якого банку України без комісії» і т. ін. Крім того, власники шахрайських сайтів просувають їх, використовуючи інструменти вебмаркетингу: SEO-оптимізацію, контекстну й банерну рекламу, рекламу в соцмережах. І ці зусилля, на жаль, дають результат: відвідуваність фішинґових сайтів доволі висока. За даними вебаналітиків, у середньому протягом місяця на шахрайський сайт заходить 15–30 тисяч відвідувачів.
За даними компанії Phishlabs дедалі більше фішинґових сайтів налаштовані на використання протоколу захищеної передачі даних HTTPS: у третьому кварталі 2017 року таких було близько 25 %, майже удвічі більше, аніж за попередній квартал. Використання сайтом HTTPS створює в жертви хибне відчуття безпеки, адже багато хто вважає, що звичайна для сучасних веббраузерів «зелена позначка» поряд з адресою сайту свідчить про його надійність[5].
Фішинґові дзвінки або Вішинґ[ред. | ред. код]
Вид атак коли у людини намагаються викрасти деякі данні(реквізити банківської карти, реквізити для авторизації на сайті, ..) шляхом видавання себе за іншу людину. Наприклад злодій дзвонить на телефон жертви і представляється працівником банку і каже що треба щось перевірити, або що його карта заблокована, і просить, наприклад, пройти авторизацію чи назвати дані карти, які розголошувати не можна.
Смішинґ[ред. | ред. код]
Проведення фішинґової атаки за допомогою СМС. Зловмисник надсилає смс від імені якоїсь компанії або банку, де просить перейти на фішинґовий сайт або надати якісь данні.
Діпфейк фішинґ[ред. | ред. код]
Діпфейк фішинґ — це новий вид фішинґових атак через засоби відео та аудіо комунікацій. Даний вид атак набув популярності під час коронавірусного локдауну.
Примітки[ред. | ред. код]
- ↑ Фішинг // Термінологічний словник з питань запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму, фінансуванню розповсюдження зброї масового знищення та корупції / А. Г. Чубенко, М. В. Лошицький, Д. М. Павлов, С. С. Бичкова, О. С. Юнін. — Київ : Ваіте, 2018. — С. 709. — ISBN 978-617-7627-10-3.
- ↑ Maria Korolov (1 червня 2016). 93% of phishing emails are now ransomware. CSO. Архів оригіналу за 10 жовтня 2017. Процитовано 9 жовтня 2017.
- ↑ Що таке фішинг?. Microsoft.
- ↑ Глоссарий | Украинская межбанковская ассоциация членов платежных систем ЕМА. Украинская межбанковская ассоциация членов платежных систем ЕМА (ru-RU). Архів оригіналу за 9 жовтня 2017. Процитовано 25 листопада 2016.
- ↑ Brain Krebs (7 грудня 2017). Phishers Are Upping Their Game. So Should You. Krebs on Security. Архів оригіналу за 15 грудня 2017. Процитовано 14 грудня 2017.
Див. також[ред. | ред. код]
Література[ред. | ред. код]
- Фішинг: Хто і як маніпулює вашим вибором / Д. Акерлоф, Р. Шиллер ; пер. з англ. О. Герасимчук. — К. : Наш формат, 2017. — 272 с. — (Світоглядна літ-ра). — ISBN 617-7388-80-6.
|
