እንዴት ከ Phishing ጥቃቶች እራስዎን መከላከል እንደሚችሉ

Phishing ምንድነው?

Phishing ጥቃተኛ ወደ ሕጋዊ ድረ-ገጽ አሳማኝ ቅጂ የሚፈጥርበት — ብዙ ጊዜ pixel-perfect — እና ተጎጂውን እዚያ ላይ የመግቢያ ምስክርነቶቻቸውን እንዲያስገቡ የሚያታልለው የማህበራዊ ምህንድስና ጥቃት ነው። ተጎጂው ቅጹን በሰመጠ ቅጽበት፣ ጥቃተኛው የተጠቃሚ ስምን፣ ፓስወርድን፣ እና ማንኛውንም ሁለተኛ ምክንያት ይይዛል፣ ከዚያም በሰከንዶች ውስጥ በእውነተኛው መለያ ላይ ይጠቀምባቸዋል።

ቃሉ ከ"fishing" ለተጎጂዎች ከልሳን ጋር (አብዛኛውን ጊዜ ኢሜል) ይመጣል። አገላለጹ ጥቃተኞች ብዙውን ጊዜ phone ቁጥሮችን (SMS phishing፣ ወይም "smishing") እና ሙያዊ መልክ ያላቸው መሠረተ ልማቶችን እንደሚጠቀሙ ለማጉላት ተለውጧል።

Phishing አሁንም ቁጥር 1 ስጋት የሆነበት ምክንያት

አብዛኛዎቹ የዛሬው ትላልቅ የመለያ ጣሳዎች hacking፣ ፓስወርዶችን መስበር፣ ወይም ኢንክሪፕሽንን መታለፍን አያካትቱም። አንድ ሰው በወሸት ድረ-ገጽ ላይ ፓስወርድ መተየብን ያካትታሉ። Phishing:

• ርካሽ — ጥቃተኛ በVPS እና በተሳሳተ ስም ወጪ ሚሊዮኖች ኢሜሎችን መላክ ይችላል
• ለማጣራት ከባድ — ዘመናዊ መሳሪያዎች ስሞችን ያሽከረክራሉ፣ ሕጋዊ hosting ይጠቀማሉ፣ እና ለማጣሪያዎች በቀጥታ ይስማማሉ
• ውጤታማ — ደህንነት-አውቂ ተጠቃሚዎች እንኳ ጥሩ ለተዘጋጁ ኢላማዎች (spear phishing) ይወድቃሉ
• Scalable — አንድ ስኬታማ phish ብዙውን ጊዜ በፓስወርድ እንደገና መጠቀም ወደ ዓስሮች ተቀናጅ አገልግሎቶች መዳረሻ ይሰጣል

የ2024 Verizon Data Breach Investigations Report ከሁሉም ጣሳዎች 36% በላይ phishing የመጀመሪያ መዳረሻ ቬክተር እንደሆነ አግኝቷል — ከማንኛውም ሌላ ነጠላ መንስኤ በላይ።

ዘመናዊ phishing እንዴት እንደሚሰራ

Phishing ከ2000ዎቹ "Nigerian prince" ኢሜሎች በጣም የተሻሻለ ነው። ዘመናዊ phishing ጥቃት አብዛኛውን ጊዜ ይያዛል:

1. አሳማኝ ማባበያ

አብዛኛውን ጊዜ አጣዳፊነት የሚፈጥር ("መለያዎ ይታገዳል")፣ ሥልጣን ("Microsoft ደህንነት ቡድን")፣ ወይም የማወቅ ጉጉት ("አንድ ሰው በፎቶ ውስጥ አጠቃቀመዎ") ኢሜል፣ ፅሁፍ፣ ወይም የውይይት መልእክት። Spear-phishing ይህንን ከLinkedIn፣ breach dumps፣ ወይም ቀደም ካሉ ደብዳቤዎች ከተወሰዱ የግል ዝርዝሮች ጋር የበለጠ ያዘጋጅ።

2. Pixel-perfect ወሸት ድረ-ገጽ

ጥቃተኞች ኢላማውን ድረ-ገጽ HTML፣ CSS፣ እና JavaScript የሚቀዳ phishing kits ይጠቀማሉ። ብዙ kits እንደ አገልግሎት (phishing-as-a-service) ይሸጣሉ፣ የሚሰሩ dashboards እና የደንበኛ ድጋፍ ያላቸው።

3. ለ2FA የቀጥታ proxy

አደገኛው ክፍል፡ ዘመናዊ kits ፓስወርድዎን ብቻ አይይዙም። እርስዎ የሚተይቡትን ሁሉ — TOTP ኮድዎን ጨምሮ — በሰከንዶች ውስጥ ወደ እውነተኛው ድረ-ገጽ የሚያስተላልፍ man-in-the-middle proxy ሆነው ይሰራሉ፣ አብዛኛውን 2FA ይታለፉ። ይህ ዘዴ adversary-in-the-middle (AiTM) ይባላል እና እንደ Evilginx2 እና Modlishka በመሳሰሉ መሳሪያዎች ይጠቀማል።

4. Session token ሰረቃ

በproxy አማካኝነት ከተረጋገጡ በኋላ ጥቃተኛው የsession cookieዎን ይይዛል እና ፓስወርድዎን ከቀየሩ በኋላም ኮ-ሰዓት እንዲሆኑ ሊጠቀምበት ይችላል። ለዚህ ነው የ phishing ምላሽ ፓስወርድ ማሽከርከር ብቻ ሳይሆን ንቁ ክፍለ-ጊዜዎችን መሻር የሚያካትተው።

Phishing በእውነት የሚያስቆመው ነገር

የሃርድዌር ደህንነት ቁልፎች (FIDO2 / WebAuthn)

ይህ በንድፍ phishing-proof የሆነው ብቸኛ የመከላከያ ምድብ ነው። በFIDO2 ቁልፍ በመግባት ቁልፍዎ ማረጋገጫ የሚጠይቀውን ስላላው ትክክለኛ ስም በሳይንስ ያረጋግጣል። ወሸት ドረ-ገጽ — የእይታ ፍጹምነቱ የተለየ ስም ያለው፣ ስለዚህ ቁልፉ ምላሽ መስጠት ይከለክላል። የሳይንስ እጅ መቀናበር በቀላሉ አያጠናቅቅም።

Google በ2017 ለሁሉም 85,000+ ሰራተኞቹ YubiKeys ግዴታ ካደረገ በኋላ ከዚያ በላይ በሆኑ ዓመታት ውስጥ በኩባንያ መለያዎች ላይ ዜሮ ስኬታማ phishing ጥቃቶች መኖራቸውን ዘግቧል።

Passkeys

Passkeys የFIDO2 ሸማቾች-ወዳጅ ዝግመተ ለውጥ ናቸው። ተመሳሳዩን domain-bound ሳይንስ ይጠቀማሉ እና በiOS፣ Android፣ macOS፣ እና Windows ውስጥ ተዋቅረዋል። የሚጠቀሙት ድረ-ገጽ passkeys ከደገፈ፣ አንዱን ማንቃት ያንን መለያ phishing-proof ያደርገዋል።

የፓስወርድ አስተዳዳሪዎች

የፓስወርድ አስተዳዳሪ የሁለተኛ መከላከያ መስመርዎ ነው ምክንያቱም ትክክለኛ ስም ላይ ያተኮሩ የመግቢያ ምስክርነቶችን autofill ይሰራል። paypal.com ምትክ paypaI.com (capital I) ላይ ከወደቁ፣ አስተዳዳሪዎ ቅጹን መሙላት በፀጥታ ይከለክላል። ያ አሻገር ማሻገር የሆነ ነገር እንደተሳሳተ ሐለማ ማስጠንቀቂያ ነው።

Email እና DNS ማጣራት

የኢሜል አቅራቢዎች የተሳሳተ የላኪ አድራሻዎችን ለመለየት DMARC፣ SPF፣ እና DKIM ይጠቀማሉ። አብዛኛዎቹ ዘመናዊ አቅራቢዎች ግልፅ ሙከራዎችን ይይዛሉ፣ ነገር ግን ታለሙ ጥቃቶች አሁንም ያልፋሉ። በማድረክ ላይ "report phishing" ቁልፎችን ያንቅቡ ስለዚህ ማጣሪያዎች እንዲሻሻሉ ይረዱ።

ልብ የሚሉባቸው ቀይ ባንዲራዎች

እንዲገቡ፣ እንዲያረጋግጡ፣ ወይም በአጣዳፊ መንገድ እንዲሰሩ የሚጠይቅ መልእክት ሲደርስዎ:

• አጣዳፊነት እና ማስፈራራቶች — "መለያዎ በ24 ሰዓት ውስጥ ይዘጋል"
• አጠቃላይ ሰላምታዎች — ከስምዎ ይልቅ "ውድ ደንበኛ"
• የሚመስሉ ስሞች — paypaI.com፣ app1e.com፣ secure-microsoft-login.net
• ያልተጠበቁ ማያያዣዎች — በተለይ .zip፣ .html፣ ወይም .pdf ቋሚዎች ለመመልከት እንዲገቡ የሚጠይቁ
• የሰዋሰው ወይም የቅርፅ ስህተቶች — ትላልቅ ኩባንያዎች ኢሜሎቻቸውን ይመርምራሉ
• የሊንክ አለመጣጣም — ሊንኩን ላይ hover ያድርጉ እና መድረሻው ከፅሁፉ ጋር የሚዛመድ መሆኑን ይፈትሹ

ማንኛውም ነገር ተሳስቶ ከተሰማዎ ኢሜሉን ዝጋ። በእጅ ወደ ድረ-ገጹ ይሂዱ። እውነተኛ ችግር ካለ በመደበኛ የስራ ሂደትዎ ሲገቡ ያያሉት።

ላንዱ ከወደቁ ምን ማድረግ አለብዎት

በፍጥነት ይንቀሳቀሱ — ጥቃተኞች የመግቢያ ምስክርነቶችን በደቂቃዎች ውስጥ መጠቀም ስለሚጀምሩ ፍጥነት አስፈላጊ ነው።

1. ፓስወርዱን ወዲያውኑ በተለየ መሳሪያ ላይ ይቀይሩ (ለምሳሌ ስልክዎ፣ በላፕቶፕዎ ላይ ከወደቁ)
2. በመለያ ቅንብሮች ውስጥ ሁሉንም ንቁ ክፍለ-ጊዜዎች ይሻሩ — ይህ የተሰረቀ session tokens እየተጠቀመ ያለ ማንኛውንም ሰው ይወርድ
3. 2FA ያንቅቡ ቀደም ሲል ካልነበረ፣ እና በተቻለ መጠን የሃርድዌር ቁልፍ ወይም passkey ይጠቀሙ
4. ለፈቃድ ያልተሰጠ እንቅስቃሴ ይፈትሹ — የተላኩ ኢሜሎች፣ የቅርብ ጊዜ ኮታዎች፣ የኖሯ ለውጦች፣ አዲስ አስተላላፊ ህግኮች
5. ተጎዳውን ተቋም ያሳውቁ የፋይናንሺያል ወይም የሥራ መለያ ከሆነ
6. ተመሳሳይ ፓስወርድ የተጠቀሙባቸውን ሌሎች መለያዎች ይፈትሹ — ፓስወርዶችን እንደገና እንደማይጠቀሙ በተረጋገጠም ይፈትሹ

የመጨረሻው መስመር

Phishing ቴክኖሎጂን በማታለል እና ሰዎችን በመመላላስ ይለመልማል። ምርጡ መከላከያ ሶስት ደረጃዎችን ይቀላቅላል፡ የፓስወርድ አስተዳዳሪዎች (በተሳሳተ ስሞች ላይ autofill ይከለክላል)፣ phishing-resistant 2FA (ከእውነተኛ ስም ጋር የሚያያይዙ የሃርድዌር ቁልፎች ወይም passkeys)፣ እና ጤናማ ጥርጣሬ (ከኢሜል ሊንክ በጭራሽ አይግቡ)።

በጣም አስፈላጊ በሆነ መለያዎ — ኢሜልዎ — ላይ መጀመሪያ ሦስቱንም ያንቅቡ። ከዚያ፣ የደጂታል ህይወትዎ ቀሪ ያለ ትርጉም ያለው ደህንነት ያገኛል።