Как да се защитите от фишинг атаки

Какво е фишинг?

Фишингът е атака чрез социално инженерство, при която нападател създава убедително копие на легитимен уебсайт — често перфектно копие — и подмамва жертвата да въведе данни за вход там. В момента, в който жертвата изпрати формата, нападателят прихваща потребителското име, паролата и всеки втори фактор, след което ги използва за завземане на истинския акаунт за секунди.

Думата идва от метафората за "риболов" за жертви с примамка (обикновено имейл). Изписването се промени, за да подчертае, че нападателите често използват телефонни номера (SMS фишинг или "smishing") и професионално изглеждаща инфраструктура.

Защо фишингът все още е заплахата №1

Повечето мащабни пробиви в акаунти днес не включват хакване, разбиване на пароли или заобикаляне на криптиране. Те включват човек, който въвежда парола в фалшив сайт. Фишингът е:

• Евтин — нападател може да изпрати милиони имейли за цената на VPS и подправен домейн
• Труден за филтриране — модерните комплекти ротират домейни, използват легитимно хостване и се адаптират към филтрите в реално време
• Ефективен — дори потребители, осведомени за сигурността, стават жертва на добре изработени целенасочени опити (spear phishing)
• Мащабируем — един успешен фишинг често дава достъп до десетки свързани услуги чрез повторна употреба на пароли

Докладът за разследвания на пробиви в данни на Verizon от 2024 г. установи, че фишингът е началният вектор за достъп в над 36% от всички пробиви — повече от всяка друга единична причина.

Как работи модерният фишинг

Фишингът еволюира далеч отвъд имейлите за "нигерийски принц" от 2000-те. Модерна фишинг атака обикновено включва:

1. Убедителна примамка

Обикновено имейл, текст или съобщение в чат, създаващо спешност ("Акаунтът ви ще бъде спрян"), авторитет ("Екип за сигурност на Microsoft") или любопитство ("Някой ви означи на снимка"). Spear-phishing го развива допълнително с лични детайли, взети от LinkedIn, пробиви в данни или предишна кореспонденция.

2. Перфектен фалшив сайт

Нападателите използват готови фишинг комплекти, които клонират HTML, CSS и JavaScript на целевия сайт. Много комплекти се продават като услуга (phishing-as-a-service), с работещи табла за управление и клиентска поддръжка.

3. Прокси в реално време за 2FA

Опасната част: модерните комплекти не просто прихващат паролата ви. Те действат като man-in-the-middle прокси, който препредава всичко, което въвеждате — включително TOTP кода ви — към истинския сайт за секунди, заобикаляйки повечето 2FA. Тази техника се нарича adversary-in-the-middle (AiTM) и се използва в инструменти като Evilginx2 и Modlishka.

4. Кражба на токени за сесии

След като се удостоверите чрез проксито, нападателят прихваща вашата сесийна бисквитка и може да я използва, за да остане вписан дори след като смените паролата си. Ето защо отговорът на фишинг винаги включва отмяна на активни сесии, не само ротация на пароли.

Какво наистина спира фишинга

Хардуерни ключове за сигурност (FIDO2 / WebAuthn)

Това е единствената категория защита, която е устойчива на фишинг по дизайн. Когато се логвате с FIDO2 ключ, ключът ви криптографски проверява точния домейн на сайта, който иска удостоверяване. Фалшив сайт — независимо колко визуално перфектен — има различен домейн, така че ключът отказва да отговори. Криптографското ръкостискане просто не се завършва.

Google известно наложи YubiKeys на всички 85,000+ служители през 2017 г. и съобщи за нула успешни фишинг атаки на корпоративни акаунти в годините след това.

Passkeys

Passkeys са потребителски-приятелската еволюция на FIDO2. Те използват същата криптография, свързана с домейн, и са вградени в iOS, Android, macOS и Windows. Ако сайт, който използвате, поддържа passkeys, активирането на такъв прави този акаунт устойчив на фишинг.

Мениджъри на пароли

Мениджърът на пароли е втората ви линия на защита, защото автоматично попълва данни за вход само в точния домейн, където са запазени. Ако попаднете на paypaI.com (главна I) вместо paypal.com, вашият мениджър мълчаливо отказва да попълни формата. Този отказ е силно предупреждение, че нещо не е наред.

Филтриране на имейл и DNS

Доставчиците на имейл използват DMARC, SPF и DKIM за откриване на подправени адреси на изпращачи. Повечето модерни доставчици хващат очевидните опити, но целенасочените атаки все още преминават. Активирайте бутоните "докладване на фишинг" във вашия мейл клиент, за да помогнете на филтрите да се подобрят.

Предупредителни знаци за внимание

Когато получите съобщение, което ви иска да се логнете, потвърдите или действате спешно:

• Спешност и заплахи — "Акаунтът ви ще бъде затворен за 24 часа"
• Общи поздрави — "Уважаеми клиенте" вместо вашето име
• Подобни домейни — paypaI.com, app1e.com, secure-microsoft-login.net
• Неочаквани прикачени файлове — особено .zip, .html или .pdf файлове, които ви искат да се логнете, за да ги видите
• Граматични или форматиращи грешки — големите компании коригират имейлите си
• Несъответствие на връзката — поставете курсора над връзката и проверете дали дестинацията съвпада с текста

Ако нещо ви се струва странно, затворете имейла. Навигирайте ръчно до сайта. Ако има истински проблем, ще го видите, когато се логнете чрез обичайния си работен процес.

Какво да направите, ако сте станали жертва

Действайте бързо — скоростта е важна, защото нападателите започват да използват данните за вход за минути.

1. Сменете паролата незабавно на различно устройство (телефона ви, например, ако сте станали жертва на лаптопа)
2. Отменете всички активни сесии в настройките на акаунта — това изхвърля всеки, който понастоящем използва откраднати токени за сесии
3. Активирайте 2FA, ако не е била включена, и използвайте хардуерен ключ или passkey, ако е възможно
4. Проверете за неразрешена активност — изпратени имейли, скорошни влизания, промени в тарифите, нови правила за препращане
5. Уведомете засегнатата институция, ако е финансов или служебен акаунт
6. Проверете други акаунти, които са използвали същата парола — дори ако сте сигурни, че не използвате повторно пароли, проверете

Заключението

Фишингът процъфтява, защото заобикаля технологията и се насочва към хората. Най-добрите защити смесват три слоя: мениджъри на пароли (отказват да попълват автоматично в грешни домейни), устойчива на фишинг 2FA (хардуерни ключове или passkeys, които се свързват с истинския домейн) и здрав скептицизъм (никога не се логвайте от връзка в имейл).

Активирайте и трите на най-важния си акаунт — имейла си — първо. От там нататък остатъкът от цифровия ви живот става значително по-безопасен.