Paano Protektahan ang Inyong Sarili sa mga Phishing Attack

Ano ang phishing?

Ang phishing ay isang social engineering attack kung saan gumagawa ang attacker ng nakakalinlang na kopya ng legitimate website — kadalasang pixel-perfect — at niloloko ang biktima na maglagay ng credentials doon. Sa sandaling i-submit ng biktima ang form, kinukuha ng attacker ang username, password, at anumang second factor, pagkatapos ay ginagamit ang mga ito upang agawin ang tunay na account sa loob ng ilang segundo.

Ang salitang ito ay nagmula sa metaphor ng "fishing" para sa mga biktima gamit ang pain (karaniwang email). Nagbago ang spelling upang bigyang-diin na kadalasang ginagamit ng mga attacker ang mga numero ng phone (SMS phishing, o "smishing") at professional-looking na infrastructure.

Bakit ang phishing ay nananatiling #1 na banta

Karamihan sa mga malalaking account breach ngayon ay hindi nagsasangkot ng hacking, cracking ng password, o pag-bypass ng encryption. Nagsasangkot ang mga ito ng isang tao na nag-ta-type ng password sa pekeng site. Ang phishing ay:

• Mura — maaaring magpadala ang attacker ng milyun-milyong email sa halaga ng VPS at spoofed domain
• Mahirap i-filter — ang mga modernong kit ay umiikot sa mga domain, gumagamit ng legitimate hosting, at umaadapt sa mga filter nang real time
• Epektibo — kahit ang mga security-aware na user ay nahuhulog sa mga mahusay na crafted targeted attempt (spear phishing)
• Scalable — ang isang matagumpay na phish ay kadalasang nagbubunga ng access sa daan-daang konektadong serbisyo sa pamamagitan ng password reuse

Natuklasan ng 2024 Verizon Data Breach Investigations Report na ang phishing ay initial access vector sa mahigit 36% ng lahat ng breach — higit pa sa anumang iba pang dahilan.

Paano gumagana ang modernong phishing

Ang phishing ay nag-evolve na lampas sa "Nigerian prince" email ng 2000s. Ang modernong phishing attack ay karaniwang kasama ang:

1. Nakakalinlang na lure

Karaniwang email, text, o chat message na lumilikha ng urgency ("Isu-suspend ang inyong account"), authority ("Microsoft security team"), o curiosity ("May nag-tag sa inyo sa isang larawan"). Mas pinapalalim ng spear-phishing ang mga ito gamit ang mga personal detail na kinuha sa LinkedIn, breach dump, o nakaraang correspondence.

2. Pixel-perfect na pekeng site

Gumagamit ang mga attacker ng off-the-shelf na phishing kit na gumagaya sa HTML, CSS, at JavaScript ng target site. Maraming kit ang binebenta bilang serbisyo (phishing-as-a-service), na may working dashboard at customer support.

3. Real-time proxy para sa 2FA

Ang mapanganib na bahagi: ang mga modernong kit ay hindi lang kumukuha ng inyong password. Kumikilos sila bilang man-in-the-middle proxy na nagfo-forward ng lahat ng nita-type ninyo — kasama ang inyong TOTP code — sa tunay na site sa loob ng ilang segundo, na naba-bypass ang karamihan sa 2FA. Ang technique na ito ay tinatawag na adversary-in-the-middle (AiTM) at ginagamit sa mga tool tulad ng Evilginx2 at Modlishka.

4. Session token theft

Kapag nag-authenticate kayo sa pamamagitan ng proxy, kinukuha ng attacker ang inyong session cookie at magagamit nila ito para manatiling naka-log in kahit na baguhin ninyo ang inyong password. Kaya nga kasama sa phishing response ang pag-revoke ng active session, hindi lang password rotation.

Ano ang talagang nakakapigil sa phishing

Hardware security key (FIDO2 / WebAuthn)

Ito ang tanging kategorya ng depensa na phishing-proof sa disenyo. Kapag nag-log in kayo gamit ang FIDO2 key, bine-verify ng key ninyo nang cryptographically ang eksaktong domain ng site na humihingi ng authentication. Ang pekeng site — kahit gaano pa kaganda tingnan — ay may ibang domain, kaya tumatanggi ang key na tumugon. Ang cryptographic handshake ay hindi lang nakakumpleto.

Nag-mandate si Google ng YubiKey para sa lahat ng 85,000+ employee noong 2017 at nag-report ng zero successful phishing attack sa mga company account sa mga sumunod na taon.

Passkey

Ang mga passkey ay consumer-friendly na evolution ng FIDO2. Ginagamit nila ang parehong domain-bound cryptography at built-in sa iOS, Android, macOS, at Windows. Kung may ginagamit kayong site na sumusuporta sa passkey, ang pag-enable ng isa ay ginagawang phishing-proof ang account na iyon.

Password manager

Ang password manager ay inyong second line of defense dahil nag-a-autofill lang ito ng credentials sa eksaktong domain kung saan nai-save ang mga ito. Kung makarating kayo sa paypaI.com (capital I) sa halip na paypal.com, tahimik na tatanggi ang manager ninyo na i-fill ang form. Ang pagtanggi na iyon ay malakas na babala na may mali.

Email at DNS filtering

Ginagamit ng mga email provider ang DMARC, SPF, at DKIM upang makita ang mga spoofed sender address. Nahuhuli ng karamihan sa mga modernong provider ang mga obvious na pagtatangka, pero nakakatakas pa rin ang mga targeted attack. I-enable ang "report phishing" button sa inyong mail client upang makatulong kayo sa pagpapabuti ng mga filter.

Mga red flag na dapat bantayan

Kapag nakatanggap kayo ng mensahe na nagsasabing mag-log in, mag-verify, o kumikilos nang may urgency:

• Urgency at banta — "Isasara ang inyong account sa loob ng 24 oras"
• Generic greeting — "Dear customer" sa halip na ang pangalan ninyo
• Look-alike domain — paypaI.com, app1e.com, secure-microsoft-login.net
• Hindi inaasahang attachment — lalo na ang .zip, .html, o .pdf na file na nagsasabing mag-log in upang makita ang mga ito
• Grammar o formatting error — nino-proofread ng mga malalaking kumpanya ang kanilang mga email
• Hindi tugmang link — i-hover ang link at suriin kung tugma ang destination sa text

Kung may hindi maganda ang pakiramdam, isara ang email. Pumunta sa site nang manual. Kung may tunay na isyu, makikita ninyo ito kapag nag-log in kayo sa inyong normal na workflow.

Ano ang gagawin kung nahulog kayo sa isa

Kumilos nang mabilis — mahalaga ang bilis dahil ginagamit ng mga attacker ang credentials sa loob ng ilang minuto.

1. Baguhin agad ang password sa ibang device (ang inyong telepono, halimbawa, kung nahulog kayo rito sa inyong laptop)
2. I-revoke ang lahat ng active session sa account settings — ito ay nagta-tanggal sa sinumang kasalukuyang gumagamit ng nakawin na session token
3. I-enable ang 2FA kung wala pa ito, at gumamit ng hardware key o passkey kung maaari
4. Suriin ang unauthorized activity — mga naipadala email, kamakailang login, pagbabago sa billing, mga bagong forwarding rule
5. Ipaalam sa apektadong institusyon kung financial o work account ito
6. Suriin ang ibang account na gumagamit ng parehong password — kahit sigurado kayo na hindi ninyo ginagamit ulit ang mga password, suriin pa rin

Ang bottom line

Umuusbong ang phishing dahil naba-bypass nito ang teknolohiya at tina-target ang mga tao. Pinagsasama ng pinakamahusay na depensa ang tatlong layer: password manager (tumanggi na mag-autofill sa maling domain), phishing-resistant 2FA (hardware key o passkey na naka-bind sa tunay na domain), at malusog na pagdududa (huwag kailanman mag-log in mula sa email link).

I-enable muna ang lahat ng tatlong ito sa inyong pinakamahalagang account — ang inyong email. Mula doon, mas nagiging ligtas ang natitira sa inyong digital na buhay.