Hvernig á að vernda sig gegn phishing árásum

Hvað er phishing?

Phishing er félagsleg verkfræðiárás þar sem árásarmaður býr til sannfærandi afrit af lögmætri vefsíðu — oft píxel-nákvæmt — og blekkir fórnarlamb til að slá inn innskráningarupplýsingar þar. Um leið og fórnarlamb sendir inn eyðublaðið fangar árásarmaðurinn notandanafnið, lykilorðið og alla aðra þætti, síðan notar þau til að taka yfir raunverulega reikninginn innan sekúndna.

Orðið kemur frá samlíkingunni við að "veiða" fórnarlamb með beitu (venjulega tölvupóstur). Stafsetningin breyttist til að leggja áhersla á að árásarmenn nota oft símanúmer (SMS phishing, eða "smishing") og fagmannlega innviði.

Hvers vegna phishing er enn númer 1 ógnin

Flest stórfelld brot á reikningum í dag fela ekki í sér hakk, lykilorðabrot eða að komast framhjá dulritun. Þau fela í sér að manneskja slái inn lykilorð á falsa síðu. Phishing er:

• Ódýrt — árásarmaður getur sent milljónir tölvupósta fyrir kostnað af VPS og falsað lén
• Erfitt að sía — nútíma tól snúa lénum, nota lögmæta hýsingu og aðlaga sig að síum í rauntíma
• Árangursríkt — jafnvel öryggismeðvitaðir notendur falla fyrir vel gerðum miðuðum tilraunum (spear phishing)
• Stigstærðarhæft — ein árangursrík phishing tilraun gefur oft aðgang að tugum tengdra þjónusta í gegnum endurnýtingu lykilorða

2024 Verizon Data Breach Investigations Report komst að því að phishing var upphaflegi aðgangsvektorinn í yfir 36% allra brota — meira en nokkur önnur einstök orsök.

Hvernig nútíma phishing virkar

Phishing hefur þróast langt framhjá "nígeríska prinsinum" tölvupóstunum frá 2000. Nútíma phishing árás inniheldur venjulega:

1. Sannfærandi beita

Venjulega tölvupóstur, texti eða spjallskilaboð sem skapa brýnt eðli ("Reikningurinn þinn verður stöðvaður"), yfirvald ("Microsoft öryggisliði") eða forvitni ("Einhver merkti þig í mynd"). Spear-phishing fer lengra með persónulegum upplýsingum sem dregnar eru af LinkedIn, brotgagnagrunnur eða fyrri samskiptum.

2. Píxel-nákvæm falsk síða

Árásarmenn nota tilbúin phishing tól sem afrita HTML, CSS og JavaScript marksíðunnar. Mörg tól eru seld sem þjónusta (phishing-as-a-service), með virkum stjórnborðum og þjónustuver.

3. Rauntíma proxy fyrir 2FA

Hættulegi hlutinn: nútíma tól fanga ekki bara lykilorðið þitt. Þau virka sem mann-í-miðjunni proxy sem áframsendir allt sem þú slærð inn — þar á meðal TOTP kóðann þinn — á raunverulegu síðuna innan sekúndna og kemst framhjá flestum 2FA. Þessi tækni er kölluð adversary-in-the-middle (AiTM) og er notuð í tólum eins og Evilginx2 og Modlishka.

4. Session token þjófnaður

Þegar þú auðkennir þig í gegnum proxy-þjóninn fangar árásarmaðurinn session cookie-ið þitt og getur notað það til að vera áfram innskráður jafnvel eftir að þú breytir lykilorðinu þínu. Þess vegna felur phishing viðbrögð alltaf í sér að afturkalla virkar tengingar, ekki bara lykilorðaskipti.

Það sem stoppar í raun phishing

Vélbúnaðar öryggislyklar (FIDO2 / WebAuthn)

Þetta er eini varnaflokkurinn sem er phishing-þolinn samkvæmt hönnun. Þegar þú skráir þig inn með FIDO2 lykli staðfestir lykillinn þinn dulritunarfræðilega nákvæmt lén síðunnar sem biður um auðkenningu. Falsk síða — sama hversu sjónrænt fullkomin — hefur annað lén, svo lykillinn neitar að svara. Dulritunarfræðilegur handtaki klárast einfaldlega ekki.

Google krafðist þekktur YubiKeys fyrir alla 85,000+ starfsmenn árið 2017 og tilkynnti núll árangursríkar phishing árásir á fyrirtækjareikninga á árunum síðan.

Passkeys

Passkeys eru neytendavæna þróun FIDO2. Þeir nota sömu lén-bundnu dulritunarfræði og eru byggð inn í iOS, Android, macOS og Windows. Ef síða sem þú notar styður passkeys gerir virkjun eins þann reikning phishing-þolinn.

Lykilorðastjórar

Lykilorðastjóri er önnur varnarlína þín því hann fyllir aðeins út innskráningarupplýsingar á nákvæma léninu þar sem þær voru vistaðar. Ef þú lendir á paypaI.com (stórt I) í stað paypal.com neitar stjórinn þinn þögult að fylla út eyðublaðið. Sú neitun er hávaðasöm viðvörun um að eitthvað sé að.

Tölvupóstur og DNS síun

Tölvupóstþjónustuveitendur nota DMARC, SPF og DKIM til að greina falsaða sendandavistföng. Flestir nútíma veitendur grípa augljósu tilraunirnar en miðaðar árásir komast enn í gegn. Virkjaðu "tilkynna phishing" takka í póstforritinu þínu svo þú hjálpir síunum að batna.

Viðvörunarmerki til að passa upp á

Þegar þú færð skilaboð sem biðja þig um að skrá þig inn, staðfesta eða bregðast brýnt við:

• Brýnt eðli og ógnir — "Reikningurinn þinn verður lokaður innan 24 klukkustunda"
• Almenn kveðjuorð — "Kæri viðskiptavinur" í stað nafnsins þíns
• Líkleg lén — paypaI.com, app1e.com, secure-microsoft-login.net
• Óvænt viðhengi — sérstaklega .zip, .html eða .pdf skrár sem biðja þig um að skrá þig inn til að skoða þær
• Málfræði eða snið villur — stór fyrirtæki prófa tölvupósta sína
• Tengla misræmi — farðu með músina yfir tengilinn og athugaðu hvort áfangastaðurinn passi við textann

Ef eitthvað finnst af, lokaðu tölvupóstinum. Farðu á síðuna handvirkt. Ef það er raunverulegt vandamál muntu sjá það þegar þú skráir þig inn í gegnum venjulegt vinnuflæði þitt.

Hvað á að gera ef þú fellur fyrir einu

Bregðist hratt við — hraði skiptir máli því árásarmenn byrja að nota innskráningarupplýsingar innan mínútna.

1. Skiptu um lykilorð strax á öðru tæki (símanum þínum, til dæmis, ef þú fellur fyrir því á fartölvunni)
2. Afturkallaðu allar virkar tengingar í reikningsstillingunum — þetta sparkar út hvern sem er að nota stolin session token
3. Virkjaðu 2FA ef það var ekki þegar kveikt og notaðu vélbúnaðarlykil eða passkey ef mögulegt
4. Athugaðu óheimilaða virkni — sent tölvupóstar, nýlegar innskráningar, reikningsbreytingar, ný áframsendingarreglur
5. Tilkynnaðu viðkomandi stofnun ef þetta er fjárhags- eða vinnureikningur
6. Athugaðu aðra reikninga sem notuðu sama lykilorð — jafnvel þótt þú sért viss um að þú endurnýtir ekki lykilorð skaltu athuga

Niðurstaðan

Phishing dafnar vegna þess að það kemst framhjá tækni og miðar á menn. Bestu varnir blanda þremur lögum: lykilorðastjórar (neita að fylla út sjálfkrafa á röngum lénum), phishing-þolið 2FA (vélbúnaðarlyklar eða passkeys sem bindast við raunverulega lénið) og heilbrigt efasemdir (skráðu þig aldrei inn frá tölvupósttengli).

Virkjaðu öll þrjú á mikilvægasta reikningnum þínum — tölvupóstinum þínum — fyrst. Þaðan verður restin af stafræna lífinu þínu verulega öruggara.