Kaip apsisaugoti nuo phishing atakų

Kas yra phishing?

Phishing yra socialinės inžinerijos ataka, kai piktadaris sukuria įtikinamą teisėtos svetainės kopiją — dažnai tobulą iki mažiausių detalių — ir apgaule privers auką ten įvesti prisijungimo duomenis. Vos tik auka pateikia formą, piktadaris užfiksuoja vartotojo vardą, slaptažodį ir bet kurį antrąjį faktorių, tada per kelias sekundes panaudoja juos tikrosios paskyros užvaldymui.

Žodis kyla iš „žvejybos" (fishing) metaforos — gaudyti aukas masalu (paprastai el. laišku). Rašyba pasikeitė siekiant pabrėžti, kad piktadariai dažnai naudoja telefonų numerius (SMS phishing arba „smishing") ir profesionaliai atrodančią infrastruktūrą.

Kodėl phishing vis dar yra Nr. 1 grėsmė

Daugelis šiandienių didelio masto paskyrų pažeidimų neapima programavimo, slaptažodžių laužymo ar šifravimo apėjimo. Juose dalyvauja žmogus, įvedantis slaptažodį netikroje svetainėje. Phishing yra:

• Pigus — piktadaris gali išsiųsti milijonus el. laiškų už VPS ir suklastoto domeno kainą
• Sunkiai filtruojamas — šiuolaikiniai komplektai keičia domenus, naudoja teisėtą hosting'ą ir realiu laiku prisitaiko prie filtrų
• Veiksmingas — net saugumu susirūpinę naudotojai patenka į gerai sukurtus tikslinius bandymus (spear phishing)
• Išplečiamas — vienas sėkmingas phishing dažnai suteikia prieigą prie dešimčių susijusių paslaugų per slaptažodžių pakartotinį naudojimą

2024 m. Verizon duomenų pažeidimų tyrimo ataskaita nustatė, kad phishing buvo pradinis prieigos kelias daugiau nei 36% visų pažeidimų — daugiau nei bet kuri kita atskira priežastis.

Kaip veikia šiuolaikinis phishing

Phishing išsivystė toli už 2000-ųjų „nigerijos princo" el. laiškų ribų. Šiuolaikinė phishing ataka paprastai apima:

1. Įtikinamą masalą

Paprastai el. laiškas, žinutė ar pokalbio pranešimas, kuriančios skubumą („Jūsų paskyra bus sustabdyta"), autoritetą („Microsoft saugumo komanda") arba smalsumą („Kažkas pažymėjo jus nuotraukoje"). Spear-phishing tai išplėtoja asmeninėmis detalėmis, paimtomis iš LinkedIn, pažeidimų duomenų bazių ar ankstesnės korespondencijos.

2. Tobulą netikrą svetainę

Piktadariai naudoja gatavus phishing komplektus, kurie klonuoja tikslinės svetainės HTML, CSS ir JavaScript. Daugelis komplektų parduodami kaip paslauga (phishing-as-a-service), su veikiančiomis valdymo sritimis ir klientų palaikymu.

3. Realaus laiko proxy 2FA

Pavojinga dalis: šiuolaikiniai komplektai netiesiog užfiksuoja jūsų slaptažodį. Jie veikia kaip žmogus-viduryje proxy, kuris perduoda viską, ką įvedate — įskaitant TOTP kodą — tikrajai svetainei per kelias sekundes, apeidami daugumą 2FA. Šis metodas vadinamas priešininkas-viduryje (AiTM) ir naudojamas tokiuose įrankiuose kaip Evilginx2 ir Modlishka.

4. Sesijos žetonų vagystė

Kai autentifikuojatės per proxy, piktadaris užfiksuoja jūsų sesijos slapuką ir gali jį naudoti pasilikti prisijungus net po slaptažodžio keitimo. Todėl phishing atsakas visada apima aktyvių sesijų atšaukimą, ne tik slaptažodžio sukimą.

Kas tikrai sustabdo phishing

Aparatiniai saugos raktai (FIDO2 / WebAuthn)

Tai vienintelė gynybos priemonių kategorija, kuri iš prigimties apsaugo nuo phishing. Kai prisijungiate su FIDO2 raktu, jūsų raktas kriptografiškai patikrina tikslų domeno, prašančio autentifikacijos, adresą. Netikra svetainė — kad ir kaip vizualiai tobula — turi kitokį domeną, todėl raktas atsisako reaguoti. Kriptografinis rankos paspaudimas tiesiog neužbaigiamas.

Google garsiai 2017 m. įvedė YubiKey privalomumą visiems 85 000+ darbuotojų ir pranešė apie nulį sėkmingų phishing atakų į įmonės paskyras per vėlesnius metus.

Passkey

Passkey yra vartotojams draugiška FIDO2 evoliucija. Jie naudoja tą patį domenui prisiegtą šifravimą ir yra integruoti į iOS, Android, macOS ir Windows. Jei svetainė, kurią naudojate, palaiko passkey, vieno įjungimas padaro tą paskyrą atsparią phishing.

Slaptažodžių tvarkyklės

Slaptažodžių tvarkyklė yra jūsų antra gynybos linija, nes ji automatiškai užpildo prisijungimo duomenis tik tiksliausiame domene, kur jie buvo išsaugoti. Jei pateksite į paypaI.com (didžioji I) vietoj paypal.com, jūsų tvarkyklė tyliai atsisakys užpildyti formą. Tas atsisakymas yra garsus įspėjimas, kad kažkas negerai.

El. pašto ir DNS filtravimas

El. pašto teikėjai naudoja DMARC, SPF ir DKIM aptikti suklastotus siuntėjų adresus. Dauguma šiuolaikinių teikėjų pagauna akivaizdžius bandymus, bet tikslinės atakos vis dar praslysta. Įjunkite „pranešti apie phishing" mygtukus savo pašto kliente, kad padėtumėte filtrains tobulėti.

Įspėjamieji ženklai, kurių reikia saugotis

Kai gaunate pranešimą, prašantį prisijungti, patikrinti ar skubiai veikti:

• Skubumas ir grasinimai — „Jūsų paskyra bus uždaryta per 24 valandas"
• Bendri kreipimai — „Gerb. kliente" vietoj jūsų vardo
• Panašūs domenai — paypaI.com, app1e.com, secure-microsoft-login.net
• Netikėti priedai — ypač .zip, .html ar .pdf failai, prašantys prisijungti juos peržiūrėti
• Gramatikos ar formatavimo klaidos — didžiosios įmonės korektūruoja savo el. laiškus
• Nuorodos neatitikimas — užveskite ant nuorodos ir patikrinkite, ar paskirties vieta atitinka tekstą

Jei kažkas atrodo keistai, uždarykite el. laišką. Pereikite į svetainę rankiniu būdu. Jei yra tikra problema, pamatysite ją prisijungę per savo įprastą darbo eigą.

Ką daryti, jei patekote į spąstus

Veikite greitai — greitis svarbus, nes piktadariai pradeda naudoti prisijungimo duomenis per kelias minutes.

1. Nedelsiant pakeiskite slaptažodį kitu įrenginiu (pavyzdžiui, telefonu, jei patekote į spąstus nešiojamajame kompiuteryje)
2. Atšaukite visas aktyvias sesijas paskyros nustatymuose — tai išmes visus, kurie šiuo metu naudoja pavogtos sesijos žetonus
3. Įjunkite 2FA, jei dar nebuvo įjungta, ir naudokite aparatinį raktą ar passkey, jei įmanoma
4. Patikrinkite dėl neleistinos veiklos — išsiųstų el. laiškų, paskutinių prisijungimų, sąskaitų keitimų, naujų persiuntimo taisyklių
5. Informuokite paveiktą instituciją, jei tai finansinė ar darbo paskyra
6. Patikrinkite kitas paskyras, kurios naudojo tą patį slaptažodį — net jei esate tikri, kad nenaudojate slaptažodžių pakartotinai, patikrinkite

Išvada

Phishing klesti, nes aplenkia technologijas ir taiko žmones. Geriausios gynybos priemonės sujungia tris lygius: slaptažodžių tvarkykles (atsisako automatiškai užpildyti netinkamuose domenuose), phishing atsparias 2FA (aparatiniai raktai ar passkey, kurie siejami su tikruoju domenu), ir sveiką skepticizmą (niekada neprisijunkite per el. pašto nuorodą).

Įjunkite visus tris svarbiausiai paskyroi — jūsų el. paštui — pirma. Nuo to jūsų skaitmeninis gyvenimas taps žymiai saugesnis.