Phishing ആക്രമണങ്ങളിൽ നിന്ന് എങ്ങനെ സ്വയം സംരക്ഷിക്കാം

Phishing എന്താണ്?

Phishing ഒരു സോഷ്യൽ എഞ്ചിനിയറിംഗ് ആക്രമണമാണ്, അവിടെ ആക്രമണകാരൻ നിയമാനുസൃത വെബ്‌സൈറ്റിന്റെ ബോധ്യപ്പെടുത്തുന്ന കോപ്പി സൃഷ്ടിക്കുന്നു — പലപ്പോഴും പിക്‌സൽ-പെർഫെക്റ്റ് — കൂടാതെ ഇരയെ അവിടെ ക്രെഡൻഷ്യലുകൾ എന്റർ ചെയ്യാൻ വഞ്ചിക്കുന്നു. ഇര ഫോം submit ചെയ്യുന്ന നിമിഷത്തിൽ, ആക്രമണകാരൻ ഉപയോക്തൃനാമം, പാസ്‌വേഡ്, ഏതെങ്കിലും രണ്ടാം ഘടകം എന്നിവ പിടിച്ചെടുക്കുന്നു, തുടർന്ന് സെക്കന്റുകൾക്കുള്ളിൽ യഥാർത്ഥ അക്കൗണ്ട് ഏറ്റെടുക്കാൻ അവ ഉപയോഗിക്കുന്നു.

ഈ വാക്ക് "ബാറ്റ്" (സാധാരണയായി ഒരു ഇമെയിൽ) ഉപയോഗിച്ച് ഇരകൾക്കായി "fishing" ചെയ്യുന്ന രൂപകത്തിൽ നിന്നാണ് വന്നത്. ആക്രമണകാരികൾ പലപ്പോഴും phone നമ്പറുകൾ (SMS phishing, അല്ലെങ്കിൽ "smishing") ഉം പ്രൊഫഷണൽ-കാണപ്പെടുന്ന അടിസ്ഥാന സൗകര്യങ്ങളും ഉപയോഗിക്കുന്നു എന്ന് ഊന്നിപ്പറയാൻ spelling മാറ്റി.

എന്തുകൊണ്ട് phishing ഇപ്പോഴും ഒന്നാം നമ്പർ ഭീഷണിയാണ്

ഇന്നത്തെ മിക്ക വലിയ തോതിലുള്ള അക്കൗണ്ട് ലംഘനങ്ങളും ഹാക്കിംഗ്, പാസ്‌വേഡുകൾ ക്രാക്കിംഗ്, അല്ലെങ്കിൽ encryption മറികടക്കൽ എന്നിവ ഉൾപ്പെടുന്നില്ല. അവയിൽ ഒരു മനുഷ്യൻ വ്യാജ സൈറ്റിൽ പാസ്‌വേഡ് ടൈപ്പ് ചെയ്യുന്നത് ഉൾപ്പെടുന്നു. Phishing എന്നത്:

• വിലകുറഞ്ഞത് — ഒരു ആക്രമണകാരന് VPS-ന്റെയും spoofed ഡൊമെയിന്റെയും വിലയ്ക്ക് ദശലക്ഷക്കണക്കിന് ഇമെയിലുകൾ അയയ്ക്കാൻ കഴിയും
• ഫിൽട്ടർ ചെയ്യാൻ പ്രയാസം — ആധുനിക കിറ്റുകൾ ഡൊമെയിനുകൾ ആവർത്തിക്കുകയും നിയമാനുസൃത ഹോസ്റ്റിംഗ് ഉപയോഗിക്കുകയും തത്സമയത്തിൽ ഫിൽട്ടറുകളുമായി പൊരുത്തപ്പെടുകയും ചെയ്യുന്നു
• ഫലപ്രദം — സെക്യൂരിറ്റി-അവബോധമുള്ള ഉപയോക്താക്കൾ പോലും നന്നായി രൂപകൽപ്പന ചെയ്ത ടാർഗെറ്റഡ് ശ്രമങ്ങൾക്ക് (spear phishing) വീഴുന്നു
• സ്കേലബിൾ — ഒറ്റ വിജയകരമായ phish പലപ്പോഴും പാസ്‌വേഡ് പുനരുപയോഗത്തിലൂടെ ഡസൻ കണക്കിന് കണക്റ്റുചെയ്ത സേവനങ്ങളിലേക്ക് പ്രവേശനം നൽകുന്നു

2024 Verizon Data Breach Investigations Report കണ്ടെത്തിയത് 36%-ത്തിലധികം എല്ലാ ലംഘനങ്ങളിലും phishing പ്രാരംഭ പ്രവേശന വെക്റ്ററായിരുന്നു — മറ്റേതൊരു ഒറ്റ കാരണത്തേക്കാളും കൂടുതൽ.

ആധുനിക phishing എങ്ങനെ പ്രവർത്തിക്കുന്നു

Phishing 2000-കളിലെ "Nigerian prince" ഇമെയിലുകൾക്കപ്പുറം വളരെയധികം പരിണമിച്ചിട്ടുണ്ട്. ഒരു ആധുനിക phishing ആക്രമണത്തിൽ സാധാരണയായി ഇവ ഉൾപ്പെടുന്നു:

1. ബോധ്യപ്പെടുത്തുന്ന ഒരു ചൂണ്ട

സാധാരണയായി അടിയന്തിരത ("നിങ്ങളുടെ അക്കൗണ്ട് suspend ചെയ്യപ്പെടും"), അധികാരം ("Microsoft സെക്യൂരിറ്റി ടീം"), അല്ലെങ്കിൽ കൗതുകം ("ഒരാൾ നിങ്ങളെ ഒരു ഫോട്ടോയിൽ ടാഗ് ചെയ്തിട്ടുണ്ട്") സൃഷ്ടിക്കുന്ന ഇമെയിൽ, ടെക്‌സ്റ്റ്, അല്ലെങ്കിൽ ചാറ്റ് സന്ദേശം. Spear-phishing ഇത് LinkedIn, breach dumps, അല്ലെങ്കിൽ മുൻ കത്തിടപാടുകളിൽ നിന്ന് ശേഖരിച്ച വ്യക്തിഗത വിശദാംശങ്ങളുമായി കൂടുതൽ മുന്നോട്ട് കൊണ്ടുപോകുന്നു.

2. പിക്‌സൽ-പെർഫെക്റ്റ് വ്യാജ സൈറ്റ്

ആക്രമണകാരികൾ ടാർഗെറ്റ് സൈറ്റിന്റെ HTML, CSS, JavaScript എന്നിവ ക്ലോൺ ചെയ്യുന്ന ഓഫ്-ദി-ഷെൽഫ് phishing കിറ്റുകൾ ഉപയോഗിക്കുന്നു. പല കിറ്റുകളും service-ആയി (phishing-as-a-service) വിൽക്കപ്പെടുന്നു, പ്രവർത്തിക്കുന്ന dashboard-കളും customer support-ഉം ഉണ്ട്.

3. 2FA-യ്ക്കുള്ള തത്സമയ പ്രോക്സി

അപകടകരമായ ഭാഗം: ആധുനിക കിറ്റുകൾ നിങ്ങളുടെ പാസ്‌വേഡ് മാത്രം പിടിച്ചെടുക്കുന്നില്ല. അവ നിങ്ങൾ ടൈപ്പ് ചെയ്യുന്നതെല്ലാം — നിങ്ങളുടെ TOTP കോഡ് ഉൾപ്പെടെ — സെക്കന്റുകൾക്കുള്ളിൽ യഥാർത്ഥ സൈറ്റിലേക്ക് ഫോർവേഡ് ചെയ്യുന്ന man-in-the-middle proxy ആയി പ്രവർത്തിക്കുകയും മിക്ക 2FA-യും മറികടക്കുകയും ചെയ്യുന്നു. ഈ സാങ്കേതികത adversary-in-the-middle (AiTM) എന്ന് വിളിക്കപ്പെടുന്നു, Evilginx2, Modlishka പോലുള്ള ടൂളുകളിൽ ഉപയോഗിക്കപ്പെടുന്നു.

4. സെഷൻ ടോക്കൺ മോഷണം

നിങ്ങൾ പ്രോക്സിയിലൂടെ authenticate ചെയ്യുമ്പോൾ, ആക്രമണകാരൻ നിങ്ങളുടെ session cookie പിടിച്ചെടുക്കുകയും നിങ്ങൾ പാസ്‌വേഡ് മാറ്റിയതിനുശേഷവും ലോഗിൻ ചെയ്ത നിലയിൽ നിലനിൽക്കാൻ അത് ഉപയോഗിക്കുകയും ചെയ്യാം. അതുകൊണ്ടാണ് phishing പ്രതികരണത്തിൽ പാസ്‌വേഡ് റൊട്ടേഷൻ മാത്രമല്ല, സജീവ സെഷനുകൾ revoke ചെയ്യലും എപ്പോഴും ഉൾപ്പെടുന്നത്.

യഥാർത്ഥത്തിൽ phishing തടയുന്നത്

ഹാർഡ്‌വെയർ സെക്യൂരിറ്റി കീകൾ (FIDO2 / WebAuthn)

ഇത് രൂപകൽപ്പനാപരമായി phishing-പ്രൂഫ് ആയ പ്രതിരോധത്തിന്റെ ഏക വിഭാഗമാണ്. നിങ്ങൾ FIDO2 കീ ഉപയോഗിച്ച് ലോഗിൻ ചെയ്യുമ്പോൾ, നിങ്ങളുടെ കീ authentication അഭ്യർത്ഥിക്കുന്ന സൈറ്റിന്റെ കൃത്യമായ ഡൊമെയിൻ cryptographically സാക്ഷ്യപ്പെടുത്തുന്നു. വ്യാജ സൈറ്റ് — എത്ര കാഴ്ചയിൽ പെർഫെക്റ്റ് ആയാലും — വ്യത്യസ്ത ഡൊമെയിനുണ്ട്, അതിനാൽ കീ പ്രതികരിക്കാൻ വിസമ്മതിക്കുന്നു. Cryptographic handshake ലളിതമായി പൂർത്തിയാകുന്നില്ല.

Google പ്രസിദ്ധമായി 2017-ൽ എല്ലാ 85,000+-ാമത്തെ ജീവനക്കാർക്കും YubiKey-കൾ നിർബന്ധമാക്കി കൂടാതെ അതിനുശേഷമുള്ള വർഷങ്ങളിൽ കമ്പനി അക്കൗണ്ടുകളിൽ വിജയകരമായ phishing ആക്രമണങ്ങൾ പൂജ്യം റിപ്പോർട്ട് ചെയ്തു.

Passkey-കൾ

Passkey-കൾ FIDO2-ന്റെ കൺസ്യൂമർ-ഫ്രണ്ട്‌ലി പരിണാമമാണ്. അവ ഇതേ ഡൊമെയിൻ-bound cryptography ഉപയോഗിക്കുന്നു കൂടാതെ iOS, Android, macOS, Windows എന്നിവയിൽ ബിൽറ്റ്-ഇൻ ആണ്. നിങ്ങൾ ഉപയോഗിക്കുന്ന സൈറ്റ് passkey-കളെ പിന്തുണയ്ക്കുന്നുവെങ്കിൽ, ഒന്ന് enable ചെയ്യുന്നത് ആ അക്കൗണ്ടിനെ phishing-പ്രൂഫ് ആക്കുന്നു.

Password manager-കൾ

Password manager നിങ്ങളുടെ രണ്ടാം പ്രതിരോധ നിരയാണ് കാരണം അത് അവ സേവ് ചെയ്ത കൃത്യമായ ഡൊമെയിനിൽ മാത്രമേ ക്രെഡൻഷ്യലുകൾ autofill ചെയ്യുന്നുള്ളൂ. നിങ്ങൾ paypal.com-ന് പകരം paypaI.com (capital I)-ൽ എത്തിയാൽ, നിങ്ങളുടെ manager നിശബ്ദമായി ഫോം പൂരിപ്പിക്കാൻ വിസമ്മതിക്കുന്നു. ആ വിസമ്മതി എന്തോ തെറ്റ് എന്നതിന്റെ ഉച്ചത്തിലുള്ള മുന്നറിയിപ്പാണ്.

ഇമെയിൽ, DNS ഫിൽട്ടറിംഗ്

ഇമെയിൽ ദാതാക്കൾ spoofed അയച്ചയാളുടെ വിലാസങ്ങൾ കണ്ടെത്താൻ DMARC, SPF, DKIM ഉപയോഗിക്കുന്നു. മിക്ക ആധുനിക ദാതാക്കളും വ്യക്തമായ ശ്രമങ്ങൾ പിടിക്കുന്നു, എന്നാൽ ടാർഗെറ്റഡ് ആക്രമണങ്ങൾ ഇപ്പോഴും കടന്നുവരുന്നു. ഫിൽട്ടറുകൾ മെച്ചപ്പെടാൻ സഹായിക്കുന്നതിനായി നിങ്ങളുടെ മെയിൽ ക്ലയന്റിൽ "report phishing" ബട്ടണുകൾ enable ചെയ്യുക.

ശ്രദ്ധിക്കേണ്ട മുന്നറിയിപ്പ് സിഗ്നലുകൾ

ലോഗിൻ ചെയ്യാൻ, verify ചെയ്യാൻ, അല്ലെങ്കിൽ അടിയന്തിരമായി പ്രവർത്തിക്കാൻ ആവശ്യപ്പെടുന്ന സന്ദേശം നിങ്ങൾക്ക് ലഭിക്കുമ്പോൾ:

• അടിയന്തിരത, ഭീഷണികൾ — "24 മണിക്കൂറിനുള്ളിൽ നിങ്ങളുടെ അക്കൗണ്ട് അടച്ചുകളയും"
• പൊതുവായ സംബോധനകൾ — നിങ്ങളുടെ പേരിന് പകരം "പ്രിയ കസ്റ്റമർ"
• Look-alike ഡൊമെയിനുകൾ — paypaI.com, app1e.com, secure-microsoft-login.net
• അപ്രതീക്ഷിത അറ്റാച്ച്‌മെന്റുകൾ — പ്രത്യേകിച്ച് .zip, .html, അല്ലെങ്കിൽ .pdf ഫയലുകൾ കാണാൻ ലോഗിൻ ചെയ്യാൻ ആവശ്യപ്പെടുന്നവ
• വ്യാകരണം അല്ലെങ്കിൽ ഫോർമാറ്റിംഗ് പിശകുകൾ — വലിയ കമ്പനികൾ അവരുടെ ഇമെയിലുകൾ പ്രൂഫ്റീഡ് ചെയ്യുന്നു
• ലിങ്ക് പൊരുത്തക്കേട് — ലിങ്ക് hover ചെയ്ത് destination ടെക്‌സ്റ്റുമായി പൊരുത്തപ്പെടുന്നുണ്ടോ എന്ന് പരിശോധിക്കുക

എന്തെങ്കിലും അസ്വാഭാവികമായി തോന്നിയാൽ, ഇമെയിൽ അടയ്ക്കുക. സൈറ്റിലേക്ക് നേരിട്ട് നാവിഗേറ്റ് ചെയ്യുക. യഥാർത്ഥ പ്രശ്‌നമുണ്ടെങ്കിൽ, നിങ്ങളുടെ സാധാരണ വർക്ക്‌ഫ്ലോയിലൂടെ ലോഗിൻ ചെയ്യുമ്പോൾ അത് കാണാം.

നിങ്ങൾ ഒന്നിൽ കുടുങ്ങിയെങ്കിൽ എന്ത് ചെയ്യണം

വേഗം പ്രവർത്തിക്കുക — ആക്രമണകാരികൾ മിനിറ്റുകൾക്കുള്ളിൽ ക്രെഡൻഷ്യലുകൾ ഉപയോഗിക്കാൻ തുടങ്ങുന്നതിനാൽ വേഗത പ്രധാനമാണ്.

1. വ്യത്യസ്ത ഉപകരണത്തിൽ പാസ്‌വേഡ് ഉടനെ മാറ്റുക (ഉദാഹരണത്തിന്, നിങ്ങൾ ലാപ്‌ടോപ്പിൽ കുടുങ്ങിയാൽ നിങ്ങളുടെ ഫോൺ)
2. അക്കൗണ്ട് ക്രമീകരണങ്ങളിൽ എല്ലാ സജീവ സെഷനുകളും revoke ചെയ്യുക — ഇത് മോഷ്ടിച്ച session ടോക്കണുകൾ ഉപയോഗിക്കുന്ന ആരെയും പുറത്താക്കുന്നു
3. അത് ഇതിനകം ഓണല്ലെങ്കിൽ 2FA enable ചെയ്യുക, സാധ്യമെങ്കിൽ hardware കീ അല്ലെങ്കിൽ passkey ഉപയോഗിക്കുക
4. അനധികൃത പ്രവർത്തനത്തിനായി പരിശോധിക്കുക — അയച്ച ഇമെയിലുകൾ, സമീപകാല ലോഗിനുകൾ, ബിൽലിംഗ് മാറ്റങ്ങൾ, പുതിയ ഫോർവേഡിംഗ് റൂളുകൾ
5. സാമ്പത്തിക അല്ലെങ്കിൽ ജോലിയുടെ അക്കൗണ്ടാണെങ്കിൽ ബാധിത സ്ഥാപനത്തെ അറിയിക്കുക
6. അതേ പാസ്‌വേഡ് ഉപയോഗിച്ച മറ്റ് അക്കൗണ്ടുകൾ പരിശോധിക്കുക — നിങ്ങൾ പാസ്‌വേഡുകൾ പുനരുപയോഗിക്കുന്നില്ലെന്ന് ഉറപ്പാണെങ്കിലും, പരിശോധിക്കുക

സാരാംശം

Phishing തഴച്ചുവളരുന്നത് സാങ്കേതികവിദ്യയെ മറികടന്ന് മനുഷ്യരെ ലക്ഷ്യമിടുന്നതുകൊണ്ടാണ്. മികച്ച പ്രതിരോധങ്ങൾ മൂന്ന് പാളികൾ കൂടിച്ചേർക്കുന്നു: password manager-കൾ (തെറ്റായ ഡൊമെയിനുകളിൽ autofill ചെയ്യാൻ വിസമ്മതിക്കുന്നു), phishing-പ്രതിരോധ 2FA (യഥാർത്ഥ ഡൊമെയിനുമായി bind ചെയ്യുന്ന hardware കീകൾ അല്ലെങ്കിൽ passkey-കൾ), ആരോഗ്യകരമായ സംശയം (ഒരിക്കലും ഇമെയിൽ ലിങ്കിൽ നിന്ന് ലോഗിൻ ചെയ്യരുത്).

നിങ്ങളുടെ ഏറ്റവും പ്രധാനപ്പെട്ട അക്കൗണ്ടായ — നിങ്ങളുടെ ഇമെയിൽ — ആദ്യം മൂന്നും enable ചെയ്യുക. അവിടെ നിന്ന്, നിങ്ങളുടെ ഡിജിറ്റൽ ജീവിതത്തിന്റെ ബാക്കി ഭാഗം അർത്ഥപൂർണ്ണമായി സുരക്ഷിതമാകുന്നു.