Kako se zaščititi pred phishing napadi

Kaj je phishing?

Phishing je napad družbenega inženirstva, kjer napadalec ustvari prepričljivo kopijo legitimne spletne strani — pogosto popolno natančno — in prelisiči žrtev, da tam vnese poverilnice. Takoj ko žrtev pošlje obrazec, napadalec zajame uporabniško ime, geslo in kateri koli drugi faktor, nato pa jih v nekaj sekundah uporabi za prevzem pravega računa.

Beseda izhaja iz metafore "ribolova" za žrtve z vabo (običajno elektronska pošta). Črkovanje se je spremenilo, da poudari dejstvo, da napadalci pogosto uporabljajo telefonske številke (SMS phishing ali "smishing") in profesionalno vidvidno infrastrukturo.

Zakaj je phishing še vedno grožnja št. 1

Večina velikih vdorov v račune danes ne vključuje vlamljanja, lomljenja gesel ali obidenja šifriranja. Vključuje človeka, ki vtipka geslo v lažno stran. Phishing je:

• Poceni — napadalec lahko pošlje milijone elektronskih sporočil za ceno VPS-a in ponarejene domene
• Težko filtrirat — sodobni kompleti menjajo domene, uporabljajo legitimno gostovanje in se prilagajajo filtrom v realnem času
• Učinkovit — celo uporabniki, ki se zavedajo varnosti, naletijo na dobro izdelane ciljne poskuse (spear phishing)
• Skalabilen — en uspešen phish pogosto prinese dostop do deset povezanih storitev preko ponovne uporabe gesel

Poročilo Verizon Data Breach Investigations Report 2024 je ugotovilo, da je bil phishing začetni dostopni vektor v več kot 36% vseh vdorov — več kot katerikoli drug posamezen vzrok.

Kako deluje sodoben phishing

Phishing se je razvil daleč prek elektronskih sporočil "nigerijske prince" iz 2000-ih. Sodoben phishing napad običajno vključuje:

1. Prepričljiva vaba

Običajno elektronska pošta, besedilo ali sporočilo v klepetalnici, ki ustvarja nujnost ("vaš račun bo suspendiran"), avtoriteto ("Microsoftova varnostna ekipa") ali radovednost ("nekdo vas je označil na fotografiji"). Spear-phishing gre korak dlje z osebnimi podrobnostmi, vlečenimi z LinkedIna, vdornih skladišč ali prejšnjega dopisovanja.

2. Popolno natančna lažna stran

Napadalci uporabljajo gotove phishing kompleti, ki klonirajo HTML, CSS in JavaScript ciljne strani. Mnogi kompleti se prodajajo kot storitev (phishing-as-a-service), z delovnimi nadzornimi ploščami in podporo strankami.

3. Proxy v realnem času za 2FA

Nevaren del: sodobni kompleti ne zajamejo samo vašega gesla. Delujejo kot man-in-the-middle proxy, ki posreduje vse, kar vnesete — vključno z vašo TOTP kodo — na pravo stran v nekaj sekundah, obidoč večino 2FA. Ta tehnika se imenuje adversary-in-the-middle (AiTM) in se uporablja v orodjih kot sta Evilginx2 in Modlishka.

4. Kraja žetonov seje

Ko se overite prek proxyja, napadalec zajame vaš piškotek seje in ga lahko uporabi za ostajanje prijavljenega tudi po tem, ko spremenite geslo. Zato odgovor na phishing vedno vključuje preklic aktivnih sej, ne samo rotacijo gesla.

Kar dejansko ustavi phishing

Strojni varnostni ključi (FIDO2 / WebAuthn)

To je edina kategorija obrambe, ki je po zasnovi odporna na phishing. Ko se prijavite s FIDO2 ključem, vaš ključ kriptografsko preveri točno domeno strani, ki zahteva preverjanje pristnosti. Lažna stran — ne glede na to, kako vizualno popolna — ima drugo domeno, zato ključ odkloni odgovor. Kriptografski rokovanje se preprosto ne zaključi.

Google je leta 2017 znano zahteval YubiKeys za vseh več kot 85.000 zaposlenih in poročal o nič uspešnih phishing napadih na službene račune v letih od takrat.

Passkeys

Passkeys so potrošniško prijazna evolucija FIDO2. Uporabljajo isto kriptografijo, vezano na domeno, in so vgrajeni v iOS, Android, macOS in Windows. Če stran, ki jo uporabljate, podpira passkeys, omogočanje enega naredi ta račun odporen na phishing.

Upravljalci gesel

Upravljalec gesel je vaša druga obrambna linija, ker samodejno izpolnjuje poverilnice samo na točni domeni, kjer so bile shranjene. Če pristanete na paypaI.com (velika I) namesto paypal.com, vaš upravljalec tiho odkloni izpolnitev obrazca. Ta odklonitev je glasno opozorilo, da nekaj ni v redu.

Filtriranje elektronske pošte in DNS

Ponudniki elektronske pošte uporabljajo DMARC, SPF in DKIM za zaznavanje ponarejenih naslovov pošiljateljev. Večina sodobnih ponudnikov ujame očitne poskuse, vendar ciljni napadi še vedno uidejo. Omogočite gumbe "prijavi phishing" v vašem poštnem odjemalcu, tako da pomagate izboljšati filtre.

Opozorilni znaki za paziti

Ko prejmete sporočilo, ki vas prosi, da se prijavite, preverite ali ukrepajte nujno:

• Nujnost in grožnje — "vaš račun bo zaprt v 24 urah"
• Splošni pozdravi — "dragi kupec" namesto vašega imena
• Podobne domene — paypaI.com, app1e.com, secure-microsoft-login.net
• Nepričakovane priponke — posebej .zip, .html ali .pdf datoteke, ki vas prosijo, da se prijavite za ogled
• Slovnične ali oblikovne napake — velika podjetja pregledajo svoja elektronska sporočila
• Neujemanje povezav — ustavite se z miško nad povezavo in preverite, ali se cilj ujema z besedilom

Če se karkoli zdi narobe, zaprite elektronsko pošto. Pojdite na stran ročno. Če obstaja resen problem, ga boste videli, ko se prijavite prek običajnega delovnega toka.

Kaj narediti, če ste naleteli na enega

Ukrepajte hitro — hitrost je pomembna, ker napadalci začnejo uporabljati poverilnice v nekaj minutah.

1. Takoj spremenite geslo na drugi napravi (na primer vaš telefon, če ste naleteli na napako na prenosnem računaliku)
2. Preklicajte vse aktivne seje v nastavitvah računa — to izvrže vsakogar, ki trenutno uporablja ukradene žetone seje
3. Omogočite 2FA, če že ni bilo vklopljeno, in če možno uporabite strojni ključ ali passkey
4. Preverite za nepooblaščeno aktivnost — poslana elektronska sporočila, nedavne prijave, spremembe računa, nova pravila posredovanja
5. Obvestite prizadeto institucijo, če gre za finančni ali službeni račun
6. Preverite druge račune, ki so uporabljali isto geslo — tudi če ste prepričani, da ne uporabljate gesel ponovno, preverite

Zaključek

Phishing uspeva, ker obide tehnologijo in cilja na ljudi. Najboljše obrambe mešajo tri plasti: upravljalce gesel (odkloni samodejno izpolnjevanje na napačnih domenah), phishing-odporen 2FA (strojni ključi ali passkeys, ki se povežejo z pravo domeno), in zdravo skeptičnost (nikoli se ne prijavite prek povezave v elektronski pošti).

Omogočite vse tri na vašem najpomembnejšem računu — vaši elektronski pošti — najprej. Od tam naprej postane preostalo digitalno življenje bistveno varnejše.