Si të Mbroheni nga Sulmet Phishing

Çfarë është phishing-u?

Phishing-u është një sulm inxhinierie sociale ku një sulmues krijon një kopje bindëse të një sajti legjitimat — shpesh me përsosëri pixel — dhe gënjen një viktimë që të fusë kredencialet atje. Në momentin që viktima dërgon formularin, sulmusi kapërdjen emrin e përdoruesit, fjalëkalimin, dhe çdo faktor të dytë, pastaj i përdor për të marrë kontrollin e llogarisë së vërtetë brenda sekondash.

Fjala vjen nga metafora e "peshkimit" për viktima me karrem (zakonisht një email). Drejtshkrimi u ndrysua për të theksuar që sulmuesit shpesh përdorin numra telefoni (SMS phishing, ose "smishing") dhe infrastrukturë me pamje profesionale.

Pse phishing-u është ende kërcënimi #1

Shumica e shkeljes së llogarive në shkallë të gjerë sot nuk përfshijnë hacking, thyerjen e fjalëkalimeve, ose anashkalimin e enkriptimit. Ato përfshijnë një njeri që shtyp një fjalëkalim në një sajt të rremë. Phishing-u është:

• I lirë — një sulmues mund të dërgojë miliona email me koston e një VPS dhe një domain të falsifikuar
• I vështirë për t'u filtruar — kompletet moderne rrotullojnë domain, përdorin hosting legjitimat, dhe përshtaten me filtrat në kohë reale
• Efektiv — edhe përdoruesit që janë të vetëdijshëm për sigurinë bien për përpjekje të krijuara mirë dhe të synuara (spear phishing)
• I shkallëzueshëm — një phish i vetëm i suksesshëm shpesh jep akses në dhjetëra shërbime të lidhura përmes përsëritjes së fjalëkalimeve

Raporti 2024 i Verizon Data Breach Investigations zbuloi që phishing-u ishte vektori fillestar i aksesit në mbi 36% të të gjitha shkeljeve — më shumë se çdo shkak tjetër i vetëm.

Si funksionon phishing-u modern

Phishing-u ka evoluar shumë përtej email-eve "princ nigerianë" të viteve 2000. Një sulm modern phishing zakonisht përfshin:

1. Një karrem bindës

Zakonisht një email, tekst, ose mesazh në chat që krijon urgjencë ("Llogaria juaj do të pezullohet"), autoritet ("ekipi i sigurisë Microsoft"), ose kuriozitet ("Dikush ju ka etiketuar në një foto"). Spear-phishing-u e merr këtë më tej me detaje personale të marra nga LinkedIn, dump-e të shkeljeve, ose korrespondencë të mëparshme.

2. Një sajt i rremë me përsosëri pixel

Sulmuesit përdorin kompletet phishing të gatshme që klonojnë HTML, CSS, dhe JavaScript të sajtit të synuar. Shumë komplette shiten si shërbim (phishing-as-a-service), me pulla pune dhe mbështetje klientësh.

3. Një proksi në kohë reale për 2FA

Pjesa e rrezikshme: kompletet moderne nuk thjesht kapërdijnë fjalëkalimin tuaj. Ata veprojnë si një proksi man-in-the-middle që transferon gjithçka që shtypni — duke përfshirë kodin tuaj TOTP — në sajtin e vërtetë brenda sekondash, duke anashkaluar shumicën e 2FA. Kjo teknikë quhet adversary-in-the-middle (AiTM) dhe përdoret në mjete si Evilginx2 dhe Modlishka.

4. Vjedhja e token-it të seancës

Pasi të autentifikoheni përmes proksit, sulmusi kapërdjen cookie-n e seancës tuaj dhe mund ta përdorë për të qëndruar i kyçur edhe pasi të ndryshoni fjalëkalimin tuaj. Kjo është arsyeja pse përgjigjja ndaj phishing-ut përfshin gjithmonë anullimin e seancave aktive, jo thjesht rrotullimin e fjalëkalimeve.

Çka në të vërtetë ndalon phishing-un

Çelësat harduer të sigurisë (FIDO2 / WebAuthn)

Kjo është e vetmja kategori e mbrojtjes që është anti-phishing sipas dizajnit. Kur hyni me një çelës FIDO2, çelësi juaj verifikon kriptografikisht domain-in e saktë të sajtit që kërkon autentifikim. Një sajt i rremë — pa marrë parasysh sa i përsosur është vizualisht — ka një domain të ndryshëm, kështu që çelësi refuzon të përgjigjej. Protokolli kriptografik thjesht nuk kompletohet.

Google famëkeqësisht urdhëroi YubiKey për të gjithë 85,000+ punonjësit në 2017 dhe raportoi zero sulme të suksesshme phishing në llogaritë e kompanisë në vitet që pasuan.

Passkey-t

Passkey-t janë evolucioni konsumator-miqësor i FIDO2. Ata përdorin të njëjtën kriptografi të lidhur me domain dhe janë të integruar në iOS, Android, macOS, dhe Windows. Nëse një sajt që përdorni mbështet passkey-t, aktivizimi i një-it e bën atë llogari anti-phishing.

Menaxhuesit e fjalëkalimeve

Një menaxhues fjalëkalimesh është linja juaj e dytë e mbrojtjes sepse plotëson automatikisht kredencialet vetëm në domain-in e saktë ku u ruajtën. Nëse zbresni në paypaI.com (I e madhe) në vend të paypal.com, menaxhuesi juaj heshturazi refuzon të plotësojë formularin. Ai refuzim është një paralajmërim i lartë që diçka është gabim.

Filtrimi i email-it dhe DNS

Furnizuesit e email përdorin DMARC, SPF, dhe DKIM për të zbuluar adresat e dërguesit të falsifikuara. Shumica e furnizuesve modernë kapërdijnë përpjekjet e dukshme, por sulmet e synuara ende kalojnë. Aktivizoni butonat "raportoni phishing" në klientin tuaj të email-it që të ndihmoni filtrat të përmirësohen.

Sinjalet paralajmëruese që duhen vëzhguar

Kur merrni një mesazh që ju kërkon të hyni, verifikoni, ose veproni me urgjencë:

• Urgjenca dhe kërcënime — "Llogaria juaj do të mbyllet në 24 orë"
• Përshëndetje të përgjithshme — "I dashur klient" në vend të emrit tuaj
• Domain që duken njësoj — paypaI.com, app1e.com, secure-microsoft-login.net
• Bashkëngjitje të papritura — veçanërisht skedarë .zip, .html, ose .pdf që ju kërkojnë të hyni për t'i parë ato
• Gabime gramatikore ose formatimi — kompanitë e mëdha korrigjojnë email-et e tyre
• Mospërputhje e lidhjes — kaloni me miun mbi lidhjen dhe kontrolloni nëse destinacioni përputhet me tekstin

Nëse diçka nuk duket mirë, mbyllni email-in. Navigoni në sajt manualisht. Nëse ka një problem të vërtetë, do ta shihni kur të hyni përmes rrjedhës suaj normale të punës.

Çka të bëni nëse keni rënë në grackën e një-it

Veproni shpejt — shpejtësia ka rëndësi sepse sulmuesit fillojnë të përdorin kredencialet brenda minutave.

1. Ndryshoni fjalëkalimin menjëherë në një pajisje tjetër (telefonin tuaj, për shembull, nëse keni rënë në grackë në laptop)
2. Anuloni të gjitha seanset aktive në cilësimet e llogarisë — kjo ndërpret këdo që aktualisht po përdor token-at e vjedhur të seancës
3. Aktivizoni 2FA nëse nuk ishte tashmë, dhe përdorni një çelës harduer ose passkey nëse është e mundur
4. Kontrolloni për aktivitet të paautorizuar — email të dërguar, hyrje të fundit, ndryshime faturimi, rregulla të reja transferimi
5. Njoftoni institucionin e prekur nëse është një llogari financiare ose pune
6. Kontrolloni llogari të tjera që përdornin të njëjtin fjalëkalim — edhe nëse jeni të sigurt që nuk përsëritni fjalëkalimet, kontrolloni

Përfundimi

Phishing-u lulëzon sepse anashkalon teknologjinë dhe synon njerëzit. Mbrojtjet më të mira përziejnë tre shtresa: menaxhuesit e fjalëkalimeve (refuzojnë të plotësojnë automatikisht në domain të gabuar), 2FA rezistent ndaj phishing-ut (çelësa harduer ose passkey që lidhen me domain-in e vërtetë), dhe skepticizëm i shëndetshëm (asnjëherë mos hyni nga një lidhje email-i).

Aktivizoni të tre në llogarinë tuaj më të rëndësishme — email-in — së pari. Që atje, pjesa tjetër e jetës suaj dixhitale bëhet domethënësisht më e sigurt.