Paano Protektahan ang Inyong Sarili sa mga Phishing Attack

Ano ang phishing?

Ang phishing ay isang social engineering attack kung saan gumagawa ang attacker ng nakakumbinsing kopya ng lehitimong website — kadalasang pixel-perfect — at niloloko ang biktima na maglagay ng credentials doon. Sa sandaling mag-submit ang biktima ng form, makakakuha ang attacker ng username, password, at anumang second factor, pagkatapos ay gagamitin ito para sakupin ang tunay na account sa loob ng ilang segundo.

Ang salita ay nanggaling sa metaphor ng "fishing" para sa mga biktima gamit ang bait (kadalasang email). Binago ang spelling para bigyang-diin na madalas ginagamit ng mga attacker ang mga phone number (SMS phishing, o "smishing") at professional-looking na infrastructure.

Bakit ang phishing ay nananatiling #1 na banta

Karamihan sa mga large-scale na account breach ngayon ay hindi nagsasangkot ng hacking, pag-crack ng mga password, o pag-bypass ng encryption. Nagsasangkot ito ng tao na nag-type ng password sa pekeng site. Ang phishing ay:

• Mura — maaaring magpadala ang attacker ng milyun-milyong email sa halaga ng VPS at spoofed domain
• Hirap i-filter — ang modernong kit ay nag-ro-rotate ng mga domain, gumagamit ng lehitimong hosting, at umaadapt sa mga filter nang real time
• Epektibo — kahit ang mga security-aware na user ay nahuhulog sa well-crafted na targeted attempt (spear phishing)
• Scalable — ang isang matagumpay na phish ay madalas na nagbibigay ng access sa dose-dosenang connected service sa pamamagitan ng password reuse

Natuklasan ng 2024 Verizon Data Breach Investigations Report na ang phishing ang initial access vector sa mahigit 36% ng lahat ng breach — higit pa sa anumang ibang solong dahilan.

Paano gumagana ang modernong phishing

Ang phishing ay umunlad na malayo lampas sa mga "Nigerian prince" na email ng 2000s. Ang isang modernong phishing attack ay karaniwang nagsasama ng:

1. Nakakumbinsing lure

Kadalasang email, text, o chat message na lumilikha ng urgency ("Isu-suspend ang inyong account"), authority ("Microsoft security team"), o curiosity ("May nag-tag sa inyo sa isang larawan"). Ang spear-phishing ay mas lumalalim pa dito gamit ang mga personal na detalye na nakuha mula sa LinkedIn, breach dump, o nakaraang correspondence.

2. Pixel-perfect na pekeng site

Ginagamit ng mga attacker ang off-the-shelf na phishing kit na gumagaya sa HTML, CSS, at JavaScript ng target site. Maraming kit ang binebenta bilang serbisyo (phishing-as-a-service), na may gumaganang dashboard at customer support.

3. Real-time na proxy para sa 2FA

Ang delikadong bahagi: hindi lamang nakakakuha ng inyong password ang modernong kit. Gumagana ito bilang man-in-the-middle proxy na nagfo-forward ng lahat ng inyong type — kasama ang inyong TOTP code — sa tunay na site sa loob ng ilang segundo, na naba-bypass ang karamihan sa 2FA. Ang technique na ito ay tinatawag na adversary-in-the-middle (AiTM) at ginagamit sa mga tool tulad ng Evilginx2 at Modlishka.

4. Session token theft

Kapag nag-authenticate kayo sa proxy, nakakakuha ang attacker ng inyong session cookie at maaari itong gamitin para manatiling naka-log in kahit na baguhin ninyo ang inyong password. Ito ang dahilan kung bakit ang phishing response ay palaging nagsasama ng pag-revoke ng active session, hindi lamang password rotation.

Ano ang tunay na nakakapigil sa phishing

Hardware security key (FIDO2 / WebAuthn)

Ito ang tanging kategorya ng depensa na phishing-proof by design. Kapag nag-log in kayo gamit ang FIDO2 key, vine-verify ng inyong key nang cryptographically ang eksaktong domain ng site na humihingi ng authentication. Ang pekeng site — kahit gaano pa ka-perfect visually — ay may ibang domain, kaya tumatanggi ang key na tumugon. Hindi lang nakakompleto ang cryptographic handshake.

Nag-mandate ang Google ng YubiKey para sa lahat ng 85,000+ na empleyado noong 2017 at nag-report ng zero successful phishing attack sa company account sa mga sumunod na taon.

Passkey

Ang mga passkey ay consumer-friendly na evolution ng FIDO2. Ginagamit nila ang parehong domain-bound cryptography at built-in sa iOS, Android, macOS, at Windows. Kung suportahan ng site na ginagamit ninyo ang mga passkey, ang pag-enable ng isa ay ginagawang phishing-proof ang account na iyon.

Mga password manager

Ang password manager ay inyong second line of defense dahil nag-a-autofill lamang ito ng mga credential sa eksaktong domain kung saan na-save. Kung makarating kayo sa paypaI.com (capital I) sa halip na paypal.com, tahimik na tatanggihan ng inyong manager na i-fill ang form. Ang pagtangging iyon ay malakas na babala na may mali.

Email at DNS filtering

Ginagamit ng mga email provider ang DMARC, SPF, at DKIM para ma-detect ang mga spoofed sender address. Nakakahuli ng mga halatang attempt ang karamihan sa modernong provider, ngunit nakakalusot pa rin ang mga targeted attack. I-enable ang "report phishing" na button sa inyong mail client para makatulong kayo sa pagpapabuti ng mga filter.

Mga red flag na dapat bantayan

Kapag nakatanggap kayo ng mensahe na humihingi sa inyong mag-log in, mag-verify, o kumilos nang may urgency:

• Urgency at banta — "Magsasara ang inyong account sa 24 oras"
• Generic na greeting — "Dear customer" sa halip na inyong pangalan
• Look-alike na domain — paypaI.com, app1e.com, secure-microsoft-login.net
• Hindi inaasahang attachment — lalo na ang mga .zip, .html, o .pdf na file na humihingi sa inyong mag-log in para makita
• Grammar o formatting error — pina-proofread ng mga malalaking kumpanya ang kanilang mga email
• Hindi tumugmang link — i-hover ang link at tingnan kung tumugma ang destination sa text

Kung may nakakaramdam kayong mali, isara ang email. Mag-navigate sa site nang manual. Kung may tunay na issue, makikita ninyo ito kapag nag-log in kayo sa inyong normal na workflow.

Ano ang gagawin kung nahulog kayo sa isa

Kumilos nang mabilis — mahalaga ang bilis dahil ginagamit ng mga attacker ang mga credential sa loob ng ilang minuto.

1. Agad na baguhin ang password sa ibang device (inyong phone, halimbawa, kung nahulog kayo dito sa inyong laptop)
2. I-revoke ang lahat ng active session sa account settings — tinatanggal nito ang sinumang kasalukuyang gumagamit ng nakawin na session token
3. I-enable ang 2FA kung wala pa ito, at gumamit ng hardware key o passkey kung posible
4. Tignan ang unauthorized activity — mga naipadala na email, mga kamakailang login, mga pagbabago sa billing, mga bagong forwarding rule
5. Abisuhan ang affected institution kung financial o work account ito
6. Tignan ang ibang mga account na gumamit ng parehong password — kahit sigurado kayo na hindi kayo nag-reuse ng mga password, tignan pa rin

Ang bottom line

Umuunlad ang phishing dahil naba-bypass nito ang teknolohiya at tinatarget ang mga tao. Pinagsasama ng pinakamahusay na depensa ang tatlong layer: mga password manager (tumatangging mag-autofill sa maling domain), phishing-resistant na 2FA (mga hardware key o passkey na naka-bind sa tunay na domain), at malusog na skepticism (huwag mag-log in mula sa email link).

I-enable ang lahat ng tatlo sa inyong pinakamahalagang account — ang inyong email — una. Mula doon, nagiging mas ligtas ang natitira sa inyong digital na buhay.