Що таке фішинг?
Фішинг — це атака соціальної інженерії, де зловмисник створює переконливу копію легітимного веб-сайту — часто піксель в піксель — і обманом змушує жертву ввести там облікові дані. У момент відправки форми зловмисник перехоплює ім'я користувача, пароль та будь-який другий фактор, а потім використовує їх для захоплення справжнього облікового запису за лічені секунди.
Слово походить від метафори "ловлі" жертв на приманку (зазвичай електронний лист). Написання змінилося, щоб підкреслити, що зловмисники часто використовують номери телефонів (SMS-фішинг або "смішинг") та професійно виглядаючу інфраструктуру.
Чому фішинг залишається загрозою №1
Більшість великомасштабних зломів облікових записів сьогодні не включають хакерство, злам паролів або обхід шифрування. Вони включають людину, яка вводить пароль на фальшивому сайті. Фішинг є:
- Дешевим — зловмисник може надіслати мільйони листів за вартість VPS та підробленого домену
- Важким для фільтрації — сучасні набори ротують домени, використовують легітимний хостинг та адаптуються до фільтрів у реальному часі
- Ефективним — навіть користувачі, обізнані в безпеці, потрапляють на добре створені цільові спроби (спір-фішинг)
- Масштабованим — один успішний фіш часто дає доступ до десятків пов'язаних сервісів через повторне використання паролів
Звіт Verizon Data Breach Investigations Report 2024 року виявив, що фішинг був початковим вектором доступу в понад 36% всіх порушень — більше, ніж будь-яка інша окрема причина.
Як працює сучасний фішинг
Фішинг еволюціонував далеко за межі листів "нігерійського принца" 2000-х років. Сучасна фішингова атака зазвичай включає:
1. Переконлива приманка
Зазвичай електронний лист, текстове повідомлення або чат, що створює терміновість ("Ваш обліковий запис буде призупинено"), авторитет ("Команда безпеки Microsoft") або цікавість ("Хтось позначив вас на фото"). Спір-фішинг йде далі з особистими деталями, зібраними з LinkedIn, баз даних порушень або попереднього листування.
2. Піксельно точний фальшивий сайт
Зловмисники використовують готові фішингові набори, які клонують HTML, CSS та JavaScript цільового сайту. Багато наборів продаються як послуга (фішинг-як-послуга) з робочими панелями та підтримкою клієнтів.
3. Проксі реального часу для 2FA
Небезпечна частина: сучасні набори не просто перехоплюють ваш пароль. Вони діють як проксі людини посередині, який пересилає все, що ви вводите — включаючи ваш TOTP-код — на справжній сайт за лічені секунди, обходячи більшість 2FA. Ця техніка називається супротивник посередині (AiTM) і використовується в інструментах як Evilginx2 та Modlishka.
4. Крадіжка токенів сеансу
Після автентифікації через проксі зловмисник перехоплює ваш cookie сеансу і може використовувати його для залишення в системі навіть після зміни пароля. Ось чому реагування на фішинг завжди включає скасування активних сеансів, а не тільки ротацію паролів.
Що дійсно зупиняє фішинг
Апаратні ключі безпеки (FIDO2 / WebAuthn)
Це єдина категорія захисту, яка є захищеною від фішингу за дизайном. Коли ви входите в систему з ключем FIDO2, ваш ключ криптографічно перевіряє точний домен сайту, що запитує автентифікацію. Фальшивий сайт — незалежно від того, наскільки він візуально досконалий — має інший домен, тому ключ відмовляється відповідати. Криптографічне рукостискання просто не завершується.
Google відомо зробив обов'язковими YubiKey для всіх 85,000+ працівників у 2017 році і повідомив про нуль успішних фішингових атак на корпоративні облікові записи в наступні роки.
Паскі
Паскі — це дружня до споживачів еволюція FIDO2. Вони використовують ту ж криптографію, прив'язану до домену, і вбудовані в iOS, Android, macOS та Windows. Якщо сайт, яким ви користуєтеся, підтримує паскі, увімкнення одного робить цей обліковий запис захищеним від фішингу.
Менеджери паролів
Менеджер паролів — це ваша друга лінія захисту, оскільки він автоматично заповнює облікові дані тільки на точному домені, де вони були збережені. Якщо ви потрапите на paypaI.com (велика I) замість paypal.com, ваш менеджер мовчки відмовиться заповнити форму. Ця відмова є гучним попередженням, що щось не так.
Фільтрація електронної пошти та DNS
Провайдери електронної пошти використовують DMARC, SPF та DKIM для виявлення підроблених адрес відправників. Більшість сучасних провайдерів ловлять очевидні спроби, але цільові атаки все ще проходять. Увімкніть кнопки "повідомити про фішинг" у вашому поштовому клієнті, щоб допомогти фільтрам покращитися.
Сигнали тривоги, на які слід звернути увагу
Коли ви отримуєте повідомлення з проханням увійти в систему, підтвердити або діяти терміново:
- Терміновість та загрози — "Ваш обліковий запис буде закритий через 24 години"
- Загальні привітання — "Шановний клієнт" замість вашого імені
- Схожі домени —
paypaI.com,app1e.com,secure-microsoft-login.net - Несподівані вкладення — особливо файли
.zip,.htmlабо.pdf, які просять вас увійти в систему для їх перегляду - Граматичні або форматування помилки — великі компанії вичитують свої листи
- Невідповідність посилання — наведіть курсор на посилання і перевірте, чи відповідає призначення тексту
Якщо щось здається не так, закрийте лист. Перейдіть на сайт вручну. Якщо є справжня проблема, ви побачите її, коли увійдете через свій звичайний робочий процес.
Що робити, якщо ви потрапили на один
Діяйте швидко — швидкість важлива, оскільки зловмисники починають використовувати облікові дані за лічені хвилини.
- Негайно змініть пароль на іншому пристрої (наприклад, на телефоні, якщо ви потрапили на це на ноутбуці)
- Скасуйте всі активні сеанси в налаштуваннях облікового запису — це вигнає всіх, хто зараз використовує вкрадені токени сеансу
- Увімкніть 2FA, якщо його ще не було, і використовуйте апаратний ключ або пасключ, якщо можливо
- Перевірте на несанкціоновану активність — надіслані листи, недавні входи, зміни в біллінгу, нові правила пересилання
- Повідомте уражену установу, якщо це фінансовий або робочий обліковий запис
- Перевірте інші облікові записи, які використовували той же пароль — навіть якщо ви впевнені, що не повторюєте паролі, перевірте
Висновок
Фішинг процвітає, тому що обходить технології та націлюється на людей. Найкращі засоби захисту поєднують три рівні: менеджери паролів (відмова автоматично заповнювати на неправильних доменах), стійку до фішингу 2FA (апаратні ключі або паскі, що прив'язуються до справжнього домену) та здоровий скептицизм (ніколи не входьте в систему за посиланням з електронного листа).
Увімкніть всі три на вашому найважливішому обліковому записі — вашій електронній пошті — спочатку. Звідти решта вашого цифрового життя стане значно безпечнішою.