Phishing hujumlaridan qanday himoyalanish mumkin

Phishing nima?

Phishing — bu ijtimoiy muhandislik hujumi bo'lib, unda tajovuzkor qonuniy veb-saytning ishonchli nusxasini yaratadi — ko'pincha pikselgacha aniq — va jabrlanuvchini u yerga kirish ma'lumotlarini kiritishga aldaydi. Jabrlanuvchi formani yuborishi bilanoq, tajovuzkor foydalanuvchi nomi, parol va har qanday ikkinchi omilni ushlab qoladi, so'ngra ularni bir necha soniya ichida haqiqiy hisobni egallash uchun ishlatadi.

Bu so'z o'lja bilan "baliq ovlash" metaforasidan kelib chiqqan (odatda elektron xat). Imlosi o'zgardi, chunki tajovuzkorlar ko'pincha telefon raqamlaridan (SMS phishing yoki "smishing") va professional ko'rinishdagi infratuzilmadan foydalanishini ta'kidlash uchun.

Phishing nima uchun hali ham №1 tahdid

Bugungi kunda ko'plab keng ko'lamli hisob buzish holatlari hacking, parollarni sindirish yoki shifrlashni chetlab o'tishni o'z ichiga olmaydi. Ular insonning soxta saytga parolni kiritishini o'z ichiga oladi. Phishing quyidagilardir:

• Arzon — tajovuzkor VPS va soxta domen narxiga millionlab elektron xat yuborishi mumkin
• Filtrlash qiyin — zamonaviy to'plamlar domenlarni aylantiradi, qonuniy hosting dan foydalanadi va filtrlarni real vaqtda moslashadi
• Samarali — hatto xavfsizlik jihatidan xabardor foydalanuvchilar ham yaxshi ishlab chiqilgan maqsadli urinishlarga (nayza phishing) aldanadi
• Masshtablanadigan — yagona muvaffaqiyatli phish ko'pincha parolni qayta ishlatish orqali o'nlab bog'langan xizmatlarga kirish imkonini beradi

2024 yilgi Verizon Ma'lumotlar Buzilishi Tergovlari Hisoboti shuni ko'rsatdiki, phishing barcha buzilishlarning 36% dan ortig'ida boshlang'ich kirish vektori bo'lgan — boshqa har qanday yagona sababdan ko'ra ko'proq.

Zamonaviy phishing qanday ishlaydi

Phishing 2000-yillardagi "Nigeriyalik shahzoda" elektron xatlaridan ancha rivojlandi. Zamonaviy phishing hujumi odatda quyidagilarni o'z ichiga oladi:

1. Ishonchli o'lja

Odatda shoshqaloqlik yaratadigan elektron xat, matn yoki chat xabari ("Hisobingiz to'xtatiladi"), hokimiyat ("Microsoft xavfsizlik jamoasi") yoki qiziqish ("Kimdir sizni suratda belgilagan"). Nayza-phishing buni LinkedIn, buzilish to'plamlari yoki oldingi yozishmalardan olingan shaxsiy ma'lumotlar bilan yanada rivojlantiradi.

2. Pikselgacha aniq soxta sayt

Tajovuzkorlar maqsad saytning HTML, CSS va JavaScript-ini nusxalaydigan tayyor phishing to'plamlaridan foydalanadilar. Ko'plab to'plamlar xizmat sifatida sotiladi (phishing-as-a-service), ishlaydigan boshqaruv paneli va mijozlarni qo'llab-quvvatlash bilan.

3. 2FA uchun real vaqt proksisi

Xavfli qism: zamonaviy to'plamlar faqat parolingizni ushlamaydi. Ular siz kiritgan hamma narsani — TOTP kodingizni ham — bir necha soniya ichida haqiqiy saytga o'tkazuvchi o'rta oramdagi odam proksisi sifatida ishlaydi va ko'pchilik 2FA ni chetlab o'tadi. Bu usul raqib-o'rta-da (AiTM) deb ataladi va Evilginx2 va Modlishka kabi vositalarda ishlatiladi.

4. Seans tokenini o'g'irlash

Proksi orqali autentifikatsiya qilganingizdan so'ng, tajovuzkor sizning seans cookie-ngizni ushlab qoladi va parolingizni o'zgartirgandan keyin ham tizimda qolish uchun undan foydalanishi mumkin. Shuning uchun phishing javobida har doim faqat parolni almashtirish emas, balki faol seanslarni bekor qilish ham kiradi.

Phishing-ni haqiqatan nima to'xtatadi

Apparat xavfsizlik kalitlari (FIDO2 / WebAuthn)

Bu dizayni jihatidan phishing-ga qarshi himoyaning yagona kategoriyasi. FIDO2 kaliti bilan tizimga kirganingizda, kalitingiz autentifikatsiya so'raydigan saytning aniq domenini kriptografik jihatdan tasdiqlaydi. Soxta sayt — qanchalik vizual jihatdan mukammal bo'lmasin — boshqa domenge ega, shuning uchun kalit javob berishdan bosh tortadi. Kriptografik qo'l berib ko'rishish oddiygina tugamaydi.

Google 2017 yilda barcha 85,000+ xodimi uchun YubiKey-larni majburiy qildi va keyingi yillarda kompaniya hisoblarida nol muvaffaqiyatli phishing hujumi haqida xabar berdi.

Passkey-lar

Passkey-lar FIDO2 ning iste'molchilarga qulay evolyutsiyasi hisoblanadi. Ular bir xil domenga bog'langan kriptografiyadan foydalanadilar va iOS, Android, macOS va Windows-ga o'rnatilgan. Agar foydalanayotgan saytingiz passkey-larni qo'llab-quvvatlasa, birini yoqish bu hisobni phishing-ga qarshi himoyalaydi.

Parol menejerlari

Parol menejeri sizning ikkinchi himoya chizig'ingizdir, chunki u faqat saqlangan aniq domenda kirish ma'lumotlarini avtomatik to'ldiradi. Agar siz paypal.com o'rniga paypaI.com (katta I) ga tushsangiz, menjeringiz formani to'ldirishdan jimgina bosh tortadi. Bu bosh tortish nimadir noto'g'ri ekanligi haqidagi baland ogohlantirish hisoblanadi.

Elektron pochta va DNS filtrlashi

Elektron pochta provayderlari soxta jo'natuvchi manzillarini aniqlash uchun DMARC, SPF va DKIM-dan foydalanadilar. Ko'pchilik zamonaviy provayderlar aniq urinishlarni ushlaydi, lekin maqsadli hujumlar hali ham o'tib ketadi. Filtrlarni yaxshilashga yordam berish uchun pochta mijozingizda "phishing haqida hisobot" tugmalarini yoqing.

Diqqat berish kerak bo'lgan qizil bayroqlar

Tizimga kirish, tasdiqlash yoki zudlik bilan harakat qilishni so'raydigan xabar olganda:

• Shoshqaloqlik va tahdidlar — "Hisobingiz 24 soat ichida yopiladi"
• Umumiy salomlashuvlar — ismingiz o'rniga "Hurmatli mijoz"
• O'xshash domenlar — paypaI.com, app1e.com, secure-microsoft-login.net
• Kutilmagan qo'shimchalar — ayniqsa .zip, .html, yoki .pdf fayllar sizdan ko'rish uchun tizimga kirishingizni so'raydigan
• Grammatika yoki formatlash xatolari — yirik kompaniyalar elektron xatlarini tahrir qiladilar
• Havola nomuvofiqligii — havola ustiga kursorni qo'ying va manzil matn bilan mos kelishini tekshiring

Agar biror narsa g'alati tuyulsa, elektron xatni yoping. Saytga qo'lda o'ting. Agar haqiqiy muammo bo'lsa, oddiy ish oqimi orqali tizimga kirganingizda uni ko'rasiz.

Agar aldangan bo'lsangiz nima qilish kerak

Tez harakat qiling — tezlik muhim, chunki tajovuzkorlar kirish ma'lumotlarini bir necha daqiqa ichida ishlata boshlaydilar.

1. Darhol parolni o'zgartiring boshqa qurilmada (masalan, agar noutbukda aldangan bo'lsangiz, telefoningizda)
2. Barcha faol seanslarni bekor qiling hisob sozlamalarida — bu o'g'irlangan seans tokenlarini hozirda ishlatayotgan har kimni chiqarib yuboradi
3. 2FA ni yoqing agar oldin yoqilmagan bo'lsa va iloji bo'lsa apparat kaliti yoki passkey-dan foydalaning
4. Ruxsatsiz faollikni tekshiring — yuborilgan elektron xatlar, yaqinda kirishlar, to'lov o'zgarishlari, yangi yo'naltirish qoidalari
5. Ta'sirlangan muassasani xabardor qiling agar bu moliyaviy yoki ish hisobi bo'lsa
6. Bir xil paroldan foydalangan boshqa hisoblarni tekshiring — parolni qayta ishlatmaysiz deb ishonchingiz komil bo'lsa ham, tekshiring

Xulosa

Phishing texnologiyani chetlab o'tib, insonlarni nishonga olganligi uchun gullab-yashaydi. Eng yaxshi himoyalar uch qatlamni aralashtiradi: parol menejerlari (noto'g'ri domenlarda avtomatik to'ldirishdan bosh tortish), phishing-ga qarshi 2FA (haqiqiy domenga bog'lanadigan apparat kalitlari yoki passkey-lar) va sog'lom shubha (hech qachon elektron xat havolasidan tizimga kirmaslik).

Ularning barchasini eng muhim hisobingizda — elektron pochtangizda — birinchi navbatda yoqing. O'sha yerdan raqamli hayotingizning qolgan qismi sezilarli darajada xavfsizroq bo'ladi.