TL;DR

  • Phishing to złośliwa praktyka, podczas której napastnicy podszywają się pod wiarygodne podmioty, aby nakłonić inne osoby do ujawnienia poufnych informacji.

  • Zachowaj czujność wobec phishingu, rozpoznając typowe oznaki, takie jak podejrzane adresy URL i pilne prośby o podanie danych osobowych.

  • Poznaj różnorodne techniki phishingu, od typowych oszustw e-mailowych po wyrafinowany phishing typu spear, aby wzmocnić zabezpieczenia cyberbezpieczeństwa.

Wstęp

Phishing to szkodliwa taktyka, w której nieuczciwi aktorzy udają wiarygodne źródła, aby oszukać ludzi w celu udostępnienia wrażliwych danych. W tym artykule rzucimy światło na to, czym jest phishing, jak działa i co możesz zrobić, aby nie paść ofiarą tego rodzaju oszustw.

Jak działa phishing

Phishing opiera się przede wszystkim na inżynierii społecznej – metodzie, w której napastnicy manipulują osobami w celu ujawnienia poufnych informacji. Atakujący zbierają dane osobowe ze źródeł publicznych (takich jak media społecznościowe), aby tworzyć pozornie autentyczne e-maile. Ofiary często otrzymują złośliwe wiadomości, które wydają się pochodzić od znajomych osób lub renomowanych organizacji.

Najpowszechniejszą formą phishingu są wiadomości e-mail zawierające złośliwe linki lub załączniki. Kliknięcie tych linków może spowodować zainstalowanie złośliwego oprogramowania na urządzeniu użytkownika lub przekierowanie go na fałszywe strony internetowe mające na celu kradzież danych osobowych i finansowych.

Chociaż łatwiej jest wykryć źle napisane e-maile phishingowe, cyberprzestępcy korzystają z zaawansowanych narzędzi, takich jak chatboty i generatory głosu AI, aby zwiększyć autentyczność swoich ataków. Utrudnia to użytkownikom rozróżnienie między komunikacją prawdziwą a oszukańczą.

Rozpoznawanie prób phishingu

Identyfikacja wiadomości e-mail phishingowych może być trudna, ale istnieją pewne oznaki, na które warto zwrócić uwagę.

Powszechne znaki

Zachowaj ostrożność, jeśli wiadomość zawiera podejrzane adresy URL, korzysta z publicznych adresów e-mail, wywołuje strach lub pilność, żąda danych osobowych lub zawiera błędy ortograficzne i gramatyczne. W większości przypadków powinno być możliwe najechanie myszką na linki w celu sprawdzenia adresów URL bez konieczności ich klikania.

Oszustwa oparte na płatnościach cyfrowych

Phisherzy często podszywają się pod zaufane usługi płatności online, takie jak PayPal, Venmo lub Wise. Użytkownicy otrzymują fałszywe e-maile nakłaniające ich do sprawdzenia danych logowania. Zachowanie czujności i zgłaszanie podejrzanych działań jest niezwykle istotne.

Ataki phishingowe oparte na finansach

Oszuści podszywają się pod banki lub instytucje finansowe i twierdzą, że naruszają bezpieczeństwo w celu uzyskania danych osobowych. Typowe taktyki obejmują zwodnicze e-maile dotyczące przelewów pieniężnych lub oszustwa dotyczące bezpośrednich wpłat, których celem są nowi pracownicy. Mogą również twierdzić, że istnieje pilna aktualizacja zabezpieczeń.

Oszustwa phishingowe związane z pracą

Te spersonalizowane oszustwa obejmują atakujących podających się za dyrektorów, dyrektorów generalnych lub dyrektorów finansowych i żądających przelewów bankowych lub fałszywych zakupów. Phishing głosowy wykorzystujący generatory głosu AI przez telefon to kolejna metoda stosowana przez oszustów.

Jak zapobiegać atakom phishingowym

Aby zapobiec atakom phishingowym, ważne jest zastosowanie wielu środków bezpieczeństwa. Unikaj bezpośredniego klikania jakichkolwiek linków. Zamiast tego przejdź na oficjalną stronę internetową firmy lub kanały komunikacji, aby sprawdzić, czy otrzymane informacje są prawdziwe. Rozważ użycie narzędzi zabezpieczających, takich jak oprogramowanie antywirusowe, zapory ogniowe i filtry spamu.

Ponadto organizacje powinny stosować standardy uwierzytelniania poczty e-mail w celu weryfikacji przychodzących wiadomości e-mail. Typowe przykłady metod uwierzytelniania poczty e-mail obejmują DKIM (DomainKeys Identified Mail) i DMARC (Uwierzytelnianie, raportowanie i zgodność wiadomości w oparciu o domenę).

Dla poszczególnych osób niezwykle istotne jest informowanie rodziny i przyjaciół o ryzyku związanym z phishingiem. Dla firm niezwykle istotna jest edukacja pracowników w zakresie technik phishingu i zapewnianie okresowych szkoleń uświadamiających w celu ograniczenia ryzyka.

Jeśli potrzebujesz dalszej pomocy i informacji, poszukaj inicjatyw rządowych, takich jak OnGuardOnline.gov, i organizacji, takich jak Anti-Phishing Working Group Inc. Zapewniają one bardziej szczegółowe zasoby i wskazówki dotyczące wykrywania, unikania i zgłaszania ataków typu phishing.

Rodzaje phishingu

Techniki phishingu ewoluują, a cyberprzestępcy korzystają z różnych metod. Różne typy phishingu są zwykle klasyfikowane według celu i wektora ataku. Przyjrzyjmy się bliżej.

Klonowanie phishingu

Osoba atakująca wykorzysta wcześniej wysłaną, prawidłową wiadomość e-mail i skopiuje jej zawartość do podobnej wiadomości zawierającej łącze do złośliwej witryny. Osoba atakująca może również twierdzić, że jest to zaktualizowany lub nowy link, stwierdzając, że poprzedni był nieprawidłowy lub wygasł.

Spear-phishing

Ten typ ataku koncentruje się na jednej osobie lub instytucji. Atak włócznią jest bardziej wyrafinowany niż inne typy phishingu, ponieważ jest profilowany. Oznacza to, że osoba atakująca najpierw zbiera informacje o ofierze (np. imiona i nazwiska przyjaciół lub członków rodziny) i wykorzystuje te dane, aby zwabić ofiarę do pliku złośliwej witryny internetowej.

Farming

Osoba atakująca zatruje rekord DNS, co w praktyce przekieruje odwiedzających legalną stronę internetową na fałszywą, którą wcześniej stworzył atakujący. Jest to najniebezpieczniejszy z ataków, ponieważ rekordy DNS nie są pod kontrolą użytkownika, przez co użytkownik nie jest w stanie się przed nim obronić.

Wielorybnictwo

Forma phishingu typu spear, którego celem są zamożne i ważne osoby, takie jak dyrektorzy generalni i urzędnicy państwowi.

Fałszowanie e-maili

E-maile phishingowe zazwyczaj podszywają się pod komunikację pochodzącą od legalnych firm lub osób. Wiadomości e-mail phishingowe mogą przedstawiać nieświadomym ofiarom linki do złośliwych witryn, w których osoby atakujące zbierają dane logowania i informacje umożliwiające identyfikację użytkownika, korzystając ze sprytnie zamaskowanych stron logowania. Strony mogą zawierać trojany, keyloggery i inne złośliwe skrypty kradnące dane osobowe.

Przekierowania witryn

Przekierowania witryn internetowych kierują użytkowników na adresy URL inne niż ten, który użytkownik zamierzał odwiedzić. Podmioty wykorzystujące luki mogą umieszczać przekierowania i instalować złośliwe oprogramowanie na komputerach użytkowników.

Literowanie

Typosquatting kieruje ruch do fałszywych witryn internetowych, które używają pisowni w obcym języku, typowych błędów ortograficznych lub subtelnych różnic w domenie najwyższego poziomu. Phisherzy wykorzystują domeny do naśladowania legalnych interfejsów witryn internetowych, wykorzystując użytkowników, którzy błędnie wpisują lub źle odczytują adres URL.

Fałszywe płatne reklamy

Płatne reklamy to kolejna taktyka stosowana w przypadku phishingu. Te (fałszywe) reklamy wykorzystują domeny, które napastnicy typowali i zapłacili, aby umieścić je w wynikach wyszukiwania. Witryna może nawet pojawić się na szczycie wyników wyszukiwania w Google.

Atak wodopoju

Podczas ataku wodopoju phisherzy analizują użytkowników i określają strony internetowe, które często odwiedzają. Skanują te witryny pod kątem luk w zabezpieczeniach i próbują wstrzyknąć złośliwe skrypty zaprojektowane tak, aby atakować użytkowników podczas ich następnej wizyty na tej witrynie.

Podszywanie się pod inne osoby i fałszywe prezenty

Podszywanie się pod wpływowe osobistości w mediach społecznościowych. Phisherzy mogą podszywać się pod kluczowych liderów firm i reklamować prezenty lub angażować się w inne zwodnicze praktyki. Ofiary tego oszustwa mogą nawet być celem indywidualnych procesów inżynierii społecznej mających na celu znalezienie naiwnych użytkowników. Aktorzy mogą włamywać się na zweryfikowane konta i modyfikować nazwy użytkowników, aby podszywać się pod prawdziwą postać, zachowując jednocześnie zweryfikowany status.

Ostatnio phisherzy intensywnie atakują platformy takie jak Discord, X i Telegram w tych samych celach: fałszowania czatów, podszywania się pod osoby fizyczne i naśladowania legalnych usług.

Złośliwe aplikacje

Phisherzy mogą również wykorzystywać złośliwe aplikacje monitorujące Twoje zachowanie lub kradnące poufne informacje. Aplikacje mogą udawać narzędzia do śledzenia cen, portfele i inne narzędzia związane z kryptowalutami (które mają bazę użytkowników predysponowanych do handlu i posiadania kryptowalut).

Phishing SMS i głosowy

Forma phishingu oparta na wiadomościach tekstowych, zwykle przeprowadzana za pośrednictwem wiadomości SMS lub wiadomości głosowych, która zachęca użytkowników do udostępniania danych osobowych.

Phishing vs. Farming

Chociaż niektórzy uważają pharming za rodzaj ataku phishingowego, opiera się on na innym mechanizmie. Główna różnica między phishingiem a pharmingiem polega na tym, że phishing wymaga od ofiary popełnienia błędu. Natomiast w przypadku pharmingu ofiara musi jedynie spróbować uzyskać dostęp do legalnej strony internetowej, której rekord DNS został naruszony przez osobę atakującą.

Phishing w Blockchain i Crypto Space

Chociaż technologia blockchain zapewnia duże bezpieczeństwo danych ze względu na swój zdecentralizowany charakter, użytkownicy w przestrzeni blockchain powinni zachować czujność wobec prób inżynierii społecznej i phishingu. Cyberprzestępcy często próbują wykorzystać luki w zabezpieczeniach człowieka, aby uzyskać dostęp do kluczy prywatnych lub danych logowania. W większości przypadków oszustwa opierają się na błędzie ludzkim.

Oszuści mogą również próbować nakłonić użytkowników do ujawnienia fraz początkowych lub przesłania środków na fałszywe adresy. Ważne jest, aby zachować ostrożność i przestrzegać najlepszych praktyk w zakresie bezpieczeństwa.

Zamykające myśli

Podsumowując, zrozumienie phishingu i bycie na bieżąco z rozwijającymi się technikami ma kluczowe znaczenie dla ochrony danych osobowych i finansowych. Łącząc solidne środki bezpieczeństwa, edukację i świadomość, osoby i organizacje mogą zabezpieczyć się przed stale obecnym zagrożeniem phishingiem w naszym połączonym cyfrowym świecie. Bądź SAFU!

Dalsze czytanie

  • 5 wskazówek, jak zabezpieczyć swoje zasoby kryptowalut

  • 5 sposobów na poprawę bezpieczeństwa Twojego konta Binance

  • Jak zachować bezpieczeństwo w handlu peer-to-peer (P2P).

Zastrzeżenie: Ta treść jest prezentowana w stanie „takim, jakim jest” wyłącznie w celach informacyjnych i edukacyjnych, bez jakichkolwiek oświadczeń ani gwarancji. Nie należy jej interpretować jako porady finansowej, prawnej lub innej profesjonalnej, ani nie ma na celu rekomendowania zakupu jakiegokolwiek konkretnego produktu lub usługi. Powinieneś zasięgnąć porady u odpowiednich profesjonalnych doradców. Jeśli artykuł został napisany przez osobę trzecią, pamiętaj, że wyrażone poglądy należą do osoby trzeciej i niekoniecznie odzwierciedlają poglądy Binance Academy. Aby uzyskać więcej informacji, prosimy o zapoznanie się z naszym pełnym zastrzeżeniem tutaj. Ceny aktywów cyfrowych mogą być zmienne. Wartość Twojej inwestycji może spaść lub wzrosnąć, a Ty możesz nie odzyskać zainwestowanej kwoty. Ponosisz wyłączną odpowiedzialność za swoje decyzje inwestycyjne, a Binance Academy nie ponosi odpowiedzialności za jakiekolwiek straty, które możesz ponieść. Materiał ten nie powinien być interpretowany jako porada finansowa, prawna lub inna profesjonalna. Aby uzyskać więcej informacji, zapoznaj się z naszymi Warunkami użytkowania i Ostrzeżeniem o ryzyku.