REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Phishing - czyli jak nie być naiwną rybką i nie dać się złapać

Kaspersky Lab Polska

REKLAMA

Nie ma prawie dnia bez pojawiania się w Internecie wiadomości o przypadkach phishingu. Czasami phishing określany jest jako "carding" lub "brand spoofing". Czym dokładnie jest to zjawisko? Jakie są mechanizmy phishingu i jego skutki?

Haczyk, linka i ciężarek - definicja phishingu

REKLAMA

Phishing - celowo błędny zapis słowa 'fishing' (łowienie ryb) - jest specyficzną formą cyberprzestępczości. Ma na celu podstępne skłonienie użytkowników komputerów do wyjawienia swoich danych osobistych, takich jak nazwy użytkowników, hasła, numery PIN, numery kart kredytowych itd., związanych z kontami bankowymi lub systemami płatności on-line. Dane te są następnie wykorzystywane do kradzieży pieniędzy.

Tak więc, phishing jest oszustwem: najpierw skradzione zostają twoje osobiste dane, a później pieniądze.


Phishing i socjotechnika

REKLAMA

Phisherzy wykorzystują w dużym stopniu socjotechnikę. Termin socjotechnika odnosi się zazwyczaj do stosowania socjologicznych metod w celu wywarcia wpływu na dużą grupę ludzi. W dziedzinie bezpieczeństwa komputerowego termin ten odnosi się do metod, które twórcy wirusów wykorzystują do wyłudzenia informacji od użytkowników i złamania zabezpieczeń.

Dalszy ciąg materiału pod wideo

Przykładowo, autorzy wirusów wykorzystują powszechnie socjotechnikę, aby podstępnie nakłonić użytkowników do uruchomienia złośliwego kodu. Można to osiągnąć załączając wirusa lub robaka do pozornie nieszkodliwej/standardowej wiadomości e-mail.

LoveLetter, na przykład, rozprzestrzenił się jako wiadomość e-mail z tytułem "I LOVE YOU" - któż z nas nie chciałby otrzymać listu miłosnego? Sama wiadomość zawierała następującą treść: "Kindly check the attached LOVELETTER coming from me" (ang. Uprzejmie proszę o przejrzenie przesłanego załącznika). Załącznik posiadał podwójne rozszerzenie (LOVE-LETTER-FOR-YOU.TXT.vbs).


Domyślnie, Windows nie wyświetla drugiego [rzeczywistego] rozszerzenia, które może wzbudzić w odbiorcy podejrzenie o kryjącym się w wiadomości złośliwym kodzie. W ciągu ostatnich pięciu lat wielu twórców wirusów i robaków wykorzystywało trik z podwójnym rozszerzeniem.


Podstawowe techniki wykorzystywane w phishingu

REKLAMA

Phisher tworzy najpierw stronę WWW, która do złudzenia przypomina będącą celem ataku stronę instytucji finansowej. Następnie, oszust rusza do akcji i masowo rozsyła wiadomość e-mail, która imituje wiadomość pochodzącą z banku lub firmy zajmującej się kartami kredytowymi.

Phisherzy wykorzystują zazwyczaj autentyczne logo, właściwy styl korespondencji handlowej, a nawet umieszczają rzeczywiste nazwiska osób należących do ścisłego zarządu instytucji finansowych. Starają się również, aby otrzymana wiadomość wydawała się legalną: nie trudno jest wysłać wiadomość, która wygląda, jakby pochodziła od innego nadawcy.

Zazwyczaj, wiadomości pochodzące z banków powiadamiają o zmianie infrastruktury IT i proszą klientów o potwierdzenie informacji personalnych. Czasami, aby przedstawić powód konieczności podawania danych osobistych, rzekomy bank informuje o awarii sieci lub ataku hakerów.

Wiadomości typu phishing mają jedną rzecz wspólną: są przynętą użytą w celu nakłonienia klientów, aby kliknęli odsyłacz zawarty w wiadomości e-mail. Odsyłacz prowadzi użytkownika bezpośrednio do specjalnie utworzonej strony. Gdy nieszczęsna "rybka" połknie przynętę i wypełni formularz podając wymagane dane osobowe - phisher uzyska dostęp do banku ofiary, jej karty kredytowej lub konta założonego przy dokonywaniu zakupów on-line.


Typowe cele phisherów

Jak się już domyślacie, phisherzy atakują organizacje, które zajmują się przeprowadzaniem olbrzymich transakcji finansowych on-line. W ciągu minionego półtora roku klienci prawie wszystkich głównych banków (Barclays, Citibank, Halifax, HSBC, Lloyds TSB and MBNA, NatWest) padli ofiarą phisherów. Jednak, zagrożeni są nie tylko klienci banków - phisherzy zaatakowali również amazon.com, AOL, BestBuy, eBay, MSN, PayPal oraz Yahoo.

W każdym oszustwie typu phishing klientami atakowanych banków lub innych organizacji będzie niewielki odsetek odbiorców wiadomości e-mail i tylko część z nich "złapie przynętę". Mimo to, wiadomości w oszustwach typu phishing są masowo rozsyłane - wysyłane są tak ogromne ilości fałszywych wiadomości, że nawet najmniejszy odsetek odpowiedzi pozwoli na zebranie wystarczającej ilości danych, aby wysiłek opłacił się.

Straty finansowe

Phisherzy grają o wysoką stawkę. Podawane są różne szacunki strat spowodowanych phishingiem - w sieci można znaleźć liczby od 400 milionów do 2,4 miliarda dolarów. Jednak, jedno jest pewne: liczba ataków typu phishing i związane z nimi koszty rosną.

Od lipca 2004 r. do listopada 2004 r. co miesiąc odnotowano 34% wzrost liczby nowych, unikatowych wiadomości e-mail oraz 28% wzrost liczby unikatowych oszukańczych stron WWW (dane pochodzą z raportu Phishing Activity Trends Report, który został opublikowany w listopadzie 2004 r. przez Anti-Phishing Working Group).


Straty pośrednie

Problem nie kończy się na bezpośrednich stratach finansowych poniesionych przez ofiary phishingu i instytucje finansowe. Niektórzy phisherzy umieszczają na fałszywych stronach programy typu exploit dla luk w Microsoft Internet Explorer [IE]. Gdy ofiara przegląda fałszywą stronę, exploit wrzuca na jej komputer trojana. W rezultacie, nie tylko przechwytywane są informacje bankowe użytkownika, ale jego komputer staje się także częścią sieci maszyn zombie.

Sieć ta może zostać wykorzystana do innych szkodliwych działań: może być posłużyć do ataku DDoS [Distributed Denial of Service], w wyniku którego od zaatakowanej organizacji wymuszane są pieniądze. Może również służyć jako platforma do rozsyłania spamu lub rozprzestrzeniania wirusów czy robaków.

Całkiem nieźle jak na dzienny połów! Zrozumiała jest więc uwaga, jaką media poświęciły w ostatnich latach zjawisku phishingu. Odpowiedzialne instytucje finansowe informują teraz swoich klientów o potencjalnych zagrożeniach. Użytkownicy stają się coraz ostrożniejsi. W rezultacie, phisherzy poszukują coraz lepszych sposobów skłaniania użytkowników do wyjawiania swoich osobistych informacji.


Jak uniknąć phisherów

Poniżej przedstawione zostały ogólne wskazówki, jak zminimalizować ryzyko złapania się "na haczyk" phishera.


1. Traktuj niezwykle ostrożnie każdą wiadomość e-mail proszącą o podanie informacji osobistych. Jest nikłe prawdopodobieństwo, że twój bank poprosi cię o takie informacje za pośrednictwem poczty elektronicznej. Jeśli masz wątpliwości, skontaktuj się z bankiem w celu potwierdzenia!

2. Aby otworzyć stronę WWW, nie używaj odsyłaczy zawartych w wiadomościach. Zamiast tego, wpisz adresu URL do przeglądarki internetowej.

3. Nie wypełniaj danymi osobistymi formularza zawartego w wiadomości e-mail. Dostarczaj takich danych jedynie przez bezpieczną stronę WWW. Sprawdź, czy adres URL rozpoczyna się od wyrażenia 'https://', a nie 'http://'. Jeżeli używasz przeglądarki IE, poszukaj symbolu kłódki po prawej stronie paska stanu i kliknij go dwukrotnie, aby sprawdzić poprawność certyfikatu cyfrowego. Ewentualnie, przeprowadzaj transakcje handlowe telefonicznie.

4. Zastanów się na zainstalowaniem paska narzędzi w przeglądarce internetowej, który ostrzega cię przed znanymi atakami typu phishing.

5. Rozważ pisanie wiadomości e-mail zwykłym tekstem zamiast HTML. Wiadomość może nie wyglądać tak atrakcyjnie, ale z pewnością będzie bezpieczniejsza.

6. Regularnie sprawdzaj swoje konto bankowe [łącznie z debetem i kartami kredytowymi, wyciągami z kont itd.], aby upewnić się, że wyszczególnione transakcje są legalne.

7. Upewnij się, że używasz najnowszej wersji przeglądarki i zainstalowałeś wszystkie niezbędne łaty.

8. Natychmiast powiadamiaj swój bank lub dostawcę karty kredytowej o wszystkim, co wyda ci się podejrzane.


Kaspersky Lab Polska

Autopromocja

REKLAMA

Źródło: INFOR
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie - zapraszamy do subskrybcji naszego newslettera
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

REKLAMA

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Moja firma
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    Będą przepisy regulujące zasady wykonywania działalności kosmicznej

    Ministerstwo Rozwoju i Technologii przygotowało projekt ustawy o działalności kosmicznej. Nowa ustawa będzie regulowała m.in. zasady wykonywania działalności kosmicznej, jak również warunki i tryb wydawania zezwolenia na prowadzenie działalności kosmicznej. Działalność kosmiczna będzie mogła być wykonywana wyłącznie po uzyskaniu zezwolenia udzielanego przez Prezesa Polskiej Agencji Kosmicznej (PAK).

    PIT kasowy coraz bliżej. Rząd chce w II kw. przyjąć projekt ustawy. Ale nie wszyscy przedsiębiorcy będą mogli wybrać PIT kasowy

    Kasowy PIT będą mogli wybrać przedsiębiorcy wykonujący działalność wyłącznie indywidualnie, jeżeli ich przychody z tej działalności w poprzednim roku podatkowym nie przekroczyły kwoty 500 tys. zł oraz przedsiębiorcy, którzy rozpoczynają prowadzenie działalności gospodarczej. Kasowego PIT nie będą mogli wybrać przedsiębiorcy, którzy prowadzą księgi rachunkowe.

    Od 2025 roku zapłacisz podatek dopiero gdy kontrahent zapłaci za fakturę. Uwzględnisz koszty, gdy za nie zapłacisz [kasowy PIT]

    Najprawdopodobniej w 2025 roku wejdą w życie przepisy wprowadzające tzw. kasowy PIT. Opublikowano już założenia nowelizacji wprowadzającej te przepisy. Co z nich wynika?

    Polska wystąpi z wnioskiem o zezwolenie na połów szprota w kwietniu. Chodzi o zapewnienie żywności ukraińskim żołnierzom

    Połów szprota w kwietniu na głębokości większej niż 65 m – to będzie przedmiotem wniosku polskiego rządu do Komisji Europejskiej. Argumentem za uwzględnieniem tego wniosku przez władze Unii Europejskiej ma być fakt, że łowiony przez polskich rybaków szprot stanowi podstawę wyżywienia ukraińskich żołnierzy walczących na froncie wojny z Rosją.

    REKLAMA

    Dominujący wspólnik sp. z o.o. nie podlega ubezpieczeniom społecznym jako jedyny wspólnik spółki – uchwała Sądu Najwyższego

    21 lutego 2024 r. Sąd Najwyższy (SN) podjął uchwałę (III UZP 8/23), w której stwierdził, że wspólnik dwuosobowej spółki z o.o. posiadający 99% udziałów (wspólnik dominujący) nie podlega ubezpieczeniom społecznym jako osoba prowadząca pozarolniczą działalność.

    Handel hurtowy i nowe zamówienia w przemyśle - co pokazują najnowsze dane GUS?

    Główny Urząd Statystyczny zaprezentował dane o wynikach handlu hurtowego i nowych zamówieniach w przemyśle w styczniu 2024 roku.

    Ceny zbóż 2024 - koniec lutego. Ile kosztują pszenica, żyto, kukurydza, jęczmień, owies, pszenżyto w Polsce i na giełdach światowych?

    Ile kosztują zboża na polskim rynku i w eksporcie w ostatniej dekadzie lutego 2024 roku? Jakie są ceny na giełdach światowych? Jakie ceny osiągają: pszenica, żyto, kukurydza, jęczmień, owies, rzepak, pszenżyto? 

    Szynka ze zmodyfikowanej genetycznie świni już za kilka lat?

    Dzięki edycji genów metodą CRISPR udało się uzyskać świnie odporne na zespół rozrodczo-oddechowy, chorobę powodującą wielkie straty w hodowli – informuje „The CRISPR Journal”.

    REKLAMA

    Polska stała się liderem pod względem złóż srebra. Wartość naszych złóż to 127 miliardów USD

    Polska stała się liderem pod względem złóż srebra, tak wynika z danych United States Geological Survey. Według aktualnych cen wartość naszych złóż rud srebra wynosi około 127 miliardów USD. Złoża szacuje się na 170 tys. ton. KGHM jest jednym z liderów światowego wydobycia srebra.

    Prawo do odłączenia, czyli czas na europejskie Porozumienie o cyfryzacji

    Prawo do odłączenia jest jednym z elementów europejskiego Porozumienia o cyfryzacji. Wypracowanie katalogu dobrych praktyk w zakresie transformacji cyfrowej w miejscu pracy oraz przygotowanie do wdrożenia Porozumienia Ramowego Europejskich Partnerów Społecznych w sprawie cyfryzacji na poziomie krajowym to główne cele projektu EFAD przygotowującego do procesu transformacji cyfrowej rynku pracy.

    REKLAMA