Час дізнатися про хитрощі, до яких вдаються кіберзлочинці, які атакують нас, користувачів комп’ютерів, смартфонів та інших пристроїв за допомогою фішингу.
Що таке фішинг?
Фішинг — це вид шахрайства, коли зловмисник видає себе за іншу особу чи установу, щоб заразити пристрій користувача шкідливим програмним забезпеченням або обманом змусити жертву виконати певні дії.
Для фішингових атак використовують будь-які форми електронного зв’язку:
- повідомлення електронної пошти;
- SMS-повідомлення;
- обмін повідомленнями в месенджерах (наприклад у WhatsApp);
- приватні повідомлення в соціальних мережах (наприклад в Instagram);
- телефонні дзвінки.
Фішинг, на відміну від інших комп'ютерних атак, які можливі з огляду на помилки, вразливість чи слабкі місця у програмному забезпеченні, базується на використанні соціальної інженерії. Об’єктом фішингової атаки є не апаратне чи програмне забезпечення, а людина.
У разі фішингу зловмисник найчастіше використовує авторитет особи чи установи, за яку він себе видає, звертаючись, наприклад, від імені керівника, колеги, банку, постачальника електроенергії, офісу, транспортної компанії або відомого магазину.
Зміст повідомлення здебільшого розрахований на те, щоб викликати в одержувача сильні емоції, такі як страх, або змусити жертву діяти швидко.
Діями, до яких має призвести фішинговий електронний лист, є:
- надання даних для входу в банк на спеціально створеному веб-сайті;
- надання реквізитів платіжної/кредитної картки;
- введення логіна та пароля для входу в електронну поштову скриньку або інший сайт після переходу за посиланням з повідомлення;
- надання персональних даних (PESEL, дівочого прізвища матері, дати народження, місця народження, ідентифікаційного номера), потрібних для отримання доступу до певних рахунків або, наприклад, для отримання кредиту;
- завантаження файлів зі шкідливим програмним забезпеченням (рахунків-фактур, запитів на оплату, листів від юридичної фірми);
- встановлення шкідливого програмного забезпечення (програм-вимагачів, троянів, вірусів).
Поняття «фішинг» означає "виловити" пароль – від англ. «fishing» (риболовля).
Як розпізнати фішинг?
Добре підготовлений фішинг розпізнати важко. Однак більшість атак має кілька типових ознак, на які варто звернути особливу увагу:
- повідомлення часто містять чимало мовних та граматичних помилок;
- повідомлення змушують нас діяти терміново і швидко та можуть призвести до неприємних наслідків (заблокований обліковий запис, верифікація, видалена фан-сторінка тощо)
- повідомлення може містити дивний номер, адресу або ім’я відправника (адреса відправника електронного листа, ім’я відправника SMS, ім’я облікового запису в соціальній мережі чи месенджері)
- повідомлення містять посилання, яке не належить до домену компанії чи установи (наприклад, allego-platnosci24.pl замість allegro.pl)
- повідомлення містять вкладення у нестандартному форматі (наприклад, .zip, .xls, .xlsx, .rar, .iso або .doc замість звичайного рахунку-фактури PDF)
Як захиститися від фішингу?
Ось чотири правила, яких слід дотримуватися, щоб захистити себе від фішингу.
1. Перевіряйте відправника повідомлення!
- Домен відправника електронної пошти має інший вигляд, ніж зазвичай? Не треба натискати та відкривати вкладення!
- Повідомлення в месенджері чи соцмережі з незнайомого акаунта? Або вміст здається підозрілим? Не відповідати!
2. Не натискайте на посилання з неочікуваних повідомлень. Варто перейти на сайт, ввівши адресу вручну.
Обліковий запис заблоковано? Не натискати!
- Профіль у соціальній мережі вимагає верифікації? Не натискати!
- Треба встановити новий пароль з міркувань безпеки? Не натискати!
- Потрібно авторизувати платіж? Не натискати!
- Якщо все-таки потрібно натиснути посилання, оскільки іншого варіанта немає, треба переконатися, що адреса веб-сайту правильна
3. Перевіряйте інформацію за допомогою іншого контактного каналу (або ініціювавши контакт самостійно)
- Хтось просить перейти на новий номер рахунку в електронному листі? Зателефонуйте або напишіть смс із запитом на підтвердження.
- Телефонують із компанії чи банку і запитують дані? Краще відхилити дзвінок і самостійно набрати номер зі сайту або написати в чат на сайті кампанії.
- Надходить смс з інформацією про необхідність оплати? Треба знайти номер цієї організації і уточнити деталі.
4. Не завантажуйте та не відкривайте вкладення до електронних листів, яких не очікуєте.
- Неочікуваний рахунок-фактура для оплати? Якщо ця компанія незнайома, треба перевірити її легальність в інтернеті.
- Вимога оплати? Якщо заплачено все вчасно -- повідомлення в кошик.
