Ловись, рыбка, или Фишинг и методы борьбы с ним

Слово «фишинг» в переводе с английского означает рыбалка. Одна лишь разница: рыбками, попавшими на крючок умелых аферистов-рыбаков, оказываются доверчивые пользователи.

Фишинг – один из распространенных способов мошенничества в Интернет, целью которого является получение доступа к конфиденциальным данным пользователя.

По некоторым оценкам, себестоимость одной фишинговой атаки составляет около двух тысяч долларов, а вот прибыль, которую получат злоумышленники, может достигать нескольких десятков тысяч.

Злоумышленники разводят пользователей на то, чтобы те выдавали телефоны, номера и полные реквизиты (включая CVV) банковский карт, логины и пароли от электронной почты и соцсетей.

Для того, чтобы завладеть этими данными, преступники предлагают жертвам некую услугу или возможность в обмен на конфиденциальную информацию.

Например, вам предлагают бешеные скидки при покупке товара в Интернет-магазине или предоставление информации о том, кто заходил на вашу личную страницу (хотя в реальности соцсети такую услугу не предоставляют).

Мошенники также могут выуживать данные под любыми другими внешне благовидными предлогами: проверка авторизации на сайте, отписка от спама, установка нового приложения.

Любопытный эксперимент провела недавно одна из британских компаний, специализирующаяся на защите от кибермошенников. Посетителям кафе предлагали бесплатный кофе в обмен на лайк страницы заведения в Фейсбук. Пока посетитель ждал заказ, сотрудники кафе уже знали о нём массу личной информации — от даты рождения и до вероисповедания. И это всё за лайк! Таким способом компания попыталась акцентировать внимание на необходимости защиты персональных данных.

Несмотря на то, что сейчас наблюдается тенденция к снижению фишинговой рассылки писем (крупные компании, соцсети, почтовые серверы уделяют много внимания защите персональных данных), расслабляться пока рано. Мошенники теперь стали более адресно выбирать своих жертв.

Как работает Интернет-фишинг?

Главная проблема фишинга состоит в том, что жертва сама, добровольно предоставляет свои конфиденциальные данные. Для выманивания мошенники используют фишинговые сайты, e-mail – рассылки, всплывающие окна, таргетированную рекламу в соцсетях.

Пользователю поступает предложение зарегистрироваться или подтвердить свои данные для неких компаний, банковских учреждений, сосцетей, брендов, сервисов электронной почты, клиентом которых он является.

Внешне всё выглядит чисто: электронный адрес отправителя похож на адрес знакомой компании, только отличается на 1-2 буквы (например, Alliexpress или Aliexxpress, маскирующиеся пол знаменитый Интернет-магазин Aliexpress).

Организаторов фишинг-атак больше всего интересуют данные, которые дают доступ к деньгам, поэтому жертвами могут становиться даже банки и электронные платёжные системы.

Схемы интернет-фишинга 

• Рассылка сообщений электронной почты с просьбой подтвердить логин и пароль. Злоумышленники покупают базы и в течение нескольких часов рассылают спам на миллионы адресов. Правда, этот метод уходит в прошлое: серверы, с которых рассылается спам, вычисляют и банят.
• Мошенничества при проведении Интернет-аукционов. Товары могут выставляться на продажу через легальный аукцион, а вот средства перечисляются через поддельный веб-узел.
• Фейковая благотворительность, просьбы о помощи и пожертвованиях.
• Фишинговые Интернет-магазины: товары продаются с сумасшедшими скидками, что привлекает покупателей. Они оставляют данные банковских карт, не ведая, что им воспользуются мошенники.
• «Поздравляем! Вы выиграли…». Вам приходит письмо с уведомлением о победе в некоем розыгрыше или лотерее (в которых вы, скорее всего, не участвовали). Чтобы получить приз, нужно авторизоваться, оставив на чужом ресурсе данные личного аккаунта.
• Предложение оставить данные (в первую очередь — банковские реквизиты), исходящее от ресурса, сильно похожего на знакомый вам сайт (даже дизайн сохраняется). Обычно маскируются под Интернет-магазины. После того, как вы передадите свои данные, вы остаетесь без товара и денег на карте.
• Ссылку на фишинговый сайт можно увидеть в комментариях на чужих страницах в соцсетях или даже ее может прислать знакомый, чей аккаунт взломали злоумышленники.
• Фишинговые сайты могут скрываться за всплывающими окнами. На них может вести также таргетированная реклама.

Как защититься от фишинга

1.       Никому и ни при каких обстоятельствах не передавайте конфиденциальные данные (логины и пароли, пин-код или CVV карты). Ни банк, ни соцсеть, ни почтовый сервер не имеют права запрашивать эту информацию.

2.       Установите хороший антивирус. Как правило, у них предусмотрена защита от вредоносных программ. Соцсети и браузеры тоже предупреждают пользователей о переходе на подозрительные сайты. Почтовые серверы отправляют письма в спам-папку тоже не всегда безосновательно. Не игнорируйте подобные предупреждения.

3.       Обращайте внимание на дизайн сайта: если он кажется странным, в нем много ошибок или выглядит так, будто собран школьником на коленке, скорее всего, это фишингновый сайт.

4.    Внимательно вчитывайтесь в адресную строку в ссылке перехода. Даже одна несоответствующая буква может привести вас на совершенно другой сайт (например, вместо mail.ru может быть meil.ru, а вместо vk.com – vk.co или vka.com). Будьте осторожны с сокращенными ссылками типа bit.ly, поскольку сразу невозможно распознать, что за ними скрывается.

5. Следите, чтобы было установлено защищенное соединение https, когда переходите на банковские сайты. В адресной строке должен отображаться специальный символ — замок. Обращайте внимание, подтвержден ли сертификат безопасности во всплывающем окне. Никогда не вводите свои пароли на незащищённых сайтах.

6. Письма с неизвестных адресов, начинающиеся со слов «Ваш аккаунт взломан!» или «Ваш профиль будет заблокирован!» (или, наоборот, с сообщения о крупном выигрыше), — почти всегда мошеннические.

7. Не заходите на банковские веб-аккаунты через открытые точки доступа общественного Wi-Fi. Мошенники легко могут перехватить ваши данные. Пользуйтесь мобильным Интернетом или защищённым соединением.

8. Если вы получили фишинговое письмо от якобы известной компании, сообщите об этом в отделение этой компании.

9. Не переходите по подозрительным ссылкам, которые сложно идентифицировать, в письмах или личных сообщениях. Даже если она приходит от известного вам человека, лучше быть начеку, ведь его аккаунт могли легко взломать.