Phishing ay isang napaka-tanyag na paraan ng pagnanakaw ng data mula sa mga gumagamit ng Internet, dahil hindi ito nangangailangan ng malalaking gastos sa pananalapi at isang unibersal na tool - mas panlipunan kaysa sa teknolohiya. Dahil dito, mabilis na makakaangkop ang isang manloloko o isang grupo ng mga katulad na indibidwal sa isang bagong paraan ng pagtatrabaho. Ang mga manloloko ngayon ay marami na ring alam at patuloy na pinapabuti ang kanilang mga kakayahan.
Sigurado ako na karamihan sa inyo ay nakarinig at nakatagpo ng phishing, ngunit sa maraming pagkakataon ay dumaan kayo nang hindi nalalaman kung ano ito at kung gaano ito mapanganib. Ngayon ay susubukan kong palawakin ang iyong kaalaman, at sasabihin ko sa iyo kung gaano mapanganib ang phishing, kung paano ito makikilala at kung paano protektahan ang iyong sarili mula dito.
Ano ang phishing?
Ang pinakasimpleng kahulugan ng phishing ay ito ay isang paraan ng pandaraya kung saan ang mga kriminal, na nagpapanggap na mga kinatawan ng mga maaasahang institusyon, ay humihingi ng kumpidensyal na data, kadalasan - mga password para sa pagpasok ng mga serbisyo sa electronic banking, mga panloob na network ng kumpanya, pati na rin ang mga numero ng card ng pagbabayad at email. mga address. mail
Para dito, ang mga umaatake ay gumagamit ng mga malisyosong programa at sinusubukang gumamit ng social engineering para pilitin ang mga biktima na gumawa ng ilang partikular na aksyon na makakatulong sa kanila na makuha ang ninanais na resulta. Ang mga pag-atake na nagta-target sa mga ordinaryong user ay medyo simple, ngunit ang mga cybercriminal ay patuloy na gumagamit ng mas sopistikadong mga diskarte sa phishing na nangangailangan ng pangangalap ng impormasyon tungkol sa mga biktima upang makatulog sila sa paglalaro ng kanilang mga panuntunan.
Paano gumagana ang phishing?
Ang phishing, na karaniwan naming nakikitungo, ay binubuo ng pagpapadala ng mga espesyal na ginawang email o SMS sa mga potensyal na biktima. Naglalaman ang mga ito ng mga link sa mga nakakahamak na website kung saan ang mga user ng Internet ay kinakailangang magbigay ng sensitibong impormasyon, na karaniwang isang login at password para sa isang website ng electronic banking. Sa paggawa nito, pinapayagan mo ang mga manloloko na magnakaw ng pera mula sa iyong mga account. Ang pagpapagawa sa biktima ay ang pinakamalaking hamon, kaya ang mga cybercriminal ay patuloy na gumagawa ng mga bagong pamamaraan upang maisakatuparan ang kanilang mga plano. Kamakailan, ang pinakakaraniwang paraan ng phishing ay micropayments.
Sa mga nakakahamak na mensahe, maaari mong "alamin" ang tungkol sa isang nasuspinde na pakete ng mga serbisyo, isang naka-block na auction sa site ng alok, isang pagkakaiba sa halaga ng singil, mga atraso sa inspektor ng buwis o sa supplier ng enerhiya, na magkakaroon ng hindi kasiya-siyang kahihinatnan para sa iyo. Maaaring mailipat ang mga hindi sapat na pondo sa pamamagitan ng site ng mabilis na pagbabayad na naka-link sa mensahe. Gayunpaman, nagre-redirect ito sa isang site na mukhang mapanlinlang na katulad ng mga sikat na site tulad ng PayPal o DotPay. At ang data na ipinasok dito ay napupunta sa mga kriminal, na nagpapahintulot sa kanila na ipasok ang account ng biktima sa serbisyo ng transaksyon at ilipat ang mga pondo sa pananalapi sa kanilang sariling mga account.
Gaya ng nakikita mo, ang mekanismong ito ay napakasimple, ngunit ang pinakamalaking problema ng manloloko ay upang bigyan ang biktima ng data, kaya patuloy kaming nakikitungo sa mga bagong kampanya sa phishing. Ang mga cybercriminal ay hindi palaging nagbabanta ng hindi kasiya-siyang mga kahihinatnan. Ang isang tanyag na paraan ay ang pagpapalaganap ng kamalayan sa pamamagitan ng mga patalastas na nakalagay sa mga website at mga social network na may kaakit-akit na mga premyo, na may posibilidad na kumita ng maraming pera nang mabilis o kahit na makatanggap ng pamana mula sa ilang namatay na ngayon na Kenyan, American o Scottish (piliin ang iyong bansa) bilyonaryo , sino ang iyong malayong kamag-anak. Sa huling kaso, ang mga larawan ng mga sikat na personalidad (siyempre, nang walang pahintulot) ay kadalasang ginagamit upang kumbinsihin ang pagiging tunay ng scam.
Gayunpaman, ang phishing ay hindi lamang pagnanakaw ng personal na data ng mga ordinaryong gumagamit ng Internet. Sa ganitong paraan, lalong sinusubukan ng mga manloloko na kumbinsihin ang mga empleyado ng kumpanya na bigyan sila ng login at password para sa panloob na network ng kumpanya o mag-install ng malisyosong software. Bibigyan sila nito ng bukas na access sa database ng kumpanya o organisasyon at hahantong sa pagnanakaw ng iba't ibang impormasyon.
Basahin din: 5 simpleng tip: kung paano gumawa at mamahala ng mga password
Ang nabanggit na naka-target na phishing ay kadalasang ginagamit para sa mga partikular na layunin. Ang pamamaraang ito ay binubuo sa katotohanan na ang mga kriminal ay pumili ng isang partikular na tao mula sa mga tauhan ng kumpanya at ituon ang kanilang pansin sa kanya, na pinipilit siyang maglaro sa kanyang larangan. Ang mga accountant, sekretarya at empleyado na may access sa database ay nasa isang espesyal na zone ng peligro. Ang mga kriminal ay gumugugol ng mga buwan sa pangangalap ng impormasyon tungkol sa taong ito at ginagamit ito upang magmukhang kapani-paniwala ang scam hangga't maaari. Kung minsan ang mga scammer ay nagpapanggap na mga superbisor o kawani ng suporta, na pinipilit ang user na mag-install ng malware sa kanilang PC. Ang ganitong uri ng phishing ay mas mahirap tukuyin dahil ito ay isinapersonal, na tiyak na nagpapahirap sa paghahanap ng mga umaatake.
Basahin din: Edward Snowden: sino siya at ano ang nalalaman tungkol sa kanya?
Parami nang paraming organisasyon ang nahaharap sa problemang ito. Ang pinakamahusay na paraan upang mabawasan ang ganitong banta ay ang pagsasanay at pagpapaalam sa mga empleyado upang hindi sila maging biktima ng mga sopistikadong kriminal. Sa kasalukuyan, ito ang pinakamahusay na paraan ng proteksyon laban sa phishing, dahil ang mga antivirus program ay minsan ay nakaka-detect ng malisyosong attachment sa isang email na mensahe o nag-block ng pekeng website, ngunit hindi nila ito ginagawa sa lahat ng pagkakataon. Ang sentido komun at ang prinsipyo ng limitadong pagtitiwala ay ang pinakamahusay na sandata sa paglaban sa pandaraya.
Paano makilala ang mga mensahe ng phishing?
Hindi laging madaling hulaan ang mga aksyon ng mga manloloko, ngunit kung hindi natin hahayaan ang ating sarili na magmadali at mahinahong lumapit sa bawat isa at lalo na sa kahina-hinalang mensahe, suriin ang ilang elemento nito, kung gayon mayroon tayong magandang pagkakataon na hindi maging biktima ng phishing. Nasa ibaba ang ilang halimbawa ng mga nakakahamak na mensahe. Ililista nila ang mga pangunahing elemento ng mga pag-atake sa phishing na dapat makatulong sa iyong makilala ang mga ito.
Bigyang-pansin ang nagpadala ng mensahe
Sa karamihan ng mga kaso, ang mga scammer ay hindi nagsisikap na itago ang address kung saan nagmumula ang mga malisyosong mensahe, o torpe na nagpapanggap bilang isang pinagkakatiwalaang service provider. Malinaw na ipinapakita ng ibinigay na halimbawa na ang field na "Mula kay" ay hindi naglalaman ng isang address mula sa domain ng bangko, gaya ng inaangkin ng mga cybercriminal. Sa halip, mahahanap mo ang domain na *.com.ua o *.org.ua sa halip na *.ua, na ginagamit ng mga institusyong pinansyal na tumatakbo sa Ukraine. Minsan ang mga manloloko ay mas tuso at gumagamit ng mga address na katulad ng mga serbisyong ginagaya nila, ngunit naiiba sa orihinal sa maliliit na detalye, gaya ng nilalaman ng sulat o mga anotasyon sa kanila.
Suriin ang address ng naka-link na pahina
Ang partikular na atensyon ay dapat bayaran sa mga mensaheng e-mail sa mga address ng mga pahina na kanilang tinutukoy. Taliwas sa mga pagpapakita, hindi mo kailangang i-click ang mga ito upang makita kung saan ka nila dadalhin. Mag-hover lang sa link at hintaying ipakita ng iyong browser o email program ang URL na nakatago sa ilalim ng text. Ang partikular na atensyon ay dapat bayaran sa mga site na hindi nauugnay sa ibinigay na serbisyo.
Huwag kang mag-madali
Ang pagmamadali ay hindi kailanman mabuting katulong. Ang parehong naaangkop sa pagsusuri ng mga natanggap na mensahe na dumarating sa aming mail. Madalas na sinusubukan ng mga kriminal na gawing madaliin ang mga potensyal na biktima at, siyempre, upang pukawin ang isang pagkakamali. Sinusubukan nila ang kanilang makakaya upang limitahan ang time frame ng promosyon o raffle kung kailan mo matatanggap ang iyong premyo o cash reward.
Sa ilang mga kaso, nagbabanta pa ang mga manloloko na i-block ang account sa anumang serbisyo. Huwag palinlang dito at palaging suriing mabuti ang mga kahina-hinalang mensahe. Tandaan na ang libreng keso ay matatagpuan lamang sa bitag ng daga. Bilang karagdagan, ang mga organizer ng mga sweepstakes at promo ay malamang na hindi harangan ang iyong account. Kailangan nila ng mga tagasuskribi at tagahanga para sa iba pang mga promo na tulad nito.
Ang paghingi ng kumpidensyal na data ay palaging isang scam
Ang pangunahing prinsipyo ng seguridad sa elektronikong komunikasyon ng mga service provider at kanilang mga customer ay hindi magpadala ng kumpidensyal na data sa mga sulat. Kung hihilingin sa iyong magpasok ng login at password para sa isang serbisyo dahil naka-lock ang iyong account o katulad nito, maaari mong tiyakin na ang mensahe ay ipinadala ng mga kriminal. Gayunpaman, kung mayroon kang anumang mga pagdududa, mangyaring makipag-ugnayan sa iyong provider, halimbawa ang iyong service provider ng telepono, na maglilinaw sa anumang mga pagdududa na maaaring mayroon ka. Tandaan, walang karapatan ang mga bangko, o mga mobile operator o iba pang serbisyo na pilitin kang magpadala sa kanila ng personal na data.
Basahin din: Bakit sa panahong ito ay mas mahusay na huwag mag-online nang walang VPN
Mga kahirapan sa pagsasalin
Ang isang mahalagang bahagi ng mga kampanya sa phishing ay inihanda ng mga dayuhang kriminal na walang ideya tungkol sa ating wika. Gumagamit sila ng mga online na serbisyo upang isalin ang nilalaman ng mga e-mail sa Russian o Ukrainian, na kadalasang nagiging nakakatawa. Ang mga ganitong mensahe ay walang mga grammatical error, kulang ang mga ito ng mga bantas at maraming maling nakasulat na salita. Kung may napansin kang ganito, huwag mag-atubiling tanggalin ang mensahe.
Mag-ingat sa mga attachment
Gumagamit din ang mga kriminal ng malware para magnakaw ng sensitibong data o mag-hack ng mga computer at buong network. Ang mekanismo ng pagkilos ay pareho, at isang pagtatangka na kumbinsihin ang biktima na magbukas ng isang malisyosong attachment. Kadalasan, nakatago ang mga ito sa ZIP o RAR archive at nasa anyo ng mga executable EXE o BAT file. Gayunpaman, maaari ding itago ang malisyosong code sa mga macro ng dokumento ng programa Microsoft Office o Google Docs, kaya dapat mong bigyang pansin ang mga ito at i-scan ang mga ito gamit ang isang anti-virus program bago tumakbo.
Kung bibigyan mo ng pansin ang mga elementong ito kapag nagsusuri ng mga kahina-hinalang mensahe, malamang na hindi ka malilinlang ng mga kriminal.
Paano protektahan ang iyong sarili mula sa phishing?
Sa kasamaang palad, walang ganoong tool na magagarantiya ng mataas na antas ng proteksyon laban sa ganitong uri ng mga scammer. Upang maiwasan ang phishing, kailangan mong gumamit ng ilang elemento. Ang pinakamahalaga sa mga ito ay ang sentido komun at limitadong pagtitiwala sa bawat mensahe. Tandaan, kami ang nangunguna sa paglaban sa mga kriminal at ito ay nakasalalay lamang sa iyo kung gaano mo sila kabisa.
Inirerekomenda rin ang mga programang anti-virus, kahit na hindi nila malalaman kung phishing ang isang email na tinitingnan. Ngunit magagawa nilang harangan ang ilang mapanganib na mga site at attachment. Sigurado ako na tiyak na tutulungan ka ng antivirus software na protektahan ang mga computer at personal na data.
Basahin din: 10 pinakamahusay na mga programa para sa pag-iimbak ng mga password
Mahalaga rin na gumamit ng up-to-date na software, sa partikular na mga operating system, dahil ang mga bagong kahinaan at problema sa seguridad ay patuloy na natutuklasan ng mga developer at na-neutralize. Tandaan na ang paggamit lamang ng mga pinakabagong bersyon ng OS ay ginagarantiyahan ang napapanahong mga update sa seguridad.
Isa ring magandang kasanayan ang paggamit ng dalawang-hakbang na pag-verify ng pagkakakilanlan ng user sa mga serbisyo sa web. Ito ay malawakang ginagamit sa electronic banking, ngunit magagamit sa dumaraming bilang ng mga serbisyo at website. Ang dalawang hakbang (o dalawang bahagi) na pag-verify ay binubuo sa pagpasok ng karagdagang code bilang karagdagan sa tradisyonal na password at pag-login
Ang login code ay maaaring ipadala sa iyo sa pamamagitan ng email, SMS o binuo ng isang application na ibinigay ng iyong service provider. Mayroon ding mga third-party na app na nagbibigay-daan sa iyong mag-link ng mga account sa maraming website at bumuo ng mga code sa isang lugar, halimbawa, sa iyong smartphone.
Gayunpaman, ang pinaka-maginhawang paraan ng dalawang-hakbang na pag-verify ay ang mga pisikal na U2F na security key, na nag-aalis ng pangangailangang isulat ang mga password at code sa isang notebook. Ipasok lamang ang key sa USB port ng computer, sa gayon ay makipag-ugnayan sa mga sinusuportahang serbisyo para sa awtorisasyon.
Ang phishing ay isang malaking banta dahil, ayon sa ilang mga pag-aaral, hindi lamang ito ang dahilan para sa maraming mga gumagamit na mawalan ng pera, kundi pati na rin ang pangunahing dahilan ng pagtagas ng data ng kumpanya. Gayunpaman, tulad ng ipinakita namin sa artikulong ito, sa karamihan ng mga kaso ang mga intensyon ng mga cybercriminal ay madaling makilala at maiwasan.
Basahin din: Mobile Google Chrome sa mga steroid: i-activate ang 5 nakatagong feature