Як захистити організацію від фішингових атак?

Що таке фішинг?

Фішинг — це атака соціальної інженерії, яка використовується для крадіжки даних, таких як облікові дані, номери кредитних карток і т. д. Зловмисник робить все можливе, щоб ви йому довірили та штовхає вас на шлях перехоплення конфіденційних даних за допомогою технік фішингу.

Найпопулярніші техніки фішингу

Email фішинг

Email фішинг одна з найпоширеніших технік фішингових атак. Зловмисник використовує кампанії електронною поштою, які налаштовані під бренд, якому довіряють користувачі та підштовхує користувача на дію.

На скрині №1 наведено приклад фішингової атаки електронною поштою, створеної зловмисником з використанням маскування під бренд FedEx. Зловмисник використовував фірмовий стиль — логотип, шрифт тощо.

Крім того, зловмисник, щоб підштовхнути користувачів до дії, використав терміновість. Наприклад, у листі ви можете побачити повідомлення “Якщо ми не отримаємо відповідь, посилка буде повернена відправнику” та дату закінчення терміну дії.” Застосування такого тиску змушує користувача бути менш старанним і схильнішим до помилок.

Spear phishing (цільовий фішинг)

Spear phishing — різновид фішингової атаки спрямованої проти конкретної компанії/людини. Зловмисник вивчає співробітників компанії, процеси, готує персональний ланцюжок атаки, максимально адаптований під процеси організації.

Давайте розглянемо приклад фішингової атаки. Зловмисник відправляє електронного листа керівнику відділу, у темі пише: “Оновлений рахунок.” Текст, стиль та включений логотип дублюють стандартний шаблон електронної пошти організації.

Посилання в електронному листі перенаправляє на захищений паролем внутрішній документ. Керівнику пропонується увійти до системи для перегляду документа. Зловмисник краде його облікові дані, отримуючи повний доступ до конфіденційних сервісів у мережі організації.

Також активно використовуються техніки фішингових атак такі як CEO Fraud — це свого роду spear phishing (цільовий фішинг) з використанням імітованих профілів відомих людей.

Business Email Compromise (BEC)

також відома як Email Account Compromise (EAC) атака. Одна з найнебезпечніших підкатегорій цільового фішингу націленого на конкретну організацію. Як правило, ВЕС не містить нічого крім тексту, що допомагає замаскуватися у звичайному трафіку. Деякі ВЕС-атаки відбуваються навіть у середині вже існуючої гілки листування. Найчастіше зловмисник видає себе за керівника в організації.

Brand Spoofing — коли зловмисник використовує впізнаваність бренду, щоб отримати конфіденційні дані.

Клікджекінг (Clickjacking) — техніка обману користувача, за якої зловмисник заманює на нешкідливу сторінку, де впроваджено шкідливий код, за допомогою якого отримує доступ до конфіденційної інформації, або навіть до комп'ютера користувача.

Фармінг (Pharming) — техніка прихованого перенаправлення користувачів на фішингові сайти. Зазвичай зловмисник запускає на комп'ютерах користувачів шкідливу програму, яка перенаправляє на підроблені сайти.

Сердитий двійник (evil twin) — двійник бездротової точки доступу, до якої підключаються користувачі, передаючи конфіденційні дані.

Як захистити компанію від фішингових атак?

Навчати користувачів.

Навчання з питань безпеки та система імітації фішингу можуть навчити співробітників приймати більш розумні рішення у сфері кібербезпеки. Як правило, рішення містять навчальні матеріали, а також сервіс симуляції фішингових атак, з можливістю перевірки як реагують співробітники.

Використовувати антифішингові рішення.

Антифішингові рішення сканують вміст вхідних та внутрішніх повідомлень електронної пошти, а також посилання та вкладення у повідомленнях на наявність ознак, що передбачають потенційну атаку фішингу або видачу себе за іншу особу. Сервіси захисту від фішингу також можуть використовувати DNS-аутентифікацію та протоколи DMARC, DKIM та SPF для виявлення потенційних проблем з аутентифікації.

Компанія Softprom — Value Added IT Distributor надає повний цикл підтримки на всіх етапах продажу: presale, пілотування, впровадження, навчання, технічна підтримка.

Якщо виникне питання або потреба в розрахунку проекту, сприянні у впровадженні (є сертифіковані інженери), отриманні спеціалізованої ціни від вендора, будь ласка, пишіть, телефонуйте, контакти для зв'язку тут.