Phishing i spear phishing

Phishing to atak socjotechniczny wykorzystujący oszukańcze wiadomości e-mail, komunikaty lub witryny internetowe w celu nakłonienia ofiar do ujawnienia danych uwierzytelniających, zainstalowania złośliwego oprogramowania lub przelania pieniędzy.

Jest to najczęstszy początkowy wektor dostępu w przypadkach naruszenia bezpieczeństwa danych na całym świecie.

Skuteczne wiadomości phishingowe zawierają:

• Sfałszowany lub łudząco podobny adres nadawcy
• Presję czasu („Twoje konto zostanie zawieszone”)
• Złośliwy link prowadzący do witryny wyłudzającej dane uwierzytelniające
• Elementy identyfikacji wizualnej i logotypy zaufanych organizacji
• Prośby skłaniające do pominięcia standardowych zasad bezpieczeństwa

Odmiany phishingu:

• Email phishing — masowe kampanie skierowane do wielu celów
• Spear phishing — skierowany do konkretnych osób i wykorzystujący spersonalizowane treści
• Whaling — atakuje osoby na stanowiskach kierowniczych (CEO, CFO)
• Vishing — phishing głosowy za pośrednictwem połączeń telefonicznych
• Smishing — phishing za pośrednictwem wiadomości SMS

Spear phishing wykorzystuje informacje zebrane na temat celu, aby zwiększyć wiarygodność ataku. Atakujący zbierają informacje z LinkedIn, witryn firmowych i mediów społecznościowych, aby tworzyć spersonalizowane wiadomości odwołujące się do prawdziwych współpracowników, projektów lub wydarzeń.

BEC to wyrafinowany wariant spear phishingu, w którym atakujący podszywają się pod osoby na stanowiskach kierowniczych, aby doprowadzić do zatwierdzenia fałszywych przelewów bankowych lub ujawnić wrażliwe dane. Ataki BEC kosztowały organizacje na całym świecie miliardy dolarów.

Atakujący wykorzystują:

• Łudząco podobne domeny (np. paypa1.com, microsoft-verify.net)
• Przejęte legalne serwery, aby ominąć filtry reputacyjne
• Skracacze adresów URL i przekierowania ukrywające docelowe adresy
• Zestawy do wyłudzania danych uwierzytelniających, które klonują strony logowania

Sygnały ostrzegawcze w wiadomościach e-mail:

• Adres nadawcy nie jest zgodny z wyświetlaną nazwą
• Nieoczekiwana presja czasu lub nietypowe prośby
• Najedź kursorem na linki — adres docelowy nie odpowiada wyświetlanemu tekstowi
• Ogólne powitania („Szanowny Kliencie”)
• Prośby o dane uwierzytelniające, płatność lub wrażliwe dane

Mechanizmy zapobiegające podszywaniu się:

• SPF — określa, które serwery mogą wysyłać pocztę w imieniu domeny
• DKIM — kryptograficznie podpisuje wiadomości e-mail wysyłane z domeny
• DMARC — określa, co należy zrobić, gdy SPF lub DKIM zawiedzie (kwarantanna/odrzucenie)

W przypadku organizacji bez DMARC łatwo można się pod nie podszyć.

Organizacje przeprowadzają symulacje phishingu, aby sprawdzać świadomość pracowników i uczyć ich rozpoznawania ataków. Pracownicy, którzy klikną symulowane linki phishingowe, przechodzą dodatkowe szkolenie. Programy symulacyjne z czasem mierzalnie zmniejszają odsetek kliknięć.

Po zgłoszeniu phishingowej wiadomości e-mail:

1. Zablokować nadawcę i adres URL we wszystkich skrzynkach pocztowych
2. Zidentyfikować wszystkich odbiorców
3. Sprawdzić, czy ktoś kliknął link lub przesłał dane uwierzytelniające
4. Natychmiast zresetować przejęte konta
5. Zachować nagłówki wiadomości e-mail na potrzeby analizy

Warstwy ochrony:

• Filtrowanie na bramie pocztowej (uruchamianie załączników w piaskownicy)
• Sprawdzanie reputacji DNS
• Filtrowanie adresów URL w przeglądarce i strony ostrzegawcze
• MFA — ogranicza szkody nawet w przypadku kradzieży danych uwierzytelniających
• MFA odporne na phishing (FIDO2/klucze sprzętowe)

Jak nazywa się ukierunkowana wiadomość phishingowa, która odwołuje się do współpracownika z imienia i nazwiska oraz do konkretnego projektu wewnętrznego?

Phishing jest najczęstszym wektorem ataku i wykorzystuje oszukańcze wiadomości do kradzieży danych uwierzytelniających lub instalowania złośliwego oprogramowania. Spear phishing wykorzystuje informacje zebrane na temat celu, aby personalizować ataki. SPF, DKIM i DMARC przeciwdziałają podszywaniu się pod nadawców poczty e-mail. MFA i dane uwierzytelniające odporne na phishing (FIDO2) ograniczają szkody nawet wtedy, gdy phishing zakończy się powodzeniem.