Фишинг и целевой фишинг

Фишинг — это атака с использованием социальной инженерии, в которой применяются обманные электронные письма, сообщения или веб-сайты, чтобы заставить жертв раскрыть учётные данные, установить вредоносное ПО или перевести деньги.

Это самый распространённый вектор первоначального доступа при утечках данных во всём мире.

Эффективные фишинговые письма включают:

• Поддельный или похожий на настоящий адрес отправителя
• Срочность («Ваша учётная запись будет заблокирована»)
• Вредоносную ссылку на сайт для кражи учётных данных
• Фирменное оформление и логотипы надёжных организаций
• Запросы, побуждающие обойти обычные меры предосторожности

Разновидности фишинга:

• Фишинг по электронной почте — массовые кампании против множества жертв
• Целевой фишинг — атаки на конкретных людей с персонализированным содержанием
• Вейлинг — атаки на руководителей (генеральных и финансовых директоров)
• Вишинг — голосовой фишинг по телефону
• Смишинг — фишинг через SMS

Целевой фишинг использует сведения о жертве для повышения убедительности. Злоумышленники собирают информацию из LinkedIn, с корпоративных веб-сайтов и из социальных сетей, чтобы создавать персонализированные сообщения с упоминанием настоящих коллег, проектов или событий.

BEC — это сложная разновидность целевого фишинга, при которой злоумышленники выдают себя за руководителей, чтобы санкционировать мошеннические банковские переводы или раскрыть конфиденциальные данные. Атаки BEC принесли организациям по всему миру убытки в миллиарды долларов.

Злоумышленники используют:

• Похожие домены (например, paypa1.com, microsoft-verify.net)
• Скомпрометированные легитимные серверы для обхода фильтров репутации
• Сокращатели URL и перенаправления, чтобы скрыть конечные адреса
• Наборы для кражи учётных данных, копирующие страницы входа

Предупреждающие признаки в электронных письмах:

• Адрес отправителя не совпадает с отображаемым именем
• Неожиданная срочность или необычные запросы
• Наведите указатель на ссылки — адрес назначения не совпадает с отображаемым текстом
• Общие приветствия («Уважаемый клиент»)
• Запросы учётных данных, платежей или конфиденциальных данных

Механизмы защиты от подделки отправителя:

• SPF — определяет, какие серверы могут отправлять электронную почту от имени домена
• DKIM — использует криптографическую подпись электронных писем домена
• DMARC — определяет, что делать при сбое SPF/DKIM (поместить в карантин или отклонить)

Организации без DMARC можно без труда выдать за другой источник.

Организации проводят имитации фишинговых атак, чтобы проверять осведомлённость сотрудников и обучать их распознавать атаки. Сотрудники, которые переходят по имитированным фишинговым ссылкам, проходят дополнительное обучение. Со временем такие программы заметно снижают долю переходов по ссылкам.

Если о фишинговом письме сообщили:

1. Заблокируйте отправителя и URL во всех почтовых ящиках
2. Определите всех получателей
3. Проверьте, переходил ли кто-нибудь по ссылке или отправлял ли учётные данные
4. Немедленно сбросьте скомпрометированные учётные записи
5. Сохраните заголовки электронного письма для расследования

Уровни защиты:

• Фильтрация на почтовом шлюзе (проверка вложений в изолированной среде)
• Проверка репутации DNS
• Фильтрация URL в браузере и страницы с предупреждениями
• MFA — ограничивает ущерб, даже если учётные данные украдены
• MFA с защитой от фишинга (FIDO2 и аппаратные ключи)

Фишинг — самый распространённый вектор атак: с помощью обманных сообщений злоумышленники крадут учётные данные или устанавливают вредоносное ПО. Целевой фишинг использует собранные сведения для персонализации атак. SPF, DKIM и DMARC противодействуют подделке электронной почты. MFA и устойчивые к фишингу учётные данные (FIDO2) ограничивают ущерб, даже если фишинг оказывается успешным.