Ataki phishingowe, czyli ataki socjotechniczne mające na celu kradzież danych użytkownika, przeżywają rewolucję. Niedawny szybki rozwój sztucznej inteligencji nie tylko otworzył nowe ścieżki dla legalnych firm: ChatGPT jest obecnie wykorzystywany do przeprowadzania oszustw typu phishing. 

Dowiedz się, jak LayerX może pomóc Twojemu zespołowi ds. bezpieczeństwa

Czym są ataki phishingowe?

Phishing istnieje niemal tak długo, jak Internet. Wczesne ataki wykorzystywały podstawowe zabezpieczenia poczty e-mail, co umożliwiało atakującym wykradanie adresów e-mail i wysyłanie szkodliwych wiadomości drogą radiową. Głową wczesnych ataków phishingowych było oszustwo związane z nigeryjskim księciem. W ten sposób członek pozornie nigeryjskiej rodziny królewskiej kontaktował się z potencjalnymi ofiarami, oferując oszałamiającą kwotę pieniędzy. Wykorzystując swoją niepewność finansową, osobom bezbronnym zostanie obiecana suma po przesłaniu „opłaty manipulacyjnej”. 

Nowoczesne ataki wykorzystały ten szablon, rozrosły się i rozkwitły daleko poza oszustwami pełnymi literówek. Ze względu na ogromną ilość informacji przetwarzanych obecnie przez konta internetowe, atakujący chcą teraz zebrać wszystko, od danych kont bankowych po nazwy użytkowników i hasła. Pod przykrywką legalnego i renomowanego źródła osoba atakująca próbuje wydobyć informacje, wysyłając kuszącą lub alarmującą prośbę. 

W niedawnej weryfikacji koncepcji – pomimo ostrzeżenia narzędzia o potencjalnym naruszeniu polityki dotyczącej treści – badacze poprosili narzędzie o podszywanie się pod e-mail od firmy hostingowej. W ten sposób powstał dobry pierwszy szkic. Powtarzając pierwszą próbę, poprosili następnie o odmianę, która przekonałaby cel do pobrania dokumentu w formacie Excel, będącego trojanem. 

Oto wynik:

 

Badacze poszli dalej: dzięki programowi Codex firmy Open AI – służącemu do konwersji tekstu na kod – udało im się utworzyć dokument w programie Excel, który po otwarciu automatycznie rozpoczynał pobieranie złośliwego kodu. Pomimo ograniczeń nałożonych na te systemy sztucznej inteligencji, Codex nie zidentyfikował złośliwych zamiarów w żądaniu. Podobnie jak e-mail phishingowy ChatGPT, początkowy kod miał wady, ale po kilku iteracjach oferował doskonale funkcjonalny złośliwy skrypt.

W miarę ewolucji ataków phishingowych ważne jest, aby Twoja organizacja była o krok przed innymi.

Jak działa phishing

Podstawą każdego ataku phishingowego jest wiadomość. Może to nastąpić za pośrednictwem poczty elektronicznej, mediów społecznościowych lub telefonu. Stałe połączenie nowoczesnych smartfonów i urządzeń stanowi największą powierzchnię ataku w historii cyberprzestrzeni. 

Osoba atakująca wyłudzająca informacje często wykorzystuje informacje publiczne — niezależnie od tego, czy są to informacje publikowane na kontach w mediach społecznościowych, czy też wcześniejsze wycieki, których doświadczyli główni administratorzy danych. Te podstawowe informacje pomagają im stworzyć profil ofiary, obejmujący imię i nazwisko, zainteresowania osobiste i doświadczenie zawodowe odbiorcy. Wszystkie te dane są wykorzystywane w ataku w celu stworzenia niezawodnie przekonującego komunikatu. Odbiorcami współczesnych ataków phishingowych są pozyskiwani co roku miliony adresów e-mail objętych naruszeniami danych. Niedawne badanie IBM i Ponemon dotyczące kosztów naruszeń danych wykazało, że naruszenia bezpieczeństwa danych kosztują obecnie średnio prawie 4 miliony dolarów, z udziałem aż 90% przedsiębiorstw doznał naruszenia w ciągu ostatniego roku. Wyciekłe dane kontaktowe są wymieniane za pośrednictwem podziemnych rynków i umieszczane w użytecznych bazach danych na potrzeby szeroko zakrojonych kampanii phishingowych.

Wiadomości e-mail pojawiające się w skrzynce odbiorczej ofiary często próbują udawać, że są wiarygodne: kampanie te mogą być wspierane złośliwymi załącznikami i pomocniczymi witrynami internetowymi, których celem jest zbieranie jeszcze większej ilości danych osobowych od ofiar. 

Rodzaje ataków phishingowych

Istnieją różne kanały, za pomocą których napastnicy kontaktują się ze swoimi ofiarami. Te ataki phishingowe obejmują szeroką gamę kompromisów, a każdy typ opiera się na pewnych mocnych stronach swojego medium.

Wyłudzanie e-maili

Jedna z najstarszych i najskuteczniejszych form phishingu: napastnicy często rejestrują się pod nazwami domen, które są bliską parodią ich legalnej wersji. Mogą to być domeny całkowicie amatorskie – jeśli napastnicy celowo obierają za cel te, które czytają wiadomości e-mail – lub fałszywe domeny e-mail, które wyglądają niemal identycznie z ich legalnymi wersjami. Zastępowanie lub dodawanie znaków specjalnych to jedno z najpowszechniejszych podejść (na przykład zmiana mojego banku na mój bank). Wykorzystując solidną parodię, następnie rozpoczynają spamowanie atakami phishingowymi na tysiące potencjalnych ofiar.

Palenie

Podczas gdy tradycyjne ataki phishingowe opierają się na wiadomościach e-mail, w ciągu ostatniej dekady smartfony umożliwiły zupełnie nowe podejście do ataków. Fałszywe wiadomości SMS w pełni wykorzystują luźniejsze protokoły bezpieczeństwa stosowane przez urządzenia mobilne (i ich użytkowników). Wiadomości te często prowadzą do kontrolowanej przez osobę atakującą witryny zainfekowanej złośliwym oprogramowaniem, ze skróconymi adresami URL i brakiem możliwości najechania myszą, co pozwala atakującym uzyskać przewagę. 

Spear Phishing

W odpowiedzi na coraz mniejszą skuteczność metody „spryskaj i módl się”, napastnicy zastosowali potężniejszą formę ataku: phishing typu spear. Skupia to wysiłki atakujących na mniejszej liczbie ofiar, celując w kilka konkretnych ofiar. Ataki te wykorzystują pełną siłę uwagi atakującego, a także wykorzystują pełny zakres informacji zawartych w publicznych profilach na Facebooku i LinkedIn. 

vishing

Podobne do smishingunapastnicy chętnie korzystają także z innych metod: phishing głosowy, czyli vishing, wykorzystuje bardziej bezpośrednią relację między osobą dzwoniącą a ofiarą. To sprawia, że ​​niektóre aspekty ataków phishingowych – takie jak pilność i groźby – są szczególnie skuteczne. W tym przypadku napastnicy stosują ten sam trik, często udając zespół dochodzeniowy zajmujący się oszustwami z banku ofiary. Stamtąd przestępcy często proszą ofiary o dane karty kredytowej w celu zweryfikowania jej tożsamości. Jednak Vishing można również zautomatyzować: te automatyczne połączenia często wymagają od użytkownika końcowego wpisania danych osobowych na klawiaturze.  

Phishing Angler

Podczas gdy wielu napastników aktywnie ściga swoje potencjalne ofiary, phishing dla wędkarzy przyjmuje inne podejście i zamiast tego czeka, aż się skontaktują. Ukrywając się za fasadą fałszywego konta w mediach społecznościowych prawdziwego, dobrze znanej organizacji, osoba atakująca może również dołączyć zdjęcie profilowe prawdziwego konta. Oprócz przekonująco fałszywego loginu, phisherzy wędkarze wykorzystują rosnącą tendencję do rozpatrywania skarg konsumenckich za pośrednictwem kanałów mediów społecznościowych. Podczas gdy klienci korzystają z nich, aby poprosić o pomoc, napastnicy mogą dowolnie manipulować rozmową w celu osiągnięcia własnych celów w zakresie gromadzenia danych.  

Jak rozpoznać oznaki phishingu?

Chociaż socjotechnika jest głównym składnikiem złośliwych wiadomości e-mail, mamy dobrą wiadomość: napastnicy często polegają na kilku kluczowych podejściach w swoich wiadomościach. Są one na tyle powtarzalne, że wystarczy mieć oko i wykryć niewymagające wysiłku ataki phishingowe przed kliknięciem złośliwego łącza lub dokumentu. 

Negatywne, pilne konsekwencje

Do wszelkich wiadomości grożących lub kładących szczególny nacisk na negatywne skutki należy podchodzić ze szczególną ostrożnością. Dzieje się tak, ponieważ implikacja zagrożenia wyzwala reakcję kortyzolu w mózgu. Podczas gdy serce bije szybciej, a krew przepływa do mięśni w bezpośredniej odpowiedzi na ten hormon stresu, atakujący przejmuje tę reakcję biologiczną. Jest to jeden z powodów, dla których fałszywe wiadomości e-mail służące do resetowania hasła są tak potężnym narzędziem w arsenale atakującego: ukrywając się pod groźbą naruszenia bezpieczeństwa konta, napastnicy są w stanie ominąć procesy krytycznego myślenia, które zwykle zapewniają ochronę. W połączeniu z pilnym tonem ofiary są bardzo skłonne do spełnienia każdego żądania napastnika.

Niezwykły ton

Inną cechą wiadomości phishingowych, która powinna wywołać natychmiastowy alarm u odbiorcy, jest niewłaściwy lub nieoczekiwany ton. Przewaga ofiar jest prosta: wiesz, z iloma swoimi kolegami, przyjaciółmi i rodziną się komunikujesz. Ta świadomość daje Ci lepszą podstawę do wykrywania przypadków nieprawidłowej komunikacji. Jeśli bliski przyjaciel wyśle ​​wiadomość zawierającą formalny język lub kolega zacznie używać zbyt przyjaznych terminów, może to być pierwsza oznaka, która pozwoli Ci się zabezpieczyć.

Nieoczekiwane prośby

Podobnie jak w tonie wiadomości e-mail – żądania wbudowane w wiadomość phishingową mogą zapewnić kolejny wgląd w prawdziwe intencje nadawcy. Jeśli nagle zostaniesz poproszony o wykonanie czynności, która nie należy do Twoich zwykłych obowiązków, warto poświęcić dodatkową sekundę na ponowne sprawdzenie. Może to wykorzystać większe zrozumienie kontekstu dostępne dla ofiar: na przykład, jeśli Twoja organizacja ma centralny zespół IT, który zarządza instalacją oprogramowania, wiesz, że każdą wiadomość e-mail z prośbą o pobranie oprogramowania należy traktować ze szczególną ostrożnością. 

Jak chronić swoje przedsiębiorstwo przed atakami typu phishing

Chociaż pojedyncze osoby mogą stać się niezwykle nieufne wobec phishingu, faktem pozostaje, że phishing obejmujący całe przedsiębiorstwo to po prostu gra statystyczna: ktoś gdzieś się spieszy i otworzy drzwi atakującym. Ochrona w całym przedsiębiorstwie wymaga połączenia angażujących i skupiających się na nawykach szkoleń oraz rozwiązań, które lepiej wspierają pracowników, zachowując ich ochronę. 

Szkolenie świadomości pracowników

Podstawa solidna ochrona przed phishingiem plany zaczynają się od ofiary: dzięki wyposażeniu pracowników w aktualne i istotne informacje na temat charakteru dzisiejszych ataków, ataki wykorzystujące socjotechnikę stają się znacznie trudniejsze do skutecznego przeprowadzenia. To sprawia, że ​​szkolenie pracowników jest jedną z najważniejszych form obrony przedsiębiorstwa. Pracownicy muszą rozumieć cele i techniki najnowocześniejszych ataków phishingowych oraz wiedzieć, którym członkom zespołu należy zgłaszać podejrzane incydenty. W ten sposób organizacja nie tylko wspiera pracowników, ale przyjmuje proaktywną postawę w zakresie cyberbezpieczeństwa, która dostosowuje się i ewoluuje wraz z atakującymi. 

Oprócz tego należy zachęcać pracowników, aby zwracali uwagę na pozytywne wskaźniki bezpieczeństwa: plakietki zaufania renomowanych rozwiązań antywirusowych zapewniają szybki i dostępny wskaźnik bezpieczeństwa witryn i aplikacji.

Ogranicz dostęp

Chociaż użytkownicy ulepszają własną ochronę przed phishingiem, zasady obowiązujące w całej firmie mogą wspierać te wysiłki. Konta użytkowników uprzywilejowanych są jednym z głównych celów sprawców ze względu na większy promień rażenia, jaki zapewnia skuteczny atak. Zasada najmniejszych uprawnień pozwala pracownikom nadal mieć dostęp do potrzebnych im danych, minimalizując jednocześnie ryzyko stania się celem.

Sprawdź odporność przed trafieniem ataków

Dzięki szkoleniom i infrastrukturze odporność Twojej organizacji na phishing zaczyna już nabierać kształtu. Jednak koszty naruszeń danych są obecnie zbyt wysokie, aby ryzykować, dlatego zarówno zespoły ds. bezpieczeństwa, jak i użytkownicy końcowi odnoszą ogromne korzyści z półregularnych symulacji ataków phishingowych. Od zaznajomienia użytkowników z nowoczesnymi technikami ataków po przedstawienie makro obrazu tego, jak naprawdę dobrze chroniona jest firma, testy te są asem proaktywnej ochrony przed phishingiem. 

Zapobieganie phishingowi dzięki platformie bezpieczeństwa przeglądarki LayerX

Ostatnim elementem układanki antyphishingowej jest warstwa mechanizmów zapobiegawczych, które blokują zupełnie nowe ataki. Tradycyjne rozwiązania antyphishingowe działają poprzez blokowanie znanych adresów URL, z których korzystają osoby atakujące. Chociaż podejście to jest skuteczne wobec starszych i bardziej znanych aktorów zagrażających, jest całkowicie reaktywne: może zapobiegać atakom tylko wtedy, gdy wybrany przez nich adres URL został oznaczony i zgłoszony. Z drugiej strony atakujący mogą stale przeskakiwać z adresu URL na adres URL, w wyniku czego zdecydowana większość architektury phishingowej pozostaje poza zakresem tej ochrony. 

LayerX oferuje wysoce precyzyjne wykrywanie zagrożeń bez polegania na wcześniejszej wiedzy. Zamiast prostej listy adresów URL znajdujących się na czarnej liście, LayerX przeprowadza identyfikację podejrzanych witryn w oparciu o analizę przewidywanej aktywności witryny. Nasz niezależny silnik ML przeprowadza tę analizę w czasie rzeczywistym za pośrednictwem łatwe w instalacji rozszerzenie przeglądarki, z zerowym opóźnieniem. W ten sposób złośliwe zamiary można wykryć, zanim urządzenie użytkownika końcowego połączy się z serwerem internetowym kontrolowanym przez osobę atakującą. Dzięki proaktywnemu podejściu do phishingu Twoja organizacja może wyprzedzić każdego atakującego – sztuczną inteligencję lub człowieka.