Phishing

Το phishing είναι επίθεση κατά ανθρώπων και όχι κατά λογισμικού. Ο εισβολέας φτιάχνει ένα μήνυμα που μοιάζει να προέρχεται από τράπεζα, συνάδελφο, προμηθευτή ή το τμήμα πληροφορικής και ζητά από τον αναγνώστη κάτι συνηθισμένο: να συνδεθεί, να ανοίξει ένα αρχείο, να πληρώσει ένα τιμολόγιο ή να επιβεβαιώσει στοιχεία.

Το όνομα παραπέμπει στο fishing, το ψάρεμα στα αγγλικά: το μήνυμα είναι το δόλωμα και η ενέργεια του θύματος το ψάρι που τσιμπά.

Για έναν οργανισμό, το phishing έχει σημασία επειδή είναι ένας από τους συχνότερους τρόπους απόκτησης πρώτης πρόσβασης. Μια εξωτερική απειλή που δεν έχει δική της πρόσβαση δανείζεται την πρόσβαση ενός υπαλλήλου, και ένας κλεμμένος κωδικός μπορεί να πυροδοτήσει μια παραβίαση δεδομένων.

Οι εκστρατείες διαφέρουν σε κλίμακα και προσοχή στη λεπτομέρεια, αλλά οι περισσότερες ακολουθούν τα ίδια τέσσερα στάδια, και στο τελευταίο γίνεται η ζημιά: η κλεμμένη πρόσβαση οδηγεί σε εξαγωγή δεδομένων ή σε δόλια πληρωμή.

1. 1

   Επιλογή δολώματος

   Ο εισβολέας διαλέγει μια πειστική δικαιολογία, όπως ειδοποίηση λήξης κωδικού, ένα τιμολόγιο ή ένα κοινόχρηστο έγγραφο.

2. 2

   Παράδοση του μηνύματος

   Το μήνυμα φτάνει με e-mail, SMS, τηλέφωνο ή μέσα κοινωνικής δικτύωσης, συχνά από πλαστό ή παραπλήσιο αποστολέα.

3. 3

   Πρόκληση της ενέργειας

   Το θύμα πληκτρολογεί τον κωδικό σε ψεύτικη σελίδα, ανοίγει ένα συνημμένο ή εγκρίνει ένα αίτημα.

4. 4

   Αξιοποίηση της πρόσβασης

   Ο εισβολέας συνδέεται, περιηγείται σε γραμματοκιβώτια και κοινόχρηστους φακέλους και παίρνει δεδομένα ή χρήματα.

Οι τύποι διαφέρουν ως προς το κανάλι και ως προς το πόσα γνωρίζει ο εισβολέας για τον στόχο. Το phishing με κλωνοποίηση αξίζει να το γνωρίζετε νωρίς, επειδή επαναχρησιμοποιεί ένα μήνυμα που το θύμα ήδη εμπιστεύεται. Οι κωδικοί QR σε e-mail ή αφίσες (quishing) είναι άλλος φορέας της ίδιας απάτης.

Το phishing πετυχαίνει επειδή εκμεταλλεύεται συνήθειες και όχι αδυναμίες του λογισμικού. Τα μηνύματα δανείζονται κύρος (έναν προϊστάμενο, μια τράπεζα), δημιουργούν πίεση χρόνου ή μοιάζουν με ρουτίνα της δουλειάς, και οι απασχολημένοι άνθρωποι εκτελούν ρουτίνα αιτήματα χωρίς έλεγχο. Όταν ένας υπάλληλος εξαπατάται και παραδίδει έναν κωδικό ή ένα αρχείο, το αποτέλεσμα είναι ακούσια αποκάλυψη: κανείς δεν ήθελε να διαρρεύσει κάτι.

Παλαιότερα η καλή γραφή ήταν αξιόπιστη ένδειξη. Η συμβουλή αυτή έχει αδυνατίσει, επειδή εργαλεία που παράγουν άπταιστο κείμενο σε κάθε γλώσσα επιτρέπουν να εξαλειφθούν οι αδέξιες διατυπώσεις που κάποτε πρόδιδαν την απάτη.

Κανένα σημάδι δεν αποτελεί απόδειξη, και τα καλοφτιαγμένα μηνύματα δεν έχουν κανένα. Το κριτήριο είναι το σύνολο και το ίδιο το αίτημα: ζητά ένα απρόσμενο μήνυμα κωδικούς, χρήματα ή δεδομένα;

• Διεύθυνση αποστολέα που μοιάζει με την πραγματική αλλά δεν είναι ίδια, π.χ. με αλλαγμένο γράμμα στο domain
• Βιασύνη ή απειλή: λογαριασμός που πρόκειται να κλείσει, πληρωμή που οφείλεται σήμερα
• Σύνδεσμος του οποίου ο πραγματικός προορισμός, ορατός με το πέρασμα του δείκτη, διαφέρει από το κείμενο
• Απρόσμενο συνημμένο, ιδίως συμπιεσμένο αρχείο, έγγραφο που ζητά ενεργοποίηση μακροεντολών ή εκτελέσιμο
• Αίτημα σύνδεσης, πληρωμής ή αποστολής δεδομένων από διαφορετική οδό από τη συνήθη
• Αίτημα εχεμύθειας ή παράκαμψης της κανονικής έγκρισης

Κανένας μεμονωμένος έλεγχος δεν σταματά το phishing, επειδή καθένας καλύπτει άλλο στάδιο: την άφιξη του μηνύματος, το κλικ, τη σύνδεση και την έξοδο των δεδομένων. Τα επίπεδα αποδίδουν καλύτερα όταν θεωρούν ότι κάποια μηνύματα θα περάσουν και φροντίζουν να μη φύγουν μαζί τους ευαίσθητα δεδομένα.

Το Anexet δεν είναι πύλη antiphishing και δεν κρίνει αν ένα μήνυμα είναι phishing.

Προσφέρει υποκλοπή e-mail στους παρακολουθούμενους σταθμούς, που επιτρέπει την ανάλυση του περιεχομένου μηνυμάτων και συνημμένων, και κανόνες αποκλεισμού HTTP στο πλαίσιο της παρακολούθησης κίνησης web, που μπορούν να σταματήσουν ένα αίτημα του οποίου το περιεχόμενο παραβιάζει μια πολιτική, όπως η αποστολή ευαίσθητων δεδομένων σε έναν ιστότοπο. Ο υπάλληλος βλέπει τότε ένα μήνυμα σαν αυτό που εμφανίζεται παρακάτω.

Ξεκινήστε από τους λογαριασμούς και τα δεδομένα που θα πονούσαν περισσότερο αν χάνονταν: e-mail, οικονομικά και πρόσβαση διαχειριστή. Ενεργοποιήστε πρώτα εκεί την πολυπαραγοντική ταυτοποίηση και μετά συμφωνήστε έναν ενιαίο τρόπο αναφοράς ύποπτων μηνυμάτων και έναν έλεγχο μέσω άλλου καναλιού για αλλαγές πληρωμών και τραπεζικών στοιχείων.

Αντιμετωπίστε την εκπαίδευση ως εξάσκηση και όχι ως ετήσια διάλεξη: σύντομη, συγκεκριμένη και χωρίς αναζήτηση ενόχων, ώστε οι άνθρωποι να αναφέρουν τα λάθη γρήγορα αντί να τα κρύβουν.