jeg er hvid Ops’ resident phisher. Som et InfoSecurity-teammedlem er det mit job at sikre, at alt, hvad vi gør, er sikkert og fri for cyberkriminelle, så vi kan kæmpe for dig. For at gøre dette implementerer jeg falske phishing—forsøg på hvide Ops’ egne mennesker, ikke for at skamme dem, når de klikker på et link (selvom de nogle gange ud af frustration), men for at vise, hvor realistisk—menneske, selv-et phishing-forsøg kan vises. Mens vi skal være særlig opmærksomme i betragtning af vores arbejdslinje, phishing kan målrette mod enhver. Phishing er et socialt ingeniørangreb med lav risiko og høj belønning, der bruger elektronisk kommunikation til at udnytte en slutbruger til at levere personlige oplysninger eller klikke på ondsindede links.
uden den rette læsefærdighed omkring, hvordan man finder phishing-forsøg, kan du åbne dig selv for alle mulige ondsindede programmer og svigagtig adfærd. Især da phishing er kommet langt fra de berygtede udenlandske prins-svindel. Cyberkriminelle har udviklet deres taktik, hvilket gør det endnu sværere at fange en phish.
er der forskellige typer phishing?
Phishing er ikke kun en type angreb, det er en kategori af angreb. Der er spear phishing, smishing, vishing og hvalfangst angreb:
Spear Phishing er en målrettet phishing normalt rettet mod en bestemt bruger eller organisation. For at gøre dette, svindlere bruger personlige oplysninger, der kan opdages online for at kontakte dig. Disse oplysninger kan findes på områder af internettet, der er frit tilgængelige, såsom på sociale medier. Disse tager typisk form af e-mails, såsom Figur 1. Du kan se, at e-mailen er vag og presserende for at lokke nogen til at klikke.
Smishing er en SMS phish, der normalt beder dig om at gøre noget, såsom at give en slags personlige oplysninger eller klikke på et link. Denne phish er især vildledende, fordi folk er mere tilbøjelige til at stole på en sms vs en e-mail. I figur 2 kan du se, hvor uskadelig en tekst de kan være. Normalt vil et smishing-angreb have en meget bred anmodning om at få dig til at hente en ondsindet app eller gå til en falsk hjemmeside, hvor du skal indtaste PII (personlige identificerbare oplysninger) data.
Vishing er en phish, der finder sted over telefonen, hvor svindlerne beder dig om at give en slags personlige oplysninger. Bølgen af VOIP-teknologi har gjort det lettere for modstandere at falske opkalds-id ‘ er. Vi ser dette angreb ske meget, hvor svindlere foregiver at være IRS, der siger, at du skylder dem penge, ellers går du i fængsel. De gør dette for at få CPR-numre eller nogen af dine PII-data.
hvalfangst er en type spyd phishing angreb, der er mere fokuseret på højt profilerede mål. Med andre typer phishing er målet en gruppe mennesker-det handler ikke om hver enkelt person. Hvalfangst fordobler ned på bestemte mennesker og målretter dem. Det kaldes hvalfangst, fordi de går efter større mål som ledere på højt niveau. Typisk, svindlerne vil foregive, at de er en leder på højere niveau for at få folk til at videregive følsomme virksomhedsoplysninger. For eksempel vil de målrette mod en VP ved at foregive at være administrerende direktør. Figur 3 viser et hvalfangstforsøg rettet mod en hvid Ops-medarbejder. Phish bruger haster på både sproget og ved at få det til at være fra hvid Ops CEO & medstifter, Tamer Hassan. Yderligere kendetegn inkluderer den skøre grammatik, omstrejfende bogstaver, og forkert kapitalisering af “iPhone.”Dette er en ret åbenlyst phish for os, da Tamer ikke ville bede folk om at køre” ærinder ” for ham.
Hvad skal jeg passe på?
heldigvis, når du lærer kendetegnene for phishing-forsøg, bliver de lettere at få øje på og rapportere. Der er flere elementer, du bør kontrollere, før du klikker på nogen links:
- mistænkelige e-mail-adresser: hvis du modtog en e-mail fra Linkedin, ville du forvente, at den kom fra en linkedin.com domæne ikke [email protected]. kontroller altid e-mailen” svar på ” for at finde falske afsendere.
- mistænkelige links i e-mailen/SMS: Du kan bestemme legitimiteten af linket ved at svæve over det, før du klikker. Når du analyserer URL ‘ en, skal du kontrollere, at den starter med en https:// ikke http://. Du kan også tjekke stedets certifikat for at se, hvem det er udstedt til. Et bedragerisk link ser normalt ud
- grammatiske fejl: Kontroller altid for grammatiske fejl, ikke kun stavefejl.
- unødigt presserende: phishere elsker at bede dig om at gøre noget lige nu ellers. Uanset om det er at klikke på et link eller svare på en e-mail, de vil have dig til at handle ASAP. De gør dette for at forsøge at skræmme eller true dig, såsom at lukke en konto eller bekræfte aktivitet.
- generiske hilsner: e-mailen kan starte med Dear Sir eller Madam eller Kære bruger, hvilket ikke er, hvordan folk normalt taler med hinanden, når de skriver e-mails. Det er normalt ikke personlig, medmindre det er spear phishing.
- tilbud, der er for gode til at være sande: det er fordi de er! Svar ikke eller klik på nogen links i disse e-mails.
Hvordan kan jeg beskytte mig selv?
det er muligt at være proaktiv i at beskytte dine oplysninger fra phishing-angreb.
- Hold øje med nyhederne: nye former for phishing udvikler sig hver dag, og større angreb vil normalt blive dækket. Hvis du ved, hvad du skal passe på, kan det være lettere at få øje på disse typer angreb. Hvis du ikke er sikker på, om noget er en phish, skal du kopiere et stykke tekst fra e-mailens krop og indsætte det i en søgning for at se, om det er en kendt phishing-e-mail.
- Opdater dit operativsystem regelmæssigt: angribere forsøger at udnytte kendte sårbarheder i systemer, så det er i din bedste interesse at holde dig opdateret om de seneste sikkerhedsopdateringer på alle dine enheder. Den bedste løsning er at aktivere automatiske opdateringer på alle dine enheder for at sikre, at du er på det nyeste og bedste operativsystem. Sørg også for, at din valgte bro. ser også automatisk opdateres.
- Åbn ikke vedhæftede filer eller links: Dette er især vigtigt, når du modtager en e-mail fra en ukendt afsender. Hvis du ikke kender afsenderen, skal du ikke åbne den vedhæftede fil. Eksempler kan omfatte PDF-filer. Sørg også for at holde musepekeren over linket og bestemme legitimiteten af linket, før du klikker.
- aktiver brandvægge: Tænd for brandvæggen på din enhed og netværk for at sikre, at du filtrerer eksterne angribere ud.
- undgå at besvare ukendte opkald: det er god praksis at ikke besvare et opkald fra et ukendt opkalds-ID. Giv aldrig personlige oplysninger over telefonen også, især hvis de lyder urealistisk presserende.
- sikkerhedskopier regelmæssigt dine enheder: i tilfælde af at din enhed er kompromitteret, er det god praksis at gendanne fra en kendt god sikkerhedskopi.
- Kontakt den rigtige afsender: hvis du har modtaget en mistænkelig e-mail fra en nær ven, slægtning eller virksomhed, skal du kontakte dem for at se, om meddelelsen var beregnet til at blive sendt. Du kan gøre dem en tjeneste ved at vise, hvordan de kan være potentielt kompromitteret.
jeg faldt for en phish, hvad gør jeg nu?
gå ikke i panik! Hvis du mener, at dine legitimationsoplysninger er blevet kompromitteret, skal du advare dit lederskab eller sikkerhedsteam så hurtigt som muligt og derefter gå til de sider, du bruger disse legitimationsoplysninger på, og ændre dem. Derudover skal du aktivere 2FA (tofaktorautentificering), hvis du ikke allerede har gjort det. Brug en adgangskodeadministrator, og sørg for, at du har unikke adgangskoder på hvert sted, du bruger, og aktiver 2FA på ethvert sted, der tilbyder det, skal du også kontrollere alle dine online-konti for at se, om der er nogen usædvanlig aktivitet forbundet med dem.
hvis disse legitimationsoplysninger bruges til en finansiel institution, vil jeg straks kontakte dem og forklare situationen. Overvej at fryse din kredit, hvis du er bekymret for, at angrebet kan have resulteret i adgang til dine sociale sikringsoplysninger. Brug det som en læringsmulighed og lær familie og venner, hvad de skal passe på, så de ikke falder for det samme angreb. Hvis du klikker på et link, og du mener, at din enhed er inficeret med virus, gendanne fra en kendt god backup eller fabrik gendanne enheden.
selv når nogen gør deres bedste for at være sikker online, kan de stadig blive fanget i et phishnet (ordspil beregnet). Så længe du følger disse trin, vil du være bedre stillet næste gang en svindler forsøger at rode med dig.