Zagrożenia bezpieczeństwa mają różne kształty i rozmiary. Zapewne słyszałeś o wirusach, trojanach, keyloggerach, a ostatnio o ransomware. Chcesz wiedzieć, co mają ze sobą wspólnego? Wszystkie mogą być wynikiem phishingu.

Samo słowo jest homofonem; hakerzy używają przynęty - zazwyczaj w formie pozornie legalnego pliku lub linku - do "phishingu" dla ofiar. A ponieważ przynęta ta jest zwykle rozpowszechniana za pośrednictwem poczty elektronicznej, trudno jest jej oprogramowaniu, lub wyrzucić. To sprawia, że ​​jest tak zgubny.

Smutny przykład firmy "wyłudzonej"

Prawdziwa historia: kilka lat temu firma mojego szwagra została naruszona przez oprogramowanie ransomware. Ten przerażający kod zaszyfrował prawie każdy plik danych - dokumenty Word, arkusze kalkulacyjne Excel i tak dalej - i dosłownie trzymał je dla okupu. Gdyby chciał odzyskać dane, cena wynosiłaby 700 $.

Według zabezpie czonego na pomoc prokuratora, oprogramowanie ransomware pojawiło się, gdy jeden z właścicieli otworzył załącznik z wiadomością e-mail oznaczony "Moje CV" - pozornie nieszkodliwe działanie, szczególnie biorąc pod uwagę fakt, że firma faktycznie zatrudniała pracowników.

Phishing może również spowodować kradzież tożsamości, a nawet zablokować Cię z telefonu. Ale czekaj, czy oprogramowanie zabezpieczające nie ma na celu ochrony przed takimi zagrożeniami? Jest tak, ale to właśnie sprawia, że ​​wyłudzanie informacji jest tak przebiegłe: przybywa jako pozornie nieszkodliwy adres e-mail i słówka lub przeraża cię w działaniu - zwykle klikając link lub otwierając plik. I często to wystarczy.

Podczas gdy wiele osób dobrze zna tę praktykę i wie, czego szukać, podejrzewam, że jest wielu ludzi, którzy wciąż padają ofiarą. Heck, uważam się za eksperta w unikaniu phishingu, ale od czasu do czasu miałem chwilowe błędy, które prawie kazały mi klikać fałszywy link.

Jak wykryć fałszywą wiadomość e-mail

Poniżej udostępniam prawdziwy e-mail z pewnymi oznakami oszustwa phishingowego. Zauważ, że ponieważ jestem użytkownikiem serwisu PayPal, e-mail z pewnością przykuł moją uwagę - przynajmniej na początku.

1. Jak wiele osób mam kilka adresów e-mail. Ale ta wiadomość dotarła pod adres, który nie jest powiązany z moim kontem PayPal. Co więcej, pole "Do" jest puste, co jest oczywistym znakiem, że nie pochodzi z serwisu PayPal.
2. Zła gramatyka i pisownia są oznakami phishingu. Duże firmy zatrudniają profesjonalnych copywriterów (i redaktorów) do komunikacji mailowej.
3. Brakuje mojego imienia. Powitanie jedynie czyta: "Witaj, [puste]". Jestem prawie pewien, że PayPal będzie komunikował się ze mną po imieniu.
4. Kolejna ważna wskazówka jest fałszywa: nie zapisałem się do PayPala. Teraz możesz pomyśleć: "Och, nie, ktoś stworzył konto PayPal w moim imieniu!" Ponownie, jest to taktyka przerażenia (i słaby), która ma na celu kliknięcie zapraszającego niebieskiego przycisku. Gdybyś to zrobił, prawdopodobnie zostałbyś skierowany na stronę, która wygląda dość jak PayPal, z formularzem żądającym wszelkiego rodzaju informacji osobistych - w tym numeru karty kredytowej. Alternatywnie możesz wylądować w witrynie, która ukrywa się - instaluje mnóstwo programów szpiegujących i / lub wirusów.

To było trochę niedbałego phishingu. Ale są tam bardziej zawiłe, takie jak "twoje konto zostało naruszone!" lub "FedEx ma e-maile z dostawami", które wyglądają na nieodróżnialne od prawdziwych.

Na szczęście łatwo jest zabezpieczyć się przed takimi przypadkami.

Jak uniknąć wpadnięcia w sieć phishingową

Zawsze bądź podejrzliwy. E-maile phishingowe próbują odstraszyć cię ostrzeżeniami o skradzionych informacjach lub, co gorsza, a następnie oferują łatwą naprawę, jeśli po prostu "kliknij tutaj". (Lub odwrotnie: "Wygrałeś nagrodę! Kliknij tutaj, aby odebrać ją!") W razie wątpliwości nie klikaj. Zamiast tego otwórz przeglądarkę, przejdź do strony internetowej firmy, a następnie zaloguj się normalnie, aby zobaczyć, czy są jakieś oznaki dziwnej aktywności. Jeśli masz wątpliwości, zmień hasło.

Sprawdź, czy nie słychać pisowni i gramatyki. Większość pism, które pochodzą spoza USA, jest wypełniona błędami ortograficznymi i złą gramatyką. Jak zauważyłem wcześniej, duże firmy zatrudniają specjalistów, aby upewnić się, że ich e-maile zawierają doskonałą prozę. Jeśli patrzysz na taką, która nie działa, to prawie na pewno fałszywe.

Wzmocnij swoją przeglądarkę. Przypadkowe kliknięcie linku phishingowego nie musi oznaczać katastrofy. McAfee SiteAdvisor i Web of Trust to darmowe dodatki do przeglądarek, które ostrzegają, jeśli witryna, którą zamierzasz odwiedzić, jest podejrzewana o złośliwą aktywność. Są jak policjanci, którzy zatrzymują cię, zanim ześlesz niebezpieczną ulicę.

Użyj swojego telefonu. Jeśli sprawdzasz pocztę e-mail w telefonie, może być trudniej wykryć próbę wyłudzenia informacji. Nie można "przeskoczyć myszki" na wątpliwe łącze, a mniejszy ekran sprawia, że ​​rzadziej zauważasz gafy. Chociaż wiele przeglądarek telefonów (i systemów operacyjnych) jest odpornych na szkodliwe witryny i pliki do pobrania, nadal dobrze jest zachować ostrożność w kontaktach z podejrzanymi linkami. (Oczywiście nadal nie powinieneś wypełniać formularza, który prosi o podanie twojego hasła lub innych informacji osobistych.) Użytkownicy Androida powinni być świadomi potencjalnego ryzyka.

Przede wszystkim polegaj na zdrowym rozsądku. Nie możesz wygrać konkursu, do którego nie wszedłeś. Twój bank nie skontaktuje się z Tobą za pomocą adresu e-mail, którego nigdy nie zarejestrowałeś. Microsoft nie "zdalnie wykrył wirusa na twoim komputerze". Poznaj znaki ostrzegawcze, pomyśl zanim klikniesz i nigdy, przenigdy nie podawaj swojego hasła lub informacji finansowych, chyba że jesteś właściwie zalogowany na swoje konto.

Masz jakieś inne wskazówki na temat antiphishingu? Załaduj je do komentarzy.

Aktualizacja, 5 września: Artykuł został pierwotnie opublikowany 22 czerwca 2015 r. I od tego czasu został zaktualizowany.