Ano ang sibat na phishing (na may mga halimbawa) at paano mo maiiwasan ito

Ang mga scheme ng phishing ay karaniwang nagsasangkot sa isang biktima na na-trick sa pagbibigay ng impormasyon na maaaring magamit sa kalaunan sa ilang uri ng scam. Ang impormasyon ay madalas na hinahangad sa pamamagitan ng isang email, isang tawag sa telepono (boses phishing o vishing), o isang text message (SMS phishing o smishing). Ang phishing ay isang pangkaraniwang elemento sa maraming uri ng mga scam sa internet na maaaring ma-target ang libu-libong mga tao nang sabay-sabay sa pag-asa na ang isa o dalawa ay naloko.

Ang spear phishing ay isang mas target na uri ng phishing. Karaniwan nang nalalaman ng may kasalanan ang ilang impormasyon tungkol sa target bago gumawa ng isang hakbang. Kapag isinasaalang-alang mo kung gaano karaming mga personal na detalye na maaaring ma-alok ng isang tao tungkol sa iyo sa internet sa mga araw na ito, hindi talaga mahirap para sa isang tao na maging isang mapagkakatiwalaang partido at linlangin ka sa paghahatid ng ilang karagdagang impormasyon.

Sa kabutihang palad, kung alam mo ang mga uri ng mga pandaraya na ito at alam kung ano ang hahanapin, maiiwasan mong maging susunod na biktima.

Sa post na ito, susubukan naming mas detalyado tungkol sa kung ano ang sibat na phishing at magbigay ng ilang mga halimbawa ng mga scheme ng phishing. Pagkatapos ay mag-aalok kami ng ilang mga tip upang matulungan kang matiyak na hindi ka mahuli. Magsimula na tayo!

Ano ang sibat phishing

Tulad ng nabanggit, ang sibat phishing ay isang target na form ng phishing. Halos lahat ng mga online scam ay nagsisimula sa ilang anyo ng phishing, ngunit marami sa mga pagtatangka na ito ay random na naka-target sa isang malaking madla. Halimbawa, maaari kang makatanggap ng isang email na nagsasabi na nakakatanggap ka ng kaunting pera, at kailangan mo lamang magbigay ng ilang mga personal na detalye. Ito ay isang form ng phishing, ngunit hindi ito target.

Ang isang seksyon ng isang pangkalahatang email sa phishing na humihiling ng personal na impormasyon.

Sa isang pagtatangka sa isang sibat, kailangang malaman ng isang nagagawa ang ilang mga detalye tungkol sa biktima. Gamit ang mga detalyeng ito, naglalayon ang manloloko na maglagay ng tiwala sa biktima at makakuha ng abot ng makakaya sa scam. Kaya saan nila mahahanap ang mga detalyeng ito? Ang mga ito ay maaaring gleaned mula sa isang nakaraang pagtatangka sa phishing, isang paglabag sa account, o kahit saan pa maaaring malaman nila ang personal na impormasyon. Ang social media, lalo na, ay isang hotbed ng impormasyon tungkol sa kapwa indibidwal at negosyo.

Ang mga pagtatangka sa phear ng spear ay maaaring tumagal ng maraming iba’t ibang mga form. Sinusubukan ka ng ilan na mag-click sa isang link na maaaring humantong sa isang website na nag-download ng malware, isang pekeng website na humihiling ng isang password, o isang site na naglalaman ng mga ad o tracker. Ang iba pang mga pagtatangka sa phishing ay maaaring hilingin sa iyo na ibigay ang iyong numero ng seguridad sa lipunan, ibigay ang impormasyon sa credit card o banking, o magpadala lamang ng pera.

Pag-atake sa mga indibidwal

Sa isang personal na antas, ang mga scammers ay maaaring mag-pose bilang isang negosyo na iyong pinagkakatiwalaan, halimbawa, isang bangko o isang tindahan na iyong binuksan. Maaari silang mag-alok ng mahusay na mga deal, sabihin sa iyo na may utang ka o may utang na pera, o na ang isang account ay malapit nang mai-frozen. Maaari rin silang magpanggap na isang taong kakilala mo, nang direkta o hindi tuwiran. Halimbawa, ang posing bilang isang taong nagpunta sa iyong dating paaralan o isang miyembro ng iyong pangkat ng relihiyon ay makapagpapabukas sa iyo.

Pag-atake sa mga negosyo

Ang spear phishing ay isang napaka-karaniwang anyo ng pag-atake sa mga negosyo din. Dahil napuntirya nito, ang phishing sangkin ay marahil ang pinaka-mapanganib na uri ng pag-atake sa phishing. Ayon sa SANS Institute, 95% ng mga pag-atake sa network ng negosyo ay nagsasangkot ng matagumpay na pagtatangka sa phishing. Ano pa, ang isang ulat ng 2023 ng IRONSCALES ay nagsiwalat na ang phishing sa sibat ay lalong tinukoy ng laser (PDF), na may 77% ng mga email na nagta-target ng sampung mailbox o mas kaunti. Ano pa, nalaman ng kanilang pag-aaral iyon isang-katlo ng mga pag-atake na naka-target sa isang mailbox lamang.

Pinagmulan: IRONSCALES

Ang isang karaniwang sibat na pham scam sa mga kumpanya ay nagsasangkot sa scammer na posing bilang isang executive ng kumpanya at humiling na ang isang hindi mapag-aalinlangan na kawad ng pera ng empleyado sa isang account na kabilang sa pandaraya. Ito ay madalas na tinutukoy bilang “whaling” at isang uri ng pandaraya ng CEO.

Pinagmulan: Symantec

Tulad ng nakikita mo sa itaas na seksyon ng isang Symantec infographic, ang paglaganap ng mga pagtatangka sa phishing ay mabilis na nadagdagan sa mga nakaraang taon. Habang target ng mga scammers ang lahat ng laki ng mga negosyo, ang mga pag-atake laban sa mga maliliit na negosyo ay nagiging popular.

Mga halimbawa ng sibat phishing

Ang mga pagtatangka ng phear ay ginamit upang magamit ang mga indibidwal at kumpanya mula sa milyun-milyong dolyar. Maaari rin silang makagawa ng pinsala sa ibang mga lugar, tulad ng pagnanakaw ng lihim na impormasyon mula sa mga negosyo o sanhi ng emosyonal na stress sa mga indibidwal. Narito ang ilang mga halimbawa ng matagumpay na pag-atake ng phishing.

Ang pagtatangka ng spear phishing sa mga negosyo

Ang mga scammers ay nagta-target sa mga negosyo sa lahat ng oras, ngunit narito ang ilang mga halimbawa ng ilang mga pag-atake ng mataas na profile.

Ubiquiti Networks Inc

Noong 2015, ibigay ng kumpanyang ito ang higit sa $ 40 milyon sa isang sibat na phishing scam na kinasasangkutan ng pandaraya ng CEO. Ang mga email na tila ipinadala mula sa mga senior executive ay nag-uutos sa mga empleyado na magpadala ng pondo mula sa isang subsidiary sa Hong Kong sa mga account na kabilang sa mga third party. Ang mga email ay talagang nagmula sa mga pandaraya at ang mga third-party account ay kabilang sa kanila.

Epsilon

Ang kumpanya ng online na pagmemerkado na ito ay na-target noong 2011 bilang bahagi ng isang scheme upang maani ang mga kredensyal ng customer, marahil para sa paggamit sa ibang mga pagtatangka sa phishing.

Gamit ang data bilang tinapay-at-mantikilya ng negosyo ng Epsilon, madaling makita kung bakit gagawa ito ng isang perpektong target.

Ang mga ulat ay nagpapahiwatig ng mga email sa phishing ng sibat ay maaaring naglalaman ng isang link sa isang site na na-download ang malware, na sa gayon ay hindi pinagana ang software ng antivirus, na ibinigay ang pag-access sa remote system, at maaaring magamit upang magnakaw ng mga password. Ang mga email na ito ay ipinadala sa iba’t ibang mga kumpanya ng marketing, ngunit palaging naka-target ang mga empleyado na responsable para sa mga operasyon sa email.

Electronic Frontier Foundation

Noong 2015, ginamit ng mga scammers ang mapagkakatiwalaang pamunuan ng Electronic Frontier Foundation (EFF) upang idirekta ang mga biktima sa isang pekeng site (Electronicfrontierfoundation.org). Ginamit ito upang ipamahagi ang mga keylogger at iba pang mga malware, ngunit mula noong kinontrol ng EFF ang domain.

Nag-redirect din ito ngayon sa isang post sa blog ng EFF na nagdedetalye sa scam.

RSA

Ang security firm na RSA ay na-target sa isang matagumpay na pagtatangka sa phishing sa unang bahagi ng 2011. Dalawang grupo sa loob ng kumpanya ang pinadalhan ng sibat na phishing emails na pinamagatang “2011 Recruitment Plan.” Bagaman ang mga email ay minarkahan bilang junk mail, binuksan ng isang empleyado ang isang kalakip ng email na sa huli ay humantong sa isang form ng malware na na-install sa computer. Binigyan ng malware ang attacker na remote access at ang kakayahang magnakaw ng sensitibong data.

Alcoa

Ang hukbo ng China ay inakusahan ng maraming mga pagtatangka ng phishing na tumatakbo sa pagnanakaw ng mga lihim ng kalakalan mula sa mga kumpanya ng US. Ang isa sa mga ito ay iniulat upang i-target ang kumpanya ng aluminyo na Alcoa. Noong 2008, pinaghihinalaang na nakipag-ugnay ang mga hacker sa 19 matatandang empleyado ng Alcoa sa pamamagitan ng email, na nagpapahiwatig ng isang miyembro ng lupon ng kumpanya. Kapag binuksan, na-install ng mail ang malware sa mga computer ng mga tatanggap, na nagreresulta sa pagnanakaw ng halos 3,000 mga email at higit sa 800 na mga kalakip.

Ang pagtatangka ng spear phishing ay nagta-target sa mga indibidwal

Habang nakikita ng mga kumpanya ang malaking pagkalugi mula sa mga pag-atake na ito, kapwa nang direkta at hindi tuwiran, ang epekto sa isang indibidwal ay maaaring maging mas matindi. Halimbawa, kunin ang nakakagambalang kwento ng isang gumagamit ng reddit na aming nakapanayam para sa isang nakaraang artikulo.

Siya ay na-target ng isang kriminal na gumagamit ng social engineering upang maihatid siya ng isang password sa isang email account. Sa kalaunan ay humantong sa scammer na kumukuha ng maraming mga social media at email account at pag-blackmail sa biktima ng mga nilalaman.

Ang scam na iyon ay lalo na nakasisira sa damdamin, samantalang ang iba ay puro pinansiyal na nakaganyak. Ang ilang mga mas malaking scale scheme ng phishing ay tumama sa mga gumagamit ng mga malalaking kumpanya, tulad ng mga nasa ibaba:

PayPal

Ang mga gumagamit ng PayPal ay tila target ng walang katapusang pangkalahatang mga pagtatangka sa phishing. Ang malaking bilang ng mga gumagamit ay nangangahulugan na ang mass general emails ay magkakaroon ng mas mataas na posibilidad ng tagumpay. Gayunpaman, ang ilang mga gumagamit ng PayPal ay na-hit sa mas naka-target na sibat na phishing emails. Ang mga ito ay talagang tinutugunan ang pangalan ng customer, na ginagawang mas lehitimo kaysa sa iyong karaniwang email sa phishing.

Amazon

Ang Amazon ay isa pang kumpanya na napakaraming mga gumagamit, ang pagkakataong mai-hook ang isa sa pamamagitan ng isang pangkalahatang pagtatangka sa phishing ay nagkakahalaga ng pagsisikap. Ngunit ang mga gumagamit ng Amazon ay dapat na magbantay para sa pag-atake ng phishing, din. Ang isang malaking naka-target na pag-atake ay nangyari noong 2015 nang hanggang sa 100 milyong mga email ang itinulak sa mga customer ng Amazon na naglagay kamakailan. Totoo ang mga email, na may pamagat ng “Ang iyong Amazon.com order ay ipinadala,” kasunod ng isang code ng order. Ngunit sa halip na isang mensahe, kasama lamang ng email ang isang kalakip. Ang pagbubukas ng attachment sa huli ay humantong sa ilang mga tatanggap na mai-install ang Locky ransomware, na kasangkot sa isang ransom sa bitcoin.

Iba pang mga karaniwang halimbawa ng sibat phishing scam

Bukod sa mga partikular na kaso, narito ang ilang mga mas pangkalahatang halimbawa ng mga sitwasyon na maaari mong makita. Ang mga ito ang lahat ay gumagamit ng impormasyon na maaaring maipinta mula sa mga post sa social media, lalo na kung gusto mong magbahagi ng impormasyon tungkol sa kung saan ka namimili, kumain, bangko, atbp.

• Ang isang email mula sa isang online na tindahan tungkol sa isang kamakailang pagbili. Maaari itong isama ang isang link sa isang pahina ng pag-login kung saan inaani lamang ng scammer ang iyong mga kredensyal.
• Ang isang awtomatikong tawag sa telepono o text mula sa iyong bangko na nagsasabi na ang iyong account ay maaaring nasira. Sinasabi sa iyo na tawagan ang isang numero o sundin ang isang link at magbigay ng impormasyon upang kumpirmahin na ikaw ang tunay na may-hawak ng account.
• Ang isang email na nagsasabi na ang iyong account ay na-deactivate o malapit nang mag-expire at kailangan mong mag-click sa isang link at magbigay ng mga kredensyal. Ang mga kaso na kinasasangkutan ng Apple at Netflix ay mga kamakailang sopistikadong halimbawa ng ganitong uri ng scam.
• Isang email na humihiling ng mga donasyon sa isang pangkat ng relihiyon o kawanggawa na nauugnay sa isang bagay sa iyong personal na buhay.

Kung iisipin mo kung gaano karaming impormasyon ang matatagpuan sa social media, madaling makita kung paano mabilis na makamit ng isang tao ang iyong tiwala sa pamamagitan lamang ng pagsasabi ng isang karaniwang interes o posing bilang isang kumpanya na mayroon kang isang kasaysayan sa.

Paano maiwasan ang scam ng scam ng sibat

Ang ilan sa halip tungkol sa mga istatistika ay lumitaw mula sa isang pag-aaral sa Intel ng Intel, na nagsiwalat ng 97% ng mga tao ay hindi makilala ang mga email sa phishing. Sa katunayan, sa buong industriya ng cybersecurity, ang pangunahing nugget ng payo upang maiwasan laban sa matagumpay na pagtatangka sa phishing ay ang edukasyon.

Sa seksyong ito mag-aalok kami ng mga tip tulungan ang mga indibidwal at negosyo protektahan laban sa mga scam na ito. Susubukan naming isagawa ang mga ito nang mas detalyado sa ibaba, ngunit narito ang isang listahan ng mga maaaring kumilos na maaari mong gawin upang labanan ang matagumpay na pagtatangka sa phishing:

1. Dagdagan ang kamalayan
2. Gumamit ng mga tool para sa pagtatanggol
3. Maghanap para sa mga pekeng email
4. Iwasan ang pag-click sa mga link at mga kalakip
5. Maghanap para sa mga site ng phishing
6. Iwasan ang pagpapadala ng personal na impormasyon
7. Patunayan ang kahina-hinalang kahilingan
8. Gumamit ng malakas na mga password at isang tagapamahala ng password

Ngayon, tingnan natin ang bawat isa sa mga hakbang na ito.

Dagdagan ang kamalayan

Tulad ng anumang scam, ang isa sa mga nangungunang paraan upang maiwasan ito ay upang malaman kung paano naganap ang scam. Ang pagbabahagi ng impormasyon sa iyo mga kaibigan, pamilya, at kasamahan ay makakatulong upang maiwasan ang mga ito na maging biktima. Kung ikaw ay may-ari ng negosyo, ito ay mahalaga upang matiyak na ang iyong mga empleyado ay may edukasyon sa paksa ng pag-atake ng phishing, lalo na ang sibat phishing.

Maaari mong mapanatili ang napapanahon sa mga paksang ito sa pamamagitan ng pagbabasa ng mga blog tulad ng sa amin pati na rin sa mga nangungunang mga nagbibigay ng software ng seguridad, tulad ng McAfee at Norton.

Para sa mga negosyo, maaari kang aktwal na magpatakbo ng isang libreng pagsubok sa tingnan kung paano ang “phish-prone” ng iyong mga empleyado. Batay sa mga resulta, maaari kang magpasya ang pinakamahusay na kurso ng aksyon na dapat gawin upang mapabuti ang pagsasanay at maiwasan ang matagumpay na mga pagtatangka sa phishing. Ang mga kumpanya tulad ng KnowBe4 ay nagbibigay ng pagsasanay sa kamalayan sa seguridad laban sa mga naturang pag-atake.

Gumamit ng mga tool para sa pagtatanggol

Habang ang edukasyon at kamalayan ay ilan sa mga pinakamahusay na panlaban sa labas, mga tool ay magagamit upang makatulong na ipagtanggol laban sa pag-atake sa phishing. Lalo na ito ay kapaki-pakinabang para sa mga negosyo kung saan marami ang nakataya kung ang isang pagtatangka ay matagumpay. Ang ilan sa mga tool na magagamit ay kasama ang PhishDefender mula sa InfoSec at Cofense (dating PhishMe).

Para sa mga indibidwal, ang mga pangunahing tagabigay ng email ay nagtataas ng kanilang laro pagdating sa mga taktika na anti-phishing. Sa tulong ng mga diskarte sa pag-aaral ng makina, Inangkin ng Gmail na hadlangan ang 99.9% ng mga email sa spam.

Maghanap para sa mga pekeng email

Mayroon kaming isang buong post na nakatuon sa pag-spot ng mga phishing emails, ngunit narito ang mga pangunahing takeaways:

• Huwag magtiwala sa mga pangalan ng display tulad ng mga ito ay maaaring maging anumang nais ng isang scammer na maging sila.
• Suriin para sa pekeng mga domain ng email; sila ay madalas na bahagyang magkakaibang mga bersyon ng tunay na bagay.
• Tumingin sa logo at iba pang mga imahe; ang mga imahe ng mababang resolusyon ay maaaring maging isang giveaway.
• Repasuhin nang mabuti ang mga link sa pamamagitan ng pag-hover sa link ng teksto (nang walang pag-click). Ang isang link na naiiba sa isa sa link ng teksto ay isang tanda ng isang nakakahamak na link.
• Maghanap para sa masamang spelling at grammar, dahil ito ay maaaring maging isang palatandaan na hindi ito isang lehitimong mensahe.

Ang mga email sa email at mensahe ng spear ay lubos na na-target, kaya’t nagkakahalaga ng pagsisikap sa bahagi ng kriminal na gumastos ng oras sa paggawa ng mga ito tulad ng tunay na pakikitungo. Tulad ng mga ito, sila ay nagiging mas sopistikado at mahirap makita. Maaaring kailanganin mong gumawa ng maraming mga tseke at kahit na pagkatapos, maaari nilang sakop ang lahat ng mga base.

Iwasan ang pag-click sa mga link at mga kalakip

Tulad ng nabanggit nang mas maaga, ang mga link ay maaaring humantong sa mga website na naglalaman ng malware, spammy advertising, at tracker. Katulad nito, ang isang kalakip ay maaaring maglaman ng mga virus o malware at hindi dapat buksan maliban kung talagang sigurado ka sa pinagmulan.

Isang pekeng email na Walmart na naglalaman ng isang link sa phishing.

Ang ilang mga email ay maglalagay lamang ng isang link o isang kalakip na walang ibang mensahe, na posibleng target ang pagkamausisa ng mambabasa upang ma-prompt silang mag-click.

Ang pinakamahusay na payo? Huwag i-click lamang ang mga link o mga attachment kung mayroon kang anumang mga hinala.

Maghanap para sa mga site ng phishing

Kung mangyari mong mag-click sa isang link sa isang email at magtatapos sa isang website, maaari kang gumawa ng ilang mga tseke upang makita ang isang imposter. Muli, mayroon kaming isang buong post na nakatuon sa pag-spot ng mga pekeng website, ngunit narito ang pangunahing mga payo:

• Suriin ang URL upang makita kung tumutugma ito sa kung ano ang nasa pahina.
• Suriin para sa isang sertipiko ng SSL / TLS (isang berdeng simbolo ng padlock at / o “https” sa address bar).
• Maghanap para sa isang pahina ng nabigasyon o footer, kabilang ang isang “About” na pahina, patakaran sa privacy, mga termino ng paggamit o serbisyo, at mga detalye ng contact.
• Suriin para sa wastong spelling at grammar; tulad ng mga email, ang hindi magandang pagsulat ay maaaring maging isang tagapagpahiwatig ng isang pekeng site.
• Maging maingat sa “masyadong-magandang-sa-maging-totoo” na pag-angkin; madalas sila lang yun.
• Maghanap sa ibang lugar para sa mga pagsusuri tungkol sa mga hindi kilalang kumpanya.
• Suriin ang copyright napapanahon; kung hindi, marahil ito ay isang pekeng site.

Sa iba pang mga kaso, ang pag-click sa isang link ay maaaring magdadala sa iyo sa isang blangko na pahina. Kung nag-click ka ng isang link at pinaghihinalaan na maaaring mai-download ang malware, maaaring makita at iba’t ibang mga tool ang iba’t ibang mga tool.

Iwasan ang pagpapadala ng personal na impormasyon

Ang mga ligal na negosyo ay bihirang humingi ng personal na impormasyon sa pamamagitan ng email. Kung nakatanggap ka ng isang email o SMS na humihiling sa iyo na magbigay ng mga detalye tulad ng iyong address, numero ng seguridad sa lipunan, o impormasyon sa pagbabangko sa katawan ng isang email o text message, malamang na isang pagtatangka sa phishing.

Ang isang tunay na email ay karaniwang magbibigay ng adres ng isang site upang puntahan (na walang link), magbibigay ng isang link upang mag-click, o magbibigay sa iyo ng isang numero upang tawagan. Magisip sa isip, ang lahat ng mga sitwasyong ito ay maaari ring maging mas sopistikadong taktika sa phishing, kaya dapat mapatunayan (higit pa sa ibaba).

Patunayan ang kahina-hinalang kahilingan

Kung mayroon kang mga hinala tungkol sa isang email o ibang mensahe, huwag bisitahin ang site o tawagan ang numero na ibinigay. Kung sa palagay mo ay maaaring maging tunay ngunit hindi sigurado, maaari mong subukang i-verify muna ito.

Ang isang paraan upang gawin ito ay ang simpleng pagpapatakbo ng isang paghahanap para sa email o numero ng telepono na ibinigay. Kung ito ay isang kilalang scam, may posibilidad na makikita mo ang mga resulta na masasabi.

Ang isa pa, mas maaasahan, paraan ng pag-verify ay simpleng tawagan o i-email ang kumpanya upang suriin kung ito ay isang tunay na kahilingan. Gayunpaman, dapat makipag-ugnay sa kumpanya sa pamamagitan ng isang numero ng telepono o email mula sa aktwal na website, hindi ang impormasyon ng contact na matatagpuan sa email.

Gumamit ng malakas na mga password at isang tagapamahala ng password

Kung pinaghihinalaan mo na maaaring nabiktima ka ng isang pagtatangka sa phishing o na-notify ka tulad ng (sa isang tiyak na pinagkakatiwalaang mapagkukunan), dapat mong isaalang-alang ang pagbabago ng iyong password. Ang paggamit ng isang malakas na password ay mahalaga dahil makakatulong ito upang maiwasan ang iba pang mga pag-atake tulad ng pag-atake ng brute force.

Kung ang pag-alala ng mga password ay tila mahirap, makakatulong ang isang manager ng password. Ang isa pang pakinabang ng mga tool na ito ay ang mga ito makakatulong sa iyo na makita ang isang phishing site nang default. Gumagana ang mga tagapamahala ng password sa pamamagitan ng auto-punan ang iyong impormasyon sa mga kilalang site, kaya hindi sila gagana sa hindi kilalang (kasama ang pekeng) na mga domain. Hindi ito isang bagay na dapat umasa, ngunit maaari itong kumilos bilang isang backup.

Kung tatanungin ka bang baguhin ang isang password, huwag sundin ang link sa email o text message. Pumunta sa website nang direkta at baguhin ito. Sa ganitong paraan, nasaklaw ka kung ang mensahe ay lehitimo o hindi.

Kaugnay: 70+ karaniwang mga scam (online at offline) at kung paano maiiwasan ang mga ito; Karaniwang mga scam sa phishing at kung paano makilala at maiwasan ang mga ito.

Pangunahing credit ng larawan: “Mga Sinta” lisensyado sa ilalim CC NG 2.0