Фишинг. Так ли страшен черт, как его малюют, и как понять, что вы на крючке?

Недавно получил письмо от друга примерно следующего содержания: «О боже, это твое видео? Вот посмотри по этой ссылке => (ссылка на неизвестный ресурс)». Раньше он никогда не присылал подобных сообщений и у меня сразу возникли подозрения. Этот случай натолкнул меня на то, чтобы более подробно рассказать о видах фишинговых атак и что делать, если вы оказались на крючке.
В начале рассказа приведу немного статистических данных. В прошлом году компания Tripwire провела опрос участников конференции RSA Security, в котором участникам предлагали оценить актуальность фишинговых атак. Из двухсот специалистов по безопасности, принявших участие в опросе, более половины (58%) заявили, что по сравнению с прошлым годом количество подобных атак увеличилась, поэтому вопрос защиты от фишинговых атак остается актуальным.
Термин «Фишинг (Phishing)» закрепился за совокупностью техник социальной инженерии, целью которых является неправомерное получение чувствительных данных, таких как пароли, номера платежных карт и тому подобное. Этимология слова отсылает к английскому слову fishing (рыбалка), поскольку жертва оказывается «на крючке» по аналогии с рыбой. Сейчас фишинг делится на несколько категорий:
Odoo text and image block
1. Vishing (voice + phishing) — это фишинг, совершенный с помощью телефонных звонков. Большинство  читателей наверняка знакомы со старой схемой «Мама, я в полиции». Но проанализировав данные, доступные в социальных сетях или электронных досках объявлений, злоумышленники могут смоделировать звонок так, что он не вызовет никаких подозрений.

2. Smishing (SMS + Phishing) - фишинг с помощью СМС. Может выглядеть как фейковое сообщение о блокировке банковской карты или заказ в интернет-магазине со ссылкой.

3. Search Engine Phishing. Фишинг в поисковой системе, который заключается в создании фейковой веб-страницы, продвигаемой по определенным ключевым словам. Раньше это был очень популярный вид фишинга, сейчас он менее распространен из-за санкций поисковых систем.

4. Spear Phishing (фишинг копьем). В отличие от традиционного фишинга, который предусматривает отправку электронных писем миллионам неизвестных пользователей, этот вид атак имеет сфокусированное действие, а письма точно сфокусированы на конкретного пользователя или группу пользователей. Такие атаки являются более сложными и несут высокий риск, поскольку злоумышленники во время подготовки к ним проводят детальное исследование профилей пользователей и их организации, используя открытые источники интернета (профили в социальных сетях, веб-сайт компании, онлайн-каталоги и т. п.).

5. Whaling. Механика «китобойного промысла» похожа на фишинг копьем. Разница в том, что злоумышленники целятся в более крупную рыбу. Мишенью для них становятся руководители высшего звена, «киты» на жаргоне киберпреступников.

Поскольку наиболее распространенной фишинговой механикой является переписка, то рассмотрим ее более подробно. Основной целью таких писем является получение денежных средств или конфиденциальной информации мошенническим путем, а также доступа к пользовательскому устройству путем исполнения вредоносного кода.
Odoo CMS - a big picture

Пример фишинга в поисковых системах

Большинство мошеннических писем с уведомлением о взломе аккаунта и вымогательстве средств не несут значительной опасности и рассчитаны на случайного и неопытного пользователя.
Значительно большую опасность представляют письма, тщательно замаскированные под реальные Интернет сервисы с просьбой перейти по ссылке и авторизоваться. Получение такого письма является сигналом о том, что против вас лично или вашего работодателя начата атака и нужно принять защитные меры. Если злоумышленники попадут во внутреннюю сеть, то остановить их активность будет уже значительно сложнее. Кроме того, если фишинговые письма приходят на личный почтовый ящик, то в опасности оказываются персональные данные, принадлежащие вам или вашим близким. Как они будут использоваться злоумышленниками, можно только догадываться. Многие пользователи считают, что опасными для организаций являются лишь фишинговые письма, полученные на корпоративную почту, но это не так. Вредоносному коду все равно, откуда его принесли после того, как он был запущен на устройстве в корпоративной сети. Поэтому будьте внимательны в отношении подозрительных сообщений всегда, даже если они высланы на личную почту или мессенджер.

Odoo CMS - a big picture

Пример фишингового сайта

С видами фишинговых сообщений и опасностью, которую они несут, разобрались. Ниже приведу правила, которые помогут вам не стать жертвой фишинговой атаки.

1. Внимательно просматривайте электронные письма и не переходите по ссылкам в теле письма, не открывайте вложенные файлы и не распаковывайте архивы.

2. Если приходят сообщения от интернет-сервисов, которыми вы пользуетесь, особенно те, что требуют немедленных действий, внимательно проверяйте адрес отправителя и URL ссылки. Вместо перехода по ссылке лучше зайдите в личный кабинет в сервисе через прямой адрес.

3. Если вы получили подозрительное письмо от вашего знакомого, рекомендуем связаться с ним для уточнения.

4. Не отвечайте на подозрительные письма. Ответом вы подтвердите, что ваш e-mail «живой». Не играйте на руку злоумышленникам.

5. Пользуйтесь антивирусным ПО и с его помощью проверяйте подозрительные письма и прикрепленные файлы.

6. Не передавайте свой пароль от электронной почты третьим лицам: при регистрации, заполнении форм, по просьбе для уточнения информации.

7. Используйте цифровые подписи при использовании почты.

8. Присылайте хэш суммы файлов при переписке по другим каналам.

9. Если есть подозрение, что ваши учетные данные попали в руки злоумышленников, нужно срочно изменить ключи доступа к аккаунтам. Вообще, лучше взять за правило менять пароли раз в год и следить, чтобы ваши ключи имели высокий уровень защиты. Это можно проверить на специальных онлайн-ресурсах.

Итак, в первую очередь, безопасность ваших личных данных или данных компании зависит от вашего внимания. Если вы обнаружили подозрительную активность, не стоит паниковать. Лучше представить себя героем, спасающим мир предупредив развитие новой кибератаки.