פישינג (דיוג בעברית) היא סוג של מתקפת סייבר שבמהלכה גורמים זדוניים שולחים הודעות המתחזות לאדם או ארגון אמין, הודעות דיוג מבצעות מניפולציות על המשתמש וגורמות לו לבצע פעולות כמו התקנת קובץ זדוני, לחיצה על קישור זדוני או גילוי מידע רגיש כגון פרטי כרטיס אשראי.
פישינג הוא הסוג הנפוץ ביותר של הנדסה חברתית, הנדסה חברתית הוא מונח כללי המתאר ניסיונות לתמרן או להערים על משתמשי מחשב.
התקפות פישינג: סטטיסטיקות ודוגמאות
לפי דו"ח של חברת צ'ק פוינט, פישינג בדוא"ל הוא הסוג הנפוץ ביותר של התקפות דיוג, הנה שתי דוגמאות להתקפות פישינג האחרונות, שהתגלו על ידי חוקרי צ'ק פוינט:
ניסיון לגנוב חשבונות Microsoft:
תוקפים שלחו מיילים בניסיון לגנוב פרטי התחברות לחשבון Microsoft. ההודעות ניסו להערים על הקורבן ללחוץ על קישור זדוני שהפנה לדף התחברות מזויף של מיקרוסופט.
נסיון לגנוב פרטי כרטיס אשראי בעזרת אמזון:
תוקפים שלחו אימייל שנראה כי הוא מאמזון בניסיון לגנוב פרטי כרטיס אשראי של המשתמש, במייל נטען כי החשבון של המשתמש הושבת עקב ריבוי נסיונות התחברות למערכת עם לינק לאתר מזויף של Amazon Billing Center שמבקש מהמשתמש להזין מחדש את פרטי כרטיס האשראי שלו.
איך פישינג עובד?
המרכיב הבסיסי של התקפת פישינג זה הודעה הנשלחת בדואר אלקטרוני, במדיה חברתית או באמצעי תקשורת אחרים.
דיוג עשוי להשתמש במשאבים ציבוריים, במיוחד ברשתות חברתיות, מקורות אלה משמשים לאיסוף מידע כגון שם הקורבן הפוטנציאלי, עבודה, תחביבים, דוא"ל, תחומי עניין ופעילויות כלליות, לאחר מכן, התוקף יכול להשתמש במידע זה כדי ליצור הודעה מזויפת אמינה יותר.
בדרך כלל, נראה כי האימיילים שהקורבן מקבל מגיעים מאיש קשר או ארגון ידועים. התקפות מבוצעות באמצעות קבצים מצורפים זדוניים או קישורים לאתרי אינטרנט זדוניים. תוקפים מקימים לעתים קרובות אתרי אינטרנט מזויפים, שנראה שהם בבעלות גורם מהימן כמו הבנק, מקום העבודה או האוניברסיטה של הקורבן. באמצעות אתרים אלו, תוקפים מנסים לאסוף מידע פרטי כמו שמות משתמש וסיסמאות, או פרטי תשלום.
ניתן לזהות כמה הודעות דוא"ל דיוג עקב קופירייטינג לקוי ושימוש לא נכון בגופנים, סמלי לוגו ופריסות. עם זאת, פושעי סייבר רבים הופכים מתוחכמים יותר ביצירת מסרים בעלי מראה אותנטי, ומשתמשים בטכניקות שיווק מקצועיות כדי לבדוק ולשפר את האפקטיביות של המיילים שלהם.
5 סוגי התקפות פישינג
דיוג כללי בדוא"ל
רוב התקפות הדיוג נשלחות בדוא"ל. תוקפים רושמים בדרך כלל שמות דומיין מזויפים המחקים ארגונים אמיתיים ושולחים אלפי הודעות לקורבנות פוטנציאלים.
עבור דומיינים מזויפים, תוקפים עשויים להוסיף או להחליף תווים (למשל my-bank.com במקום mybank.com), להשתמש בתת-דומיינים (למשל mybank.host.com) או להשתמש בשם הארגון המהימן כשם המשתמש בדוא"ל (למשל mybank@host. com).
הודעות דיוג רבות משתמשות בתחושת דחיפות, או איום, כדי לגרום למשתמש לציית במהירות מבלי לבדוק את המקור או האותנטיות של האימייל.
להודעות דיוג בדוא"ל יש אחת מהמטרות הבאות:
לגרום למשתמש ללחוץ על קישור לאתר זדוני, כדי להתקין תוכנה זדונית במכשיר שלו.
לגרום למשתמש להוריד קובץ נגוע ולהשתמש בו כדי לפרוס תוכנות זדוניות
במכשיר או לגרום למשתמש ללחוץ על קישור לאתר מזויף ולשלוח נתונים אישיים או מידע רגיש כמו כרטיס אשראי.
דיוג חנית
דיוג בחנית כולל מיילים זדוניים שנשלחו לאנשים ספציפיים. בדרך כלל יש לתוקף כבר חלק מהמידע על האדם כמו לדוגמא:
שֵׁם
מקום עבודה
כתובת דוא"ל
מידע ספציפי על תפקידם בעבודה
עמיתים, בני משפחה או אנשי קשר אחרים ודוגמאות מסגנון הכתיבה שלהם.
מידע זה עוזר להגביר את האפקטיביות של הודעות דיוג ולתמרן קורבנות לביצוע משימות ופעילויות, כגון העברת כסף.
ציד לוויתנים
התקפות ציד לווייתנים מכוונות להנהלה בכירה, המטרה הסופית של ציד לווייתנים זהה לסוגים אחרים של התקפות דיוג, אבל הטכניקה היא לרוב עדינה מאוד. לעובדים בכירים יש בדרך כלל מידע רב ברשות הציבור, ותוקפים יכולים להשתמש במידע זה כדי ליצור התקפות יעילות ביותר.
בדרך כלל, התקפות אלה אינן משתמשות בטריקים כמו כתובות URL זדוניות וקישורים מזויפים. במקום זאת, הם ממנפים הודעות מותאמות אישית באמצעות מידע שהם מגלים במחקר שלהם על הקורבן.
ווישינג
זוהי מתקפת פישינג שמשתמשת בטלפון במקום בתקשורת כתובה, זה כרוך בשליחת הודעות SMS מזויפות או בשיחה עם התחזות לאדם כלשהו, לדוגמא התוקף יכול להעמיד פנים שהוא מחברת כרטיסי אשראי או מהבנק ומודיע לקורבנות שהחשבון שלהם נפרץ. לאחר מכן, הפושעים מבקשים מהקורבן לספק פרטי כרטיס אשראי כדי לאמת את זהותם או להעביר כסף לחשבון מאובטח (שהוא בעצם של התוקף). הונאות אלו עשויות להיות כרוכות גם בשיחות טלפון אוטומטיות המתחזות לגוף מהימן, המבקשות מהקורבן להקליד פרטים אישיים באמצעות מקלדת הטלפון שלו.
מהם הסימנים לפישינג? ממה כדאי להיזהר?
איומים או תחושת דחיפות
תמיד צריך להתייחס בספקנות למיילים המאיימים על השלכות שליליות כלשהן. אסטרטגיה נוספת היא שימוש בדחיפות כדי לעודד או לדרוש פעולה מיידית. הפושעים מקווים שבקריאת המייל במהירות, הקורבנות לא יבחנו לעומק את התוכן.
סגנון הודעה
אינדיקציה מיידית להתחזות היא שהודעה כתובה בשפה או בטון לא הולם. אם, למשל, קולגה מהעבודה נשמע קצת מוזר או חבר קרוב משתמש בשפה רשמית, זה אמור לעורר חשד.
בקשות חריגות
אם הודעת דוא"ל מחייבת אותך לבצע פעולות לא סטנדרטיות, זה יכול להצביע על כך שהמייל הוא זדוני. לדוגמה, אם דוא"ל טוען שהוא מצוות כלשהו ומבקש להתקין תוכנה, אך פעילויות אלו מטופלות בדרך כלל באופן מרכזי על ידי מחלקה אחרת בחברה, הדוא"ל כנראה זדוני.
שגיאות כתיב
שגיאות כתיב ושימוש גרוע בדקדוק הם עוד סימן לפישינג, לכן, הודעות דוא"ל עם שגיאות כתיב או דקדוק אמורות לעורר חשד, שכן ייתכן שהן אינן מקורן מהמקור הנטען.
חוסר עקביות בכתובות אינטרנט
דרך קלה נוספת לזהות התקפות דיוג פוטנציאליות היא לחפש כתובות אימייל, קישורים ושמות דומיין לא תואמים. לדוגמה, מומלץ לבדוק תקשורת קודמת התואמת את כתובת האימייל של השולח.
הנמענים צריכים תמיד לרחף עם העכבר מעל קישור בדוא"ל לפני שהם לוחצים עליו, כדי לראות את יעד הקישור בפועל. אם ההודעת דוא"ל נשלחת על ידי בנק הפועלים, אך הדומיין של כתובת האימייל אינו מכיל את שם האתר, זה סימן לאימייל דיוג.
בקשת פרטי תשלום או פרטים אישיים אחרים
בהודעות פישינג רבות, התוקפים יוצרים דפי התחברות מזויפים שנראים רשמיים. דף הכניסה המזויף כולל בדרך כלל תיבת התחברות או בקשה למידע על חשבון פיננסי, מומלץ לבקר ישירות באתר האינטרנט שלדעתם הוא מקור האימייל, אם לדוגמא קיבלת מבנק הפועלים הודעה כמו "ישנה הודעה חדשה מהבנקאי שלך", מומלץ להיכנס ישירות לבנק הפועלים ולבדוק את ההודעות הנכנסות ולא ללחוץ על לינק לא מוכר.
דרכים להגן על הארגון שלך מפני פישינג
הנה כמה דרכים שבהן הארגון שלך יכול להפחית את הסיכון להתקפות פישינג.
הדרכת מודעות לעובדים
חשוב ביותר להכשיר את העובדים להבין את אסטרטגיות הדיוג, לזהות סימני דיוג ולדווח על אירועים חשודים לצוות האבטחה.
באופן דומה, ארגונים צריכים לעודד עובדים לחפש תגי אמון או מדבקות מחברות אבטחת סייבר או אנטי-וירוס ידועות לפני אינטראקציה עם אתר אינטרנט. זה מראה שהאתר רציני לגבי אבטחה, וכנראה אינו מזויף או זדוני.
פתרונות אבטחת דוא"ל
פתרונות סינון דואר אלקטרוני מודרניים יכולים להגן מפני תוכנות זדוניות וקישורים זדוניים אחרים.
פתרונות אבטחת דוא"ל חוסמים ומעבירים באופן אוטומטי מיילים חשודים ומשתמשים בטכנולוגיית ארגז חול כדי "לפוצץ" מיילים ולבדוק אם הם מכילים קוד זדוני.
ניטור והגנה על נקודות קצה
השימוש הגובר בשירותי ענן ובמכשירים אישיים במקום העבודה מציג נקודות קצה חדשות רבות שאולי אינן מוגנות במלואן. צוותי אבטחה חייבים להניח שכמה נקודות קצה ייפרצו על ידי התקפות נקודות קצה. חיוני לנטר נקודות קצה לאיומי אבטחה וליישם תיקון ותגובה מהירים במכשירים שנפגעו, זכרו כי מכשיר שנפרץ שמשתמש ב Wifi של הארגון מהווה סכנה לזליגת מידע.
הגבל את גישת המשתמש למערכות ונתונים עם ערך גבוה
רוב שיטות הדיוג נועדו להערים על אנשים, חשבונות משתמש הם יעדים אטרקטיביים עבור פושעי סייבר, הגבלת הגישה למערכות ולנתונים יכולה לסייע בהגנה על נתונים רגישים מפני דליפה. השתמש בעקרון המינימום הרשאות ותן גישה רק למשתמשים שזקוקים לכך לחלוטין.
השתמש בשירותים של חברת סייבר מקצועית
כללי הזהירות חשובים וטובים אך יחד עם זאת חשוב לזכור שאבטחת סייבר זה מקצוע לכל דבר ולפעמים כדאי לתת למומחים לבצע ניקוי, הגנה והדרכה על מנת להגן על הארגון שלכם, צרו איתנו קשר עכשיו לקבלת הצעה מותאמת ומשתלמת עבור העסק שלכם.