Smishing i phishing to ataki socjotechniczne, których celem jest nakłonienie ofiar do ujawnienia poufnych informacji.
Phishing polega na wysyłaniu wiadomości e-mail zawierających złośliwe linki lub załączniki. Z drugiej strony smishing, będący połączeniem SMS-ów i phishingu, polega na wysyłaniu wiadomości tekstowych zawierających złośliwe linki lub numer telefonu, które ofiara ma kliknąć lub zadzwonić.
Zarówno w przypadku ataków smishingowych, jak i phishingowych przestępcy grożą swoim potencjalnym ofiarom poważnymi konsekwencjami, jeśli nie zareagują natychmiast. Ofiary reagujące na groźby mogą ujawnić poufne informacje, takie jak hasła lub dane konta bankowego.
Ataki phishingowe Kradzież danych Obraz · Pixabay
Zanim przyjrzymy się podobieństwom i różnicom między atakami smishing i phishing, dowiedzmy się, co oznacza każdy termin.
Spis treści:
Co to jest Smishing
Smishing to atak, podczas którego przestępcy wysyłają do potencjalnych użytkowników telefonów komórkowych wiadomości tekstowe zawierające złośliwe linki lub fałszywe numery telefonów. Obejmuje to wykorzystywanie manipulacyjnych wiadomości tekstowych napisanych w zniewalającym języku w celu nakłonienia użytkownika telefonu do odpowiedzi.
Osoba atakująca może wykorzystać pilność, taką jak konieczność niezwłocznego zapłacenia za przesyłkę w transporcie lub potwierdzenia transakcji finansowej, pilnego zapłacenia za oczekującą fakturę itp.
Co to jest phishing
Phishing to wysyłanie fałszywych wiadomości e-mail zawierających złośliwe linki lub załączniki, które kierują użytkownika do serwera kontrolowanego przez osobę atakującą lub instalują złośliwe oprogramowanie, które może wykraść poufne informacje.
W przypadku phishingu witryna osoby atakującej może wyglądać podobnie do prawdziwej witryny internetowej, ale będzie zawierać błędnie wpisaną nazwę domeny. Może jednak zawierać pole logowania, które pozwala im ukraść nazwę użytkownika i hasło podczas ich wpisywania przez ofiarę, wierząc, że uzyskuje dostęp do bezpiecznej strony internetowej.
Ataki Smishing a ataki phishingowe: podobieństwa
Ataki Smishing i phishing wykorzystują taktykę socjotechniki, aby nakłonić niczego niepodejrzewających użytkowników do ujawnienia wrażliwych lub poufnych informacji. Obie metody ataku mają następujące podobieństwa.
- Każdy używa przekonującego języka, aby ostrzec swoje ofiary przed potencjalnymi zagrożeniami, jeśli nie zareagują natychmiast. Na przykład ostrzegają, że konto bankowe lub karta kredytowa zostaną zamknięte, odcięcie prądu lub usług telefonicznych oraz inne groźby, jeśli ofiara nie podejmie żądanych działań, takich jak kliknięcie podanego linku.
- Zawiera złośliwe linki kontrolowane przez osoby atakujące i mogące ukraść dane logowania lub inne poufne informacje, zainstalować złośliwe oprogramowanie lub wirusy albo złamać bezpieczeństwo urządzenia użytkownika.
Smishing a ataki phishingowe Obraz Pixabay
- Pilność: każdy z ataków stwarza poczucie pilności i może wykorzystywać groźby lub ostrzegać potencjalną ofiarę o negatywnych konsekwencjach, jeśli nie podejmie ona natychmiastowych działań lub nie zareaguje.
- Oszukiwanie: w obu atakach wykorzystywane są praktyki inżynierii społecznej w celu oszukiwania i manipulowania ofiarami. Osoby atakujące smishing i phishing często podszywają się pod znane i legalne firmy, takie jak Microsoft, Amazon, Google i inne znane marki. Dzięki temu potencjalne ofiary zyskują zaufanie, odpowiadają lub przekazują żądane informacje, wierząc, że mają do czynienia z daną organizacją lub organem.
- Ten sam cel: głównym celem przeprowadzania ataków smishingowych lub phishingowych jest nakłonienie ofiary do ujawnienia poufnych informacji o firmie lub osobie, takich jak dane logowania, dane karty kredytowej lub bankowości i inne.
Ataki Smishing a ataki phishingowe: różnice
Poniższa tabela przedstawia główne różnice w atakach smishing i phishing.
FunkcjeSmishingPhishingAtak Wektor Wykorzystuje wiadomości tekstowe SMS ze skróconymi złośliwymi adresami URL lub fałszywym numerem telefonu.Wykorzystuje wiadomości e-mail ze złośliwymi linkami lub załącznikami.ŚredniTelefon lub urządzenie mobilneKomputer lub urządzenie mobilne uzyskujące dostęp do poczty elektronicznej.Zasięg i wpływ Wysłano średnio 2,65 miliarda SMS-ów będących spamem i otrzymywanych tygodniowo w kwietniu 2022 r. Współczynnik klikalności linków w wiadomościach tekstowych jest wyższy niż w e-mailach. Więcej użytkowników może zostać narażonych na ataki przy użyciu smishingu w porównaniu z phishingiem. Każdego dnia wysyłanych jest około 3,4 miliarda wiadomości e-mail związanych z phishingiem. Jednak współczynnik klikalności jest niższy niż w przypadku smishingu. Mechanizm dostarczania Wiadomości tekstowe na telefon komórkowy Wiadomości e-mail do urządzeń komputerowych Świadomość użytkownika Średnio 2,65 miliarda wiadomości tekstowych stanowiących spam zostało wysłanych i otrzymanych tygodniowo w kwietniu 2022 r. Współczynnik klikalności linków w wiadomościach tekstowych jest wyższy niż w e-mailach. Więcej użytkowników może zostać narażonych na ataki za pomocą smishingu w porównaniu z phishingiem Większość użytkowników poczty e-mail jest świadoma ataków typu phishing Linki Skrócone złośliwe linki i fałszywe numery Złośliwe linki i załączniki Wykorzystywanie urządzenia Około 60% użytkowników telefonów komórkowych nie jest świadomych ataków smishing i prawdopodobnie padnie ofiarą. Może kraść poufne informacje z komputera. Osoby atakujące mogą również wykorzystać zaatakowane urządzenie do dystrybucji złośliwego oprogramowania lub wirusów na komputerach w tej samej sieci.Pilność Wysłanie pilniejszej i przekonującej wiadomości z prośbą o natychmiastową reakcję. Pilny e-mail, ale mniej niż smętny.
Jak się chronić?
Poniżej znajdują się niektóre praktyki mające na celu ochronę przed smishingiem i phishingiem.
- Korzystanie z solidnego rozwiązania zabezpieczającego pocztę e-mail: Zainstaluj skuteczne rozwiązania zabezpieczające, takie jak oprogramowanie antywirusowe, silne zapory ogniowe, filtry spamu, narzędzia do analizy linków, oprogramowanie antyphishingowe i inne narzędzia. Pomagają one wykrywać i zapobiegać dostarczaniu użytkownikom wiadomości e-mail typu phishing.
- Użyj uwierzytelniania wieloskładnikowego (MFA): wdrożenie usługi MFA dodaje dodatkową warstwę ochrony, wymagając od użytkownika podania innego uwierzytelnienia oprócz hasła. Typowe rozwiązania MFA wymagają od użytkownika podania nazwy użytkownika i hasła oraz innej formy uwierzytelnienia, np. kodu wysłanego na urządzenie takie jak telefon komórkowy.
- Regularnie aktualizuj i łataj systemy operacyjne i aplikacje: Aktualizowanie systemu operacyjnego, aplikacji i rozwiązań zabezpieczających gwarantuje, że są one aktualne i zawierają najnowsze łatki usuwające większość luk w zabezpieczeniach i wad, które mogą wykorzystać przestępcy.
- Przestrzegaj bezpiecznych praktyk bezpieczeństwa: chociaż zainstalowanie programu antywirusowego i innych rozwiązań zabezpieczających na komputerze lub urządzeniu mobilnym pomaga wykryć i chronić Cię przed potencjalnymi atakami, nadal musisz ćwiczyć bezpieczne korzystanie z Internetu. Poznanie istniejących i nowych sztuczek stosowanych przez atakujących pomaga zapewnić Ci bezpieczeństwo. Dowiedz się także, jak sprawdzać sygnały ostrzegawcze socjotechniczne, takie jak błędy ortograficzne, pilność, nieprawidłowe nazwy domen, nieznani nadawcy itp.
Zatrzymaj ataki phishingowe Zdjęcie: Pixabay
- Zwiększaj świadomość bezpieczeństwa: Organizacje powinny zapewniać swoim pracownikom odpowiednie i regularne szkolenia uświadamiające na temat phishingu, smishingu i innych cyberataków. Ponadto powinni używać narzędzi do symulacji phishingu, aby przetestować świadomość oraz zidentyfikować i wyeliminować luki. Użytkownicy indywidualni powinni także edukować swoją rodzinę i znajomych na temat wiadomości spamowych oraz tego, jak postępować i zachować bezpieczeństwo.
- Zgłoś próbę ataku: Zgłoś sprawę podmiotowi takiemu jak bank lub inna instytucja, aby mogła zabezpieczyć konto. Ponadto możesz poinformować instytucję ds. zapobiegania oszustwom w swoim kraju, aby mogła przeprowadzić dalsze dochodzenie.
- Testuj świadomość za pomocą symulowanych prób phishingu: symulowane testy umożliwiają administratorom określenie świadomości pracowników i ich reakcji na rzeczywiste próby phishingu. Oprogramowanie symulacyjne zazwyczaj wysyła e-maile phishingowe podobne do tych, które wysyłaliby napastnicy, ale bez szkodliwych linków i załączników. Umożliwia organizacji ustalenie, czy szkolenie uświadamiające działa i czy istnieją luki wymagające uzupełnienia.
- Chroń poufne informacje: Oprócz korzystania z oprogramowania antywirusowego i szyfrowania w celu ochrony wrażliwych danych, dobrą praktyką jest ograniczenie tego, kto ma dostęp do danych i co może z nimi zrobić. Najlepiej byłoby przyznać użytkownikom najmniejsze uprawnienia umożliwiające im dostęp tylko do danych i zasobów potrzebnych do wykonywania ich zadań. Nawet jeśli atakujący uzyska nieautoryzowany dostęp, nie może wyrządzić dużych szkód.
- Ignoruj lub usuwaj podejrzane SMS-y lub e-maile. Unikaj klikania podejrzanych wiadomości, załączników i łączy. Ponadto nie odpowiadaj na wiadomości wymagające przesłania danych osobowych, takich jak dane karty kredytowej lub konta bankowego.
Co zrobić po ataku?
Pomimo wysiłków mających na celu wykrywanie i blokowanie wiadomości smishing i phishing przed dotarciem do zamierzonych ofiar, miliony fałszywych wiadomości w dalszym ciągu codziennie omijają spam i inne filtry bezpieczeństwa.
Niestety, większość użytkowników, nawet tych świadomych oszustw, może dać się oszukać i kliknąć złośliwe linki. Chociaż najlepszą strategią jest ignorowanie i unikanie odpowiadania na fałszywe wiadomości SMS i e-mail, dobrze jest również wiedzieć, co zrobić w przypadku wystąpienia ataku.
#1. Ustal, jak doszło do ataku
Dowiedz się, dlaczego doszło do ataku i czy Twoje rozwiązanie bezpieczeństwa wymaga ulepszenia, aby zapobiec podobnym atakom w przyszłości.
#2. Sprawdź efekt ataku
Zbadaj wiadomość phishingową, aby dowiedzieć się, jakie są jej intencje, dane, na które narażony był atakujący, oraz cel. Możesz także użyć zapory sieciowej lub podobnych dzienników, aby wyszukać podejrzane adresy IP i adresy URL. Sprawdź konta i dane, które mogły zostać naruszone. Ponadto uważnie monitoruj swoje konta internetowe i bankowe oraz transakcje pod kątem podejrzanych działań, takich jak próby logowania z nietypowych lokalizacji, transfer środków itp.
#3. Poinformuj zaangażowaną organizację
Najlepszą praktyką jest skontaktowanie się z legalną firmą, której dotyczy ten problem i poinformowanie jej, że osoby atakujące wykorzystują nazwę firmy do oszukiwania użytkowników. Informacje te pozwalają organizacji ostrzegać klientów przed oszustwami.
#4. Odizoluj urządzenie od sieci
Jeśli Twój telefon lub komputer jest zainfekowany, odłącz go od sieci, aby zapobiec przesłaniu Twoich wrażliwych danych przez złośliwe oprogramowanie lub inne zainstalowane oprogramowanie. Pomaga także chronić inne maszyny w sieci.
Oprócz zapobiegania rozprzestrzenianiu się złośliwego oprogramowania na inne maszyny w sieci, odłączenie zapewnia, że urządzenie nie ukradnie i nie prześle wrażliwych danych do Internetu lub komputera atakującego.
#5. Wyczyść urządzenie
Użyj niezawodnego narzędzia, aby wyczyścić zainfekowane urządzenie i pamiętaj, aby podłączyć je ponownie tylko wtedy, gdy nie może spowodować żadnych uszkodzeń. Możesz rozważyć przywrócenie systemu do poprzedniego dobrego stanu, np. na tydzień przed atakiem. Zmień także hasła i kody PIN do zaatakowanych kont.
Wniosek
Każda osoba i organizacja korzystająca z urządzeń mobilnych i komputerów jest narażona na ataki smishingowe i phishingowe. Ataki Smishing często są wymierzone w użytkowników telefonów komórkowych, natomiast phishing koncentruje się na użytkownikach poczty e-mail.
Tak czy inaczej, spamerzy wykorzystują techniki socjotechniki, aby nakłonić użytkowników do ujawnienia haseł, danych bankowych i innych poufnych informacji. Większość wiadomości e-mail i SMS-ów typu phishing i smishing może ominąć filtry spamu i inne rozwiązania zabezpieczające. W rezultacie mogą sprawić, że użytkownicy będą myśleć, że wiadomości są uzasadnione i czyste.
Zachowanie czujności i znajomość najlepszych praktyk w zakresie cyberbezpieczeństwa może pomóc w zapobieganiu kradzieży danych i tożsamości. Najlepszym sposobem zapobiegania atakom jest nauczenie użytkowników, jak szukać oznak ataku smishing i phishing, takich jak pilność, nieznani nadawcy, prośby o ujawnienie poufnych informacji i nie tylko. Gdy podejrzewasz atak, zignoruj wiadomość i potwierdź, czy wspomniana organizacja wysłała Ci wiadomość.
Następnie, czym są ataki buforujące i jak się przed nimi chronić?