Phishing stanowi jedną z najpopularniejszych i najczęściej wykorzystywanych technik ataków, bazujących na socjotechnice.
Jako cyberatak, który wykorzystuje ludzką psychikę, phishing okazywał się skuteczny w przeszłości, uderzając w wiele firm, zarówno małych, jak i dużych. Badania pokazują, że ponad 80% organizacji doświadczyło przynajmniej jednej udanej próby phishingu w roku 2020.
Ponadto, raport dotyczący trendów w aktywności phishingowej wskazuje na znaczący, bo aż 150% wzrost ataków phishingowych w latach 2019-2022, osiągając rekordową liczbę 4,7 miliona ataków w 2022 roku.
Chociaż termin phishing obejmuje szeroką gamę cyberataków, istnieją różne rodzaje, w tym vishing, phishing mailowy, spear phishing, phishing klonowany i inne.
Wśród nich spear phishing, czyli atak skierowany na konkretny cel, jest jednym z najczęstszych i najbardziej wyrafinowanych cyberataków, stanowiąc początek lub punkt wyjścia dla ponad 91% cyberataków.
Ale czym właściwie różni się phishing od spear phishingu? Jakie są kluczowe cechy odróżniające te dwa cyberataki i jak można chronić przed nimi swoją organizację?
W niniejszym artykule szczegółowo omówimy phishing i spear phishing, analizując główne cechy, które je różnicują.
Zaczynajmy!
Czym jest phishing?
Phishing to rodzaj cyberataku, w którym oszustwa są rozpowszechniane za pomocą wiadomości e-mail wysyłanych do losowych osób, korzystając z różnych kanałów, takich jak wiadomości tekstowe (smishing), e-maile (phishing mailowy) czy rozmowy telefoniczne (vishing).
Atakujący masowo wysyłają e-maile phishingowe, próbując pozyskać poufne informacje o użytkownikach i firmach, licząc, że spośród tysięcy prób, przynajmniej kilka zakończy się sukcesem.
Współcześni oszuści phishingowi, modyfikują e-maile i wiadomości tak, aby wyglądały na autentyczne i pochodzące z zaufanego źródła, takiego jak firma czy bank. Hakerzy rozsyłają te wiadomości losowo, manipulując użytkownikami, aby kliknęli w złośliwe linki lub załączniki, lub podjęli inne działania inicjujące dalsze ataki.
W ataku phishingowym często wykorzystuje się pilny ton, wzbudzając strach i manipulując odbiorcami, aby pobrali zainfekowane pliki lub kliknęli w niebezpieczne odnośniki, narażając w ten sposób swoje dane osobowe, jak na przykład informacje bankowe czy dane logowania.
Tak więc, jak sama nazwa wskazuje, phishing odnosi się do losowych i szeroko zakrojonych cyberataków mailowych, których celem jest wykorzystanie nieuwagi użytkowników w celu uzyskania dostępu do ich poufnych informacji.
Jednak phishing przybiera różne formy, w zależności od użytego medium i taktyki. Różne mechanizmy ataków phishingowych obejmują:
- Smishing: znany również jako phishing SMS, to atak przeprowadzany za pomocą wiadomości tekstowych, mający na celu zainfekowanie telefonu lub urządzenia mobilnego użytkownika złośliwym oprogramowaniem.
- Vishing: to cyberatak phishingowy wykonywany za pośrednictwem połączeń telefonicznych lub protokołów internetowych, takich jak VoIP (Voice Over Internet Protocol).
- Phishing z wyskakującymi okienkami: atak ten polega na wyświetlaniu pilnych wyskakujących okienek lub komunikatów na ekranie użytkownika, które udają komunikaty bezpieczeństwa.
- Phishing faksowy: atak polega na wysłaniu wiadomości phishingowej informującej, że użytkownik otrzymał faks w załączniku do wiadomości e-mail, co często prowadzi do fałszywych witryn internetowych, żądających podania danych logowania.
- Phishing z przelewami bankowymi: ten rodzaj ataku wykorzystuje przelewy bankowe w celu przeprowadzenia nieuczciwych działań.
Skoro omówiliśmy różne rodzaje ataków phishingowych, przyjrzyjmy się teraz, czym jest spear phishing i co go odróżnia od wspomnianych powyżej ataków.
Czym jest spear phishing?
Spear phishing jest bardziej zaawansowaną i wyrafinowaną formą phishingu, która skupia się na konkretnych osobach, organizacjach lub ofiarach, w przeciwieństwie do phishingu, który atakuje szerokie masy ludzi.
Zamiast atakować losową grupę osób, spear phishing atakuje konkretne firmy lub organizacje, stosując socjotechniki, takie jak sfałszowane wiadomości e-mail.
W spear phishingu napastnicy często podszywają się pod pracowników, współpracowników lub partnerów biznesowych, aby wyłudzić poufne informacje organizacji. Celem może być nie tylko kradzież danych osobowych, ale także uzyskanie dostępu do serwera firmowego i wykorzystanie go w celach szkodliwych.
Cyberprzestępcy często stosują inżynierię społeczną, wysyłając wysoce spersonalizowane e-maile, bazując na danych osobowych zebranych z profili w mediach społecznościowych, takich jak imię, nazwisko i firma, dzięki czemu fałszywe wiadomości e-mail wydają się bardziej autentyczne, legalne i wiarygodne.
Pomaga to cyberprzestępcom zdobyć zaufanie ofiar, zwiększając szanse na to, że odbiorcy e-maili podejmą pożądane działanie. Oprócz fałszowania wiadomości e-mail, napastnicy mogą używać dynamicznych adresów URL i pobierania typu drive-by, aby naruszyć zabezpieczenia firmy i przeprowadzić atak spear phishing.
Podczas przeprowadzania spear phishingu cyberprzestępcy często stosują dwa rodzaje ataków:
- Whaling: ten rodzaj spear phishingu jest skierowany do wyższej kadry kierowniczej, która posiada uprawnienia dostępu do poufnych informacji. Celem jest uzyskanie dostępu do wrażliwych danych, inicjowanie transferów środków lub naruszenie bezpieczeństwa danych.
- Oszustwa na stanowiskach dyrektorskich: podczas gdy ataki whaling są skierowane do osób na wyższych stanowiskach, oszustwa na dyrektorów generalnych są skierowane do pracowników niższego szczebla, poprzez podszywanie się pod kierownictwo wyższego szczebla, takie jak dyrektor generalny firmy. Napastnicy w ten sposób łatwo nakłaniają lub zmuszają młodszych pracowników do podejmowania nieautoryzowanych działań. Ten atak nazywa się również Business Email Compromise (BEC).
Teraz, gdy rozumiemy podstawowe definicje i ideę phishingu i spear phishingu, przejdźmy do bardziej szczegółowych informacji, aby zrozumieć, czym te dwa ataki różnią się w kluczowych aspektach.
Phishing a spear phishing: szybki przegląd
Czynniki | Phishing | Spear Phishing
—|—|—
Styl ataku | Atak na szeroką skalę, skierowany do przypadkowej grupy osób. | Atak na konkretną organizację lub osobę z wykorzystaniem socjotechniki.
Poziom personalizacji | Częsty i mniej czasochłonny. | Wysoce spersonalizowany, wymaga dokładnego zbadania ofiary, włączając jej dane personalne, stanowisko itp.
Poziom pilności | Stosuje język wywołujący pilność, aby skłonić ofiarę do podjęcia natychmiastowego działania bez zastanowienia. | Zawiera element o minimalnej lub braku pilności, koncentruje się na zdobyciu zaufania ofiary, zanim zmusi ją do podjęcia działania.
Główny cel | Uzyskanie dostępu do wrażliwych danych, takich jak dane logowania. | Spear phishing może również próbować uzyskać dostęp do danych, ale ostateczny cel może być znacznie poważniejszy, np. pozyskanie tajemnic handlowych firmy.
Częstotliwość | Często wysyłane są ogólne wiadomości e-mail z prośbą o aktualizację hasła. | Rzadziej spotykany, ponieważ wymaga więcej czasu, wysiłku i badań.
Poziom wysiłku | Niski, ponieważ wiadomości są ogólne i oparte na szablonach. | Wysoki, ponieważ wiadomości są opracowane z dużą dbałością o szczegóły i charakteryzują się zwiększoną personalizacją.
Ton treści wiadomości | Ogólny i formalny (czasem nieznany ofierze). | Znajomy i spersonalizowany, często zawiera pozdrowienie z imieniem ofiary.
Przykłady | Banki wysyłają ogólne e-maile z prośbą o aktualizację hasła. | Pracownik wyższego szczebla proszący o przelew pieniężny na potrzeby projektu.
Środki zapobiegawcze | Filtrowanie poczty e-mail oraz podstawowe szkolenia i świadomość w zakresie cyberbezpieczeństwa. | Zaawansowane zapory ogniowe, filtrowanie poczty e-mail i regularne zwiększanie świadomości cyberbezpieczeństwa poprzez symulacje phishingu.
Phishing a spear phishing: szczegółowe omówienie
Chociaż phishing i spear phishing mogą wydawać się podobne, różnią się pod względem celu, taktyki, metodologii ataku, środków bezpieczeństwa i innych kluczowych czynników.
Przyjrzyjmy się każdemu z nich po kolei.
#1. Wektory ataku
Standardowe ataki phishingowe wykorzystują szeroką sieć, poprzez socjotechniki, takie jak masowe e-maile, złośliwe strony internetowe lub wiadomości SMS. Dlatego często próbują dosięgnąć szeroką grupę osób, stosując różne wektory ataku w celu dotarcia do jak największej liczby potencjalnych ofiar.
Z drugiej strony, ataki spear phishing są znacznie bardziej ukierunkowane, specyficzne i spersonalizowane. Chociaż spear phishing często wykorzystuje fałszywe wiadomości e-mail, może również wykorzystywać media społecznościowe, rozmowy telefoniczne lub interakcje osobiste, aby atakować określone osoby.
#2. Zwodnicza taktyka
Ataki phishingowe polegają na rozsyłaniu ogólnych i źle napisanych e-maili lub wiadomości, podszywając się pod legalne organizacje lub usługi. Stosują taktykę zastraszania lub wywołują wrażenie pilności, skłaniając ofiary do ujawnienia poufnych danych, takich jak dane logowania lub informacje o koncie bankowym.
Napastnicy często wykorzystują ogólne szablony wiadomości e-mail, aby oszukać użytkowników i używają taktyki strachu, złośliwych linków, fałszywych witryn internetowych i załączników z oprogramowaniem wywołującym szkodliwe działania, zmuszając ofiary do podjęcia pożądanej czynności w celu zapewnienia bezpieczeństwa urządzenia lub konta.
Podczas gdy phishing opiera się na ogólnych taktykach zwodzenia, spear phishing wykorzystuje bardziej przekonujące i spersonalizowane metody, przeprowadzając dokładne badania dotyczące docelowych ofiar, aby opracować wiarygodne wiadomości.
Wiadomości te zawierają szczegółowe informacje o ofierze, takie jak jej imię, nazwisko, firma, stanowisko, naśladując styl i ton prawdziwej firmowej wiadomości e-mail, dzięki czemu wydają się bardziej wiarygodne i odróżniają je od zwykłych wiadomości phishingowych.
#3. Kierowanie
W atakach phishingowych atakujący atakują wiele osób jednocześnie, korzystając z ogólnych wiadomości e-mail, koncentrując się na przypadkowym działaniu. Ataki phishingowe polegają na masowym wysyłaniu wiadomości, mając nadzieję, że co najmniej kilka procent ofiar da się nabrać na ich zwodniczą taktykę.
Z drugiej strony, spear phishing wykorzystuje ukierunkowaną inżynierię społeczną. Atakujący bardzo dokładnie i precyzyjnie wybierają swoje ofiary i wysyłają spersonalizowane e-maile do wybranych osób.
Atakujący często skupiają się na kadrze kierowniczej lub pracownikach wyższego szczebla, aby uzyskać dostęp do wrażliwych danych biznesowych organizacji. Im wyższy poziom kierownictwa, tym większy potencjalny wpływ narażenia na szwank.
W ataku typu spear phishing, ofiara jest traktowana jako środek do osiągnięcia celu, jakim jest naruszenie bezpieczeństwa samej organizacji.
#4. Cele
Głównym celem ataków phishingowych jest zebranie dużej ilości poufnych informacji poprzez atak na szeroką grupę osób. Informacje te mogą obejmować numery kart kredytowych, dane logowania, hasła do kont bankowych lub inne dane osobowe.
Natomiast cel ataków spear phishing jest bardziej ukierunkowany i może się różnić w zależności od tego, w jaki sposób atakujący chce naruszyć bezpieczeństwo konkretnej firmy lub organizacji.
Cele spear phishingu mogą obejmować dostęp do określonych kont firmowych, eksfiltrację poufnych informacji, kradzież zastrzeżonych zasobów lub danych, przeprowadzanie wewnętrznych cyberataków w organizacji lub prowadzenie ukierunkowanego szpiegostwa korporacyjnego.
#5. Wyzwania związane z wykrywaniem
Organizacje mogą wykrywać ataki phishingowe, umieszczając domeny na czarnych listach, filtrując e-maile i używając zapór ogniowych oraz oprogramowania antywirusowego.
Jednak wykrycie niektórych wiadomości phishingowych może być trudne, ze względu na ewoluujące, wyrafinowane socjotechniki, manipulujące ludzką psychiką i taktyki, takie jak podszywanie się pod wiarygodne osoby, używanie protokołu HTTPS w fałszywych witrynach internetowych, zaciemnianie adresów URL, pharming i inne.
Jednocześnie, w porównaniu z atakami phishingowymi, wykrycie ataków spear phishing może być jeszcze trudniejsze, ponieważ są one bardziej spersonalizowane. Dlatego tradycyjne środki bezpieczeństwa, takie jak zapory ogniowe, często ich nie wykrywają.
Wykrywanie spear phishingu opiera się głównie na edukacji, świadomości i bystrym oku użytkowników, oraz ich zdolności do dostrzegania subtelnych, zwodniczych znaków w wiadomościach e-mail.
#6. Środki zapobiegawcze
Pracownicy i organizacje mogą zapobiegać atakom phishingowym, stosując zapory ogniowe, oprogramowanie antywirusowe, filtrując pocztę e-mail i strony internetowe, regularnie aktualizując hasła, instalując poprawki bezpieczeństwa itp.
Kluczowe jest także zwiększanie świadomości cyberbezpieczeństwa i przeprowadzanie szkoleń dla pracowników, aby mogli oni łatwiej rozpoznawać próby phishingu.
Zapobieganie spear phishingowi wymaga podejścia wielowarstwowego, łączącego solidne rozwiązania w zakresie bezpieczeństwa poczty e-mail i edukacji użytkowników. Może to obejmować stosowanie ścisłej kontroli dostępu, uwierzytelnianie dwuskładnikowe (2FA), szkolenie pracowników, zaawansowane systemy bezpieczeństwa poczty e-mail, które identyfikują podejrzane wzorce wiadomości i analizę zagrożeń.
#7. Przykłady z życia wzięte
Fałszywe i złośliwe e-maile, podszywające się pod renomowane organizacje i banki, takie jak PayPal lub profile w mediach społecznościowych, są częstym przykładem ataków phishingowych.
- Spectrum Health, organizacja ochrony zdrowia, zgłosiła atak typu vishing w 2020 r., kiedy pacjenci i członkowie organizacji otrzymywali telefony od osób podszywających się pod pracowników, w celu uzyskania dostępu do ich danych osobowych, w tym identyfikatora członka i innych informacji związanych z kontami. Napastnicy używali gróźb i pochlebstw, aby zmusić ofiarę do przekazania danych, uzyskania dostępu do urządzeń lub pieniędzy.
- Innym przykładem jest sytuacja kiedy Tripwire zgłosił duży atak w 2020 roku. Atakujący wysyłał wiadomości SMS podszywając się pod Pocztę Stanów Zjednoczonych (USPS). Wiadomości prosiły ofiary o kliknięcie linku w celu uzyskania informacji o przesyłce USPS, co prowadziło do fałszywych witryn internetowych, które kradły dane uwierzytelniające kont Google.
Podobnie, oto dwa przykłady ataków spear phishing wzięte z życia:
- Jednym z najsłynniejszych przypadków spear phishingu jest sytuacja, w której Google i Facebook zostały oszukane, aby zapłacić 122 miliony dolarów w latach 2013–2015, w wyniku kampanii BEC. Atakujący podszywał się pod Quantę, wspólnego dostawcę obu firm i wysyłał e-maile z fałszywymi fakturami, które Google i Facebook opłacały. Firmom udało się później odzyskać 49,7 mln dolarów.
- Innym przykładem spear phishingu jest strata firmy Pathe, francuskiej grupy kinowej, 19,2 mln euro w wyniku oszustwa dyrektora generalnego. Atakujący wysłał e-maile, podszywając się pod dyrektora generalnego Marca Lacana, prosząc holenderskie biuro o przekazanie pieniędzy firmie Towering Stars General Trading LLC w Dubaju.
#8. Wskaźnik sukcesu
Chociaż wskaźnik skuteczności ataków phishingowych jest bardzo zróżnicowany, jest on porównywalnie niższy niż w przypadku spear phishingu, ze względu na jego ogólny i mniej ukierunkowany charakter.
Skuteczność ataku phishingowego zależy przede wszystkim od jakości i taktyk zwodzenia użytych w wiadomościach, świadomości ofiary w zakresie cyberbezpieczeństwa oraz zdolności do wykrycia fałszywej wiadomości.
Z drugiej strony, ataki spear phishing mają wyższy wskaźnik skuteczności ze względu na ich przekonujący i spersonalizowany charakter. Odbiorcy e-maili chętniej ufają sfałszowanym wiadomościom i dają się nabrać na próby spear phishingu, ponieważ wydają się one bardziej wiarygodne i zawierają szczegółowe informacje.
Sposoby ochrony przed phishingiem i spear phishingiem
Zagrożenia i potencjalne skutki ataków phishingowych i spear phishing są coraz bardziej realne, złożone i kosztują organizacje miliony dolarów.
Dlatego niezbędne jest podjęcie kluczowych środków zapobiegawczych w celu ograniczenia ryzyka ataków phishingowych. Oto kilka sposobów ochrony siebie i swojej organizacji przed wyrafinowanymi atakami phishingowymi i spear phishingiem.
- Szyfruj poufne dane i informacje na swoim komputerze i urządzeniach mobilnych, aby uniemożliwić dostęp do tych danych bez odpowiedniego hasła.
- Fałszywe wiadomości e-mail są głównym narzędziem atakujących do kradzieży danych logowania. Dlatego uwierzytelnij swój adres e-mail, korzystając z metod takich jak SPF, DMARC i DKIM.
- Korzystaj z uwierzytelniania wieloskładnikowego (MFA), aby chronić poufny dostęp do konta firmowego, nawet jeśli Twoje dane logowania zostaną naruszone. MFA utrudnia hakerom dostęp do konta.
- Aktualizuj i zabezpieczaj oprogramowanie, aplikacje, systemy operacyjne i narzędzia sieciowe, instalując najnowsze poprawki bezpieczeństwa, ochronę przed złośliwym oprogramowaniem i oprogramowanie antywirusowe.
- Edukuj swoich pracowników na temat cyberbezpieczeństwa, negatywnych skutków ataków phishingowych, mechanizmów wykrywania i sposobów zapobiegania im. Promuj stosowanie najlepszych praktyk w celu ograniczenia związanego z nimi ryzyka.
- Regularnie przeprowadzaj szkolenia z zakresu cyberbezpieczeństwa i symulacje phishingu, aby informować pracowników o najnowszych trendach i zagrożeniach oraz sprawdzać ich zdolność do identyfikowania i zgłaszania fałszywych i złośliwych wiadomości e-mail.
Stworzenie kultury organizacyjnej skupionej na cyberbezpieczeństwie oraz włączenie najlepszych procedur i praktyk, może znacząco pomóc w ograniczeniu potencjalnego wpływu ataków phishingowych i spear phishingowych.
Podsumowanie
Zarówno kampanie phishingowe, jak i ataki spear phishing są nieuniknioną i trudną rzeczywistością dzisiejszego świata cyfrowego. Cyberprzestępcy stosują wyrafinowane taktyki, aby narazić na szwank osoby i organizacje, co prowadzi do ogromnych szkód finansowych i utraty reputacji.
Chociaż oba ataki mogą zaszkodzić wiarygodności organizacji, można im zapobiegać, śledząc najnowsze trendy w cyberbezpieczeństwie i stosując najlepsze praktyki bezpieczeństwa. Wszystko zaczyna się od zrozumienia i zbadania samych ataków.
Ten artykuł ma na celu pomóc w zrozumieniu różnicy między phishingiem a spear phishingiem oraz w analizie kluczowych aspektów, takich jak cel, wpływ, wskaźnik sukcesu, taktyki, wektory ataków i metody zapobiegania.
Stosuj się do wymienionych najlepszych praktyk bezpieczeństwa, aby uchronić siebie i swoją firmę przed złośliwymi kampaniami phishingowymi i spear phishingiem.
Dodatkowo, sprawdź dostępne rozwiązania zabezpieczające pocztę e-mail, które chronią przed spamem, fałszowaniem i atakami typu phishing.
newsblog.pl