Introduzione al phishing

La parola "Phish" è un'analogia per un pescatore lanciato a pescare come esca per catturarli. Il phishing è un esempio di una tecnica di ingegneria sociale che viene utilizzata per ingannare gli utenti. È un crimine informatico in cui gli obiettivi possono essere contattati tramite e-mail, messaggi, chiamate per rendere il target sicuro che provenga da una fonte legittima e che informazioni e dati sensibili possano essere raccolti dal target. I dati così raccolti possono includere coordinate bancarie, informazioni sul conto, ecc.

Il phishing è uno dei più antichi attacchi informatici iniziato negli anni '90. Questo è stato avviato dagli utenti AOL negli anni '90 per indurli a fornire le credenziali di accesso. Tuttavia, questo è uno dei maggiori attacchi degli ultimi tempi ed è diventato molto sofisticato.

Esistono diversi modi per gestire il phishing come la consapevolezza degli utenti, la legislazione, la formazione degli utenti, le misure tecniche nella corretta sicurezza informatica.

Tipi di phishing

I tipi di attacchi di phishing possono essere classificati nelle seguenti categorie:

1. Spear Phishing:

Questo è il phishing a cui è destinato un individuo o un'azienda. A differenza del phishing di massa, per aumentare il tasso di successo, gli autori di attacchi di phishing spesso attaccano individui o aziende e utilizzano le loro informazioni personali. In questo attacco, gli aggressori inviano messaggi specifici a un individuo anziché a uno generico. Gli aggressori aggiungono quanti più dettagli personali possibile per ingannare gli obiettivi che provengono da una fonte altamente legittima.

Come funzionano?

Lo spear phishing avviene analizzando i singoli profiler attraverso i siti di social network. Da un profilo, saranno in grado di ottenere il loro ID e-mail, sesso, elenco di amici, posizioni, ecc. Con queste informazioni, l'attaccante sarà in grado di agire con il bersaglio come amico o qualche entità familiare e inviarli ancora convincenti messaggi o messaggi fraudolenti. Molte volte, accade che l'individuo abbia inviato un collegamento ad alcuni siti Web contraffatti in cui sembra essere un sito Web reale ma viene utilizzato per acquisire nomi utente, password, ecc. Tipo di informazioni sensibili. Una volta che gli aggressori hanno raccolto tutte le informazioni necessarie, possono accedere alle informazioni bancarie, ingannare gli aggressori per scaricare malware, ecc.

Essere cauti

  • È necessario essere consapevoli di quali dati sensibili sono visibili sui siti di social e online.
  • Le password possono essere create in modo intelligente. Quindi è molto difficile fare un'ipotesi.
  • Il software deve essere aggiornato frequentemente.
  • Bisogna fare attenzione mentre si fa clic sui collegamenti nelle e-mail. Anche un po 'di sospetto, cerca di evitare di fare clic sui link.

2. Clonazione di phishing:

Il clonazione di phishing è un tipo di phishing in cui un'e-mail da una fonte legittima viene completamente clonata per il contenuto e viene aggiunto contenuto dannoso. L'autore dell'attacco può ingannare l'utente che si tratta di un messaggio di posta elettronica aggiornato e svolge il compito di phishing. Vinci l'e-mail, potrebbero essere inviati collegamenti dannosi e l'utente di destinazione potrebbe essere ricattato, estorto o esposto.

3. Phishing delle balene:

Il phishing di balena può essere considerato come un tipo di phishing di lancia in quanto gli obiettivi sono individui ma non alla rinfusa. Il phishing di balene è un tipo di phishing in cui i dipendenti di alto profilo sono presi di mira solo. Questo per indirizzare informazioni altamente sensibili di un'azienda. Gli obiettivi di questo attacco sono generalmente persone di livello CFO / CEO che detengono informazioni molto importanti e sensibili sulla società. Il termine caccia alle balene è venuto a seconda della dimensione dell'attacco (dimensione della balena / grande dimensione). A causa della natura mirata molto elevata, è molto difficile fermare questo tipo di attacchi poiché gli attaccanti sono molto cauti nell'essere catturati e quindi c'è un'alta probabilità che l'attacco abbia successo. Gli attacchi di caccia alle balene sono altamente personalizzati e hanno incorporato la posta, i nomi e altre varie informazioni dell'attaccante che possono ottenere attraverso varie fonti.

Gli aggressori sono pronti a dedicare molto tempo poiché le informazioni danno loro rendimenti molto alti rispetto a quelli normali. Gli attacchi di caccia alla balena sono avvenuti di recente nel 2016, quando i CEO sono stati indotti a fornire dati relativi all'imposta sul reddito a terze parti non autorizzate.

Modi per eseguire il phishing

Ecco diversi metodi e modi per eseguire il phishing che sono spiegati di seguito:

Phishing ingannevole

Questa è la tecnica più comune in cui gli aggressori impersonano un'azienda fidata e possono tentare di rubare alcuni dati sensibili come nomi utente ecc. Possono anche inviare alcuni collegamenti via e-mail che li reindirizzano a siti Web falsi per raccogliere dati come le credenziali di accesso.

Falsificazione del sito web

In questo attacco, gli aggressori usano i comandi javascript per modificare l'indirizzo dell'URL a cui conducono. Ciò può accadere aprendo un URL Web contraffatto anziché uno legittimo.

Filter Evasion

I phisher hanno iniziato a utilizzare le immagini anziché il testo, pertanto è difficile per i filtri anti-phishing rilevarle. Tuttavia, alcuni filtri anti-phishing hanno la capacità di rilevare testi / script nascosti incorporati nelle immagini con OCR.

Phishing vocale

A volte, il phishing non deve avvenire online. Possono accadere effettuando chiamate agli utenti come se provenissero da banche e convincendoli a fornire pin, nomi utente, altri dati sensibili attraverso i quali è possibile effettuare attacchi di sicurezza finanziaria come rubare denaro, effettuare acquisti, ecc.

Phishing SMS

Un collegamento fraudolento di phishing può essere inviato tramite SMS anziché e-mail. Questo collegamento funziona esattamente allo stesso modo dei collegamenti spam nelle e-mail. Poiché le persone utilizzano i telefoni cellulari per quasi tutto, questo è diventato abbastanza popolare ora. I messaggi potrebbero ingannare gli utenti con messaggi accattivanti o accattivanti come "Hai vinto 50lakh in un pareggio. Per richiedere, fai clic su … "

Phishing in sessione

È qui che il phishing si basa sulla sessione del browser in grado di rilevare la presenza di un'altra sessione. Il phishing può avvenire qui aprendo un pop-up che inganna l'utente come se fosse aperto dalla sessione di destinazione.

Come identificarlo?

  • Il nome visualizzato non può essere considerato attendibile.
  • Controlla correttamente l'indirizzo e-mail del mittente. A volte, l'indirizzo del sito Web indicato nell'e-mail o nell'indirizzo e-mail del mittente può essere sospetto e può essere rilevato esaminando attentamente.
  • A volte, il testo del corpo dell'e-mail potrebbe essere scritto male, a dimostrazione del fatto che l'e-mail non proviene da una fonte legittima.
  • Inoltre, l'e-mail potrebbe contenere al suo interno allegati sospetti che potrebbero contenere malware o che presentano alcuni virus che vengono installati all'apertura.
  • Dovresti astenermi dal fidarti se l'e-mail ti chiede qualsiasi tipo di informazione personale che sembra sospetta
  • Le e-mail "urgenti" potrebbero costituire una minaccia. Fai attenzione quando un'e-mail arriva con un senso di urgenza. Di solito, questo è un trucco per fare in modo che gli utenti non pensino più e agire immediatamente come fornire informazioni personali e far scaricare malware, ecc.
  • Controlla la firma. Fonti legittime sarebbero molto trasparenti e fornirebbero informazioni di contatto complete, numero di telefono di supporto, ecc. Quindi controlla se la firma è valida e ha alcune informazioni attendibili che aiutano a capire se l'e-mail è autentica.
  • Utilizzare i browser corretti con alcuni anti-phishing abilitati all'interno dei browser. Chrome, Firefox, IE, Safari, ecc. Hanno abilitato l'anti-phishing al loro interno.

Anti Phishing

1. Esistono alcuni siti Web su Internet che aiutano le persone a mostrare il messaggio esatto che viene diffuso su Internet per il phishing. Questi tipi di siti Web aiutano a diffondere la consapevolezza.

2. Molte organizzazioni hanno iniziato a implementare metodi in cui i dipendenti sono addestrati a implementare legalmente le tecniche appropriate all'interno dell'organizzazione per essere al sicuro dagli attacchi di phishing. Le organizzazioni organizzano inoltre campagne di phishing per diffondere la notizia e far comprendere ai dipendenti l'importanza della sicurezza contro il phishing. Inoltre, le organizzazioni cercano di adottare un modello / firma nelle e-mail ufficiali in modo che il dipendente sappia se l'e-mail è effettivamente ufficiale o meno. Tuttavia, dipende anche dal fatto che l'individuo presta attenzione a questo tipo di minuti dettagli sulle e-mail.

3. Gli utenti possono essere addestrati a riconoscere i tentativi di phishing e contrastarli con alcune tecniche adeguate.

4. Browser come IE, Chrome, Firefox mantengono un elenco di siti Web fraudolenti che sono popolari nel fare attacchi di phishing. Questi rendono l'utente consapevole anche prima di aprire il sito Web in modo che l'utente sia al sicuro. Tuttavia, questo può solo prevenire il 50% del problema in quanto gli aggressori dopo aver saputo che il loro sito Web è bloccato preferirebbero ovviamente un altro modo probabilmente cambiando il dominio, ecc.

5. Alcuni siti Web bancari hanno adottato alcuni modi intelligenti per rilevare il phishing, chiedendo agli utenti di inserire la password solo quando una determinata azione è affidabile. Per esempio; il sito Web mostra una serie di immagini di cui l'utente selezionerebbe una e che verrà visualizzata. Solo allora, viene richiesto all'utente di inserire una password e ciò suggerisce che la pagina Web che sta visualizzando è affidabile.

6. I filtri antispam sono disponibili su quasi tutte le cassette postali che filtrano le e-mail in arrivo.

7. Attualmente, esistono altri modi per autorizzare un utente come fornire un metodo di verifica in due passaggi come un OTP a un numero di cellulare.

8. Con OAuth, dove è possibile utilizzare l'autenticazione google / facebook / twitter, l'accesso fraudolento è diventato meno possibile poiché la sicurezza dell'accesso completo e la sicurezza sono completamente rilevate da queste grandi aziende.

9. Il test di penetrazione è una tecnica che autorizza un attacco simulato al sistema informatico per verificare il livello di sicurezza del sistema. Questo viene utilizzato fondamentalmente per la valutazione del rischio in cui la valutazione valuta la capacità del sistema di essere lontano dagli attacchi alla sicurezza e la vulnerabilità del sistema per tali attacchi. In questo, il sistema di destinazione viene completamente rivisto e ottiene i dati. Quindi il test viene eseguito con l'obiettivo di un attacco a determinati dati e quindi verificare quanto è buono il sistema per incontrarlo. Il test con penna è un componente di un controllo di sicurezza completo.

Fasi del test con penna Include

1. Ricognizione: questa è la fase in cui vengono raccolte le informazioni richieste.

2. Scansione: utilizzare gli strumenti per approfondire la conoscenza del sistema dell'attaccante.

3. Ottenere l'accesso: qui, l'attaccante può usare il payload per attaccare il sistema usando i dati delle fasi 1 e 2.

4. Mantenimento dell'accesso: essere persistenti nell'attaccare il sistema e verificare la presenza di eventuali vulnerabilità.

5. Tracce di copertura: sii anonimo di tutto ciò che viene eseguito.

Queste sono le fasi del test di penetrazione e questo è lo standard raccomandato per gli attacchi informatici.

Il Pen Test può essere di due tipi:

  • Test esterni: dove vengono eseguiti test su dati digitali esterni come sito Web aziendale, server di posta, server di dominio, ecc.
  • Test interni: è quello in cui vengono eseguiti i test su tutti i sistemi sui dati dietro i firewall dell'azienda.

Attacchi di phishing segnalati

Anche quando i computer stanno diventando intelligenti e tutte le nuove tecniche per contrastare il phishing, gli attacchi di phishing stanno diventando ancora più intelligenti e stanno arrivando con gli ultimi attacchi.

1. Le persone hanno spesso paura quando ricevono una mail che dice che il loro account viene disattivato. Gli aggressori utilizzano questa psicologia della mente umana e attaccano tramite e-mail chiedendo loro di fare clic su un collegamento immediatamente. Poiché l'e-mail contiene una nota di emergenza, le persone potrebbero facilmente rimanere intrappolate senza nemmeno controllare la realtà

2. Alcune e-mail come nigeriane arrivano con una grammatica pessima e con un contesto che richiede qualcosa come una donazione, il pagamento di pesanti spese ospedaliere, ecc. Queste e-mail sono solo un altro modo per ottenere simpatia dagli utenti e attirare i loro soldi. Queste e-mail nella massima misura sono state segnalate da paesi terzi e principalmente da truffatori nigeriani.

3. Gli aggressori conoscono un altro trucco per cui gli umani hanno coscienza di colpa e usano questo per spaventarli. Le e-mail verrebbero con il contesto in cui si afferma che si è soggetti a una violazione e per i quali è necessario intraprendere azioni immediate come il pagamento di un importo entro 3 giorni, altrimenti si potrebbe essere sottoposti a prigione o rischiare di pagare un sacco di soldi.

4. Le e-mail hanno anche un contesto come “Attenzione .. Agisci immediatamente. Chiamaci al numero 1800 … per ricevere immediatamente l'assistenza, ecc. Non appena chiami il numero (Il numero può essere facilmente acquistato dai truffatori), Un tecnico verrebbe in assistenza e ti chiederebbe di fornire l'accesso remoto per il tuo sistema . Non appena fornite, accedono al sistema e installano alcuni software dannosi o accedono ai loro dati, ecc.

Si raccomanda vivamente che le persone siano consapevoli di tutti questi tipi di attacchi di phishing e rendano le migliori pratiche sicure in questo mondo digitale.

Articoli consigliati

Questa è stata una guida a Cos'è il phishing ?. Qui abbiamo discusso la fase, i tipi e i modi per eseguire il phishing. Puoi anche consultare i nostri altri articoli suggeriti per saperne di più -

  1. Differenza tra phishing e pharming
  2. Che cos'è un avido algoritmo?
  3. Domande di intervista per i test di penetrazione
  4. Che cos'è la sicurezza di rete?

Categoria:

Sviluppo software