ከፊሺንግ ጥቃቶች እንዴት እራስዎን መጠበቅ እንደሚቻል

ፊሺንግ ምንድን ነው?

ፊሺንግ አጥቂ ሕጋዊ ድረ-ገጽ አሳማኝ ቅጂ — ብዙ ጊዜ በፒክሰል ደረጃ ፍጹም — ፈጥሮ ሰለባዎቹ ምስክርነቶቻቸውን እዚያ እንዲያስገቡ ሲያሞኛቸው የሚፈጠር ማህበራዊ ምህንድስና ጥቃት ነው። ሰለባው ቅጹን ሲያስገባ፣ አጥቂው የተጠቃሚ ስም፣ ይለፍ ቃል እና ማናቸውም ሁለተኛ ምክንያቶቹን ይይዛቸዋል፣ ከዚያም ሀሳባቸውን ወደ ሀቀኛ አካውንቱ ለማስተላለፍ ይጠቀምባቸዋል።

ቃሉ «ዓሣ ማጥመድ» ዘዴን ያስተጋባል — ሰለባዎቹ ወጥመድ (ብዙ ጊዜ ኢሜይል) ተጠቅሞ «ማጥመድ» ማለት ነው። አጥቂዎች ብዙ ጊዜ phoun ቁጥሮችን (SMS ፊሺንግ ወይም «smishing») እና ሙያዊ መሰናዶ ስለሚጠቀሙ ፊደሉ ተቀይሯል።

ፊሺንግ አሁንም #1 ስጋት የሆነበት ምክንያት

ዛሬ አብዛኞቹ ትልቅ ደረጃ ያላቸው የአካውንት ጥሰቶች ሃኪንግ፣ ይለፍ ቃል ሰነጣጠቅ ወይም ምስጠራ ማለፍን አያካትቱም። ሰው ይለፍ ቃሉን ሐሰተኛ ጣቢያ ላይ መተየብን ያካትታሉ። ፊሺንግ፡-

• ርካሽ ነው — አጥቂ ለVPS እና ለተጭበረበረ ጎራ ዋጋ ብቻ ሚሊዮን ኢሜይሎችን መላክ ይችላል
• ለማጣራት ከባድ ነው — ዘመናዊ ኪቶች ጎራዎቹን ያሽከረክሯቸዋል፣ ሕጋዊ አስተናጋጅ ይጠቀማሉ እና ለማጣሪያዎቹ ቅጽበታዊ ማስተካከያ ያደርጋሉ
• ውጤታማ ነው — ደህንነትን ጠንቅቀው የሚያውቁ ተጠቃሚዎች እንኳን በሚያነጣጠር ሙከራ (spear phishing) ሊደቆሙ ይችላሉ
• ሊሰፋ ይችላል — አንድ ስኬታማ ፊሺንግ ብዙ ጊዜ ይለፍ ቃሉን ዳግም ስለሚጠቀሙ ወደ ደርዘን የሚሆኑ ተያያዥ አገልግሎቶች ይደርሳሉ

የ2024 Verizon Data Breach Investigations Report ፊሺንግ ከ36% በላይ በሆኑ ጥሰቶች ሁሉ የመጀመሪያ የመዳረሻ ዘዴ እንደሆነ ደረሰ — ከሌሎቹ ምክንያቶች ሁሉ የላቀ።

ዘመናዊ ፊሺንግ እንዴት ይሰራል

ፊሺንግ ከ2000ዎቹ «የናይጄሪያ ልዑል» ኢሜይሎች በጣም ርቋል። ዘመናዊ የፊሺንግ ጥቃት ብዙ ጊዜ ያካትታል፡-

1. አሳማኝ ወጥመድ

ብዙ ጊዜ ኢሜይል፣ ጽሑፍ ወይም የሻት መልዕክት አስቸኳይ ሁኔታ ፈጥሮ («አካውንትዎ ይታገዳል»)፣ ስልጣን አሳይቶ («Microsoft ደህንነት ቡድን») ወይም ጉጉት ፈጥሮ («ሰው ፎቶ ላይ ታቀ»)። Spear-phishing ይህን ከLinkedIn፣ ከጥሰት ዳምፖች ወይም ከቀደምት ደብዳቤ የተወሰዱ ግላዊ ዝርዝሮች ጨምሮ ይቀጥልበታል።

2. በፒክሰል ደረጃ ፍጹም ሐሰተኛ ጣቢያ

አጥቂዎች የዒላማ ጣቢያውን HTML፣ CSS እና JavaScript የሚሰርቁ ዝግጁ ፊሺንግ ኪቶችን ይጠቀማሉ። ብዙ ኪቶች እንደ አገልግሎት (phishing-as-a-service) ይሸጣሉ፣ ከሚሰሩ ዳሽቦርዶች እና የደንበኛ ድጋፍ ጋር።

3. ለ2FA የቅጽበት ፕሮክሲ

አደገኛው ክፍል፡- ዘመናዊ ኪቶች ይለፍ ቃልዎን ብቻ አይይዙም። እርስዎ የሚተይቡትን ሁሉ — TOTP ኮድዎን ጨምሮ — ወደ ሀቀኛ ጣቢያ በጥቂት ሰከንዶች ውስጥ የሚያስተላልፍ man-in-the-middle ፕሮክሲ ሆነው ይሰራሉ፣ አብዛኛውን 2FA ያልፋሉ። ይህ ዘዴ adversary-in-the-middle (AiTM) ተብሎ ይጠራል እና Evilginx2 እና Modlishka ባሉ መሳሪያዎች ይጠቀምበታል።

4. የክፍለ ጊዜ ቶከን ስርቆት

ፕሮክሲ በኩል ሲያረጋግጡ፣ አጥቂው ክፍለ ጊዜ ኩኪ (session cookie) ይይዛቸዋልና ይለፍ ቃሉን ከቀየሩ በኋላ እንኳን ለመቀጠል ሊጠቀምበት ይችላል። ለዚህ ነው የፊሺንግ ምላሽ ሁል ጊዜ ንቁ ክፍለ ጊዜዎቹን መሰረዝን ሳይሆን ይለፍ ቃሉን ብቻ መቀየሩን ያካትታል።

ፊሺንግን በእርግጥ የሚያቆሙ ዘዴዎች

ሃርድዌር ደህንነት ቁልፎች (FIDO2 / WebAuthn)

ይህ በዲዛይኑ ፊሺንግን የሚቋቋም ብቸኛ የመከላከያ ምድብ ነው። FIDO2 ቁልፍ ተጠቅመው ሲገቡ፣ ቁልፍዎ የሚያረጋግጠውን ጣቢያ ትክክለኛ ጎራ በክሪፕቶግራፊ ያረጋግጣል። ሐሰተኛ ጣቢያ — ምስሉ ምንም ያህል ፍጹም ቢሆን — የተለየ ጎራ ስላለው ቁልፉ ምላሽ ለመስጠት ፈቃደኛ አይሆንም። የክሪፕቶግራፊ 악수(handshake) በቀላሉ አይጠናቀቅም።

Google ታዋቂ ሆኖ ለ85,000+ ሰራተኞቻቸው ሁሉ YubiKeys ትዕዛዝ ሰጥቷል ይህ 2017 ሲሆን፣ ከዚያ ወዲህ ባሉ ዓመታት ለኩባንያ አካውንቶች ዜሮ ስኬታማ ፊሺንግ ጥቃቶችን አሳወቀ።

Passkeys

Passkeys የFIDO2 ሸማቾች-ቀላል ዕድገት ናቸው። ተመሳሳይ የጎራ-ተያያዥ ክሪፕቶግራፊ ይጠቀማሉ፣ እናም ወደ iOS፣ Android፣ macOS እና Windows ውስጥ ተካትተዋል። የሚጠቀሙት ጣቢያ passkeys ቢደግፍ፣ አንዱን ማስቻሉ ያ አካውንት ፊሺንግን የሚቋቋም ያደርጋቸዋል።

የይለፍ ቃል አስተዳዳሪዎች

የይለፍ ቃል አስተዳዳሪ ሁለተኛው የመከላከያ መስመርዎ ነው ምክንያቱም ምስክርነቶቹ በተቀመጡበት ትክክለኛ ጎራ ላይ ብቻ ራስ-ሙሌ ያደርጋሉ። paypal.com ፈንታ paypaI.com (ትልቅ I) ላይ ብትወርዱ፣ አስተዳዳሪዎ ቅጹን ለመሙላት ዝምብሎ ይከለክላል። ያ መከልከሉ ምንም ነገር እንዳልሆነ ጮኸ የሚነግር ማስጠንቀቂያ ነው።

ኢሜይል እና DNS ማጣሪያ

የኢሜይል አቅራቢዎች ተጭበረበሩ የሚላኪ አድራሻዎችን ለማወቅ DMARC፣ SPF እና DKIM ይጠቀማሉ። አብዛኞቹ ዘመናዊ አቅራቢዎች ግልጽ ሙከራዎቹን ይይዛሉ፣ ነገር ግን የሚያነጣጠሩ ጥቃቶች አሁንም ያልፋሉ። ማጣሪያዎቹ ሊሻሻሉ ዕርዳታ ለማደረስ በሜይል ደንበኛዎ ውስጥ «ፊሺንግ ሪፖርት አድርግ» ቁልፎቹን ያስቻሉ።

ለማስጠንቀቅ ያለበት ቀይ ምልክቶች

ለመግባት፣ ለማረጋገጥ ወይም ፈጥኖ ለመስራት የሚጠይቅ መልዕክት ሲደርስዎ፡-

• አስቸኳይ ሁኔታ እና ዛቻዎች — «አካውንትዎ በ24 ሰዓት ውስጥ ይዘጋል»
• አጠቃላይ ሰላምታዎች — ስምዎ ፈንታ «ውድ ደንበኛ»
• ተመሳሳይ ጎራዎች — paypaI.com፣ app1e.com፣ secure-microsoft-login.net
• ያልተጠበቁ ዕቃዎቹ — ለማየት ለመግባት የሚጠይቁ .zip፣ .html ወይም .pdf ፋይሎች
• ሰዋሰዋዊ ወይም ቅርጸ-ፊደል ስህተቶች — ትልቅ ኩባንያዎቻቸው ኢሜይሎቻቸውን ያርሟቸዋል
• የሊንክ አለመጣጣም — ሊንኩ ላይ መዳፊቱን አቁምዎ መድረሻው ከፅሁፉ ጋር ይዛመዳል ወይ ይፈትሹ

ማንኛውም ነገር ስህተት ቢሰማ፣ ኢሜይሉን ዝጉ። ጣቢያውን እራስዎ ቁጥጥር ያድርጉ። ሀቀኛ ችግር ካለ፣ በተለመደ አሰራርዎ ሲገቡ ያዩታል።

ለፊሺንግ ዘንቦ ከሄደ ምን ማድረግ እንደሚቻል

ፈጥኖ ይስሩ — ፍጥነት ጉዳይ ነው ምክንያቱም አጥቂዎቹ ምስክርነቶቹን በደቂቃዎች ውስጥ ለመጠቀም ይጀምራሉ።

1. ይለፍ ቃሉን ወዲያው ቀይሩ ከሌላ መሳሪያ ላይ (ለምሳሌ ስልክዎ፣ ላፕቶፕዎ ላይ ዘንቦ ከሄዱ)
2. ሁሉንም ንቁ ክፍለ ጊዜዎቹ ሰርዙ በአካውንቱ ቅንጅቶች ውስጥ — ይህ የተሰረቁ ክፍለ ጊዜ ቶከኖቹን ሁሉ ያስወጣቸዋል
3. 2FA ያስቻሉ ካልነበረ፣ እና ቻሉ ካሆነ ሃርድዌር ቁልፍ ወይም passkey ይጠቀሙ
4. ያልተፈቀደ እንቅስቃሴ ይፈትሹ — የተላኩ ኢሜይሎች፣ የቅርብ ጊዜ መግቢያዎች፣ የሂሳብ ለውጦች፣ አዲስ የማስተላለፍ ደንቦች
5. ተጽዕኖ የደረሰበት ቋምን ያሳውቁ የፋይናንስ ወይም የስራ አካውንት ከሆነ
6. ሌሎች አካውንቶቹን ይፈትሹ ተመሳሳይ ይለፍ ቃሉን የተጠቀሙ — ይለፍ ቃሉን ዳግም እንደማይጠቀሙ ቢያስቡም፣ ይፈትሹ

ዋናው ሐሳብ

ፊሺንግ ቴክኖሎጂን አልፎ ሰዎቹን ስለሚያነጣጥር ያብባል። ምርጡ መከላከያዎቹ ሦስት ንብርብሮቹን ያዋህዳሉ፡- የይለፍ ቃል አስተዳዳሪዎቹ (ስህተተኛ ጎራዎቹ ላይ ራስ-ሙሌ ማድረጉን ይከለክላሉ)፣ ፊሺንግን የሚቋቋም 2FA (ሃርድዌር ቁልፎቹ ወይም passkeys ከሀቀኛ ጎራ ጋር ሚያያዙ)፣ እና ጤናማ ጥርጣሬ (ከኢሜይል ሊንክ ፈጽሞ አይግቡ)።

ሦስቱን ሁሉ በጣም አስፈላጊ አካውንትዎ ላይ — ኢሜይልዎ — አስቀድሞ ያስቻሉ። ከዚያ ወዲህ፣ ዲጂታል ሕይወቱ ሙሉ በሙሉ ይበልጥ ደህንነቱ ተጠበቀ ይሆናሉ።