Как да се предпазите от фишинг атаки

Какво е фишинг?

Фишингът е атака чрез социално инженерство, при която нападателят създава убедително копие на легитимен уебсайт — често с пикселна точност — и подмамва жертвата да въведе там своите идентификационни данни. В момента, в който жертвата изпрати формуляра, нападателят улавя потребителското име, паролата и всеки втори фактор, след което ги използва за превземане на истинския акаунт за секунди.

Думата произлиза от метафората на „риболов" за жертви с примамка (обикновено имейл). Изписването се е променило, за да подчертае, че нападателите често използват phone numbers (SMS фишинг или „смишинг") и професионално изглеждаща инфраструктура.

Защо фишингът все още е заплаха №1

Повечето мащабни пробиви на акаунти днес не включват хакване, разбиване на пароли или заобикаляне на криптиране. Те включват човек, въвеждащ парола в фалшив сайт. Фишингът е:

• Евтин — нападателят може да изпрати милиони имейли на цената на VPS сървър и подправен домейн
• Труден за филтриране — съвременните комплекти ротират домейни, използват легитимен хостинг и се адаптират към филтрите в реално време
• Ефективен — дори потребители, наясно с проблема, стават жертви на добре изработени целенасочени опити (спиър фишинг)
• Мащабируем — един успешен фишинг нерядко дава достъп до десетки свързани услуги чрез повторно използване на пароли

Докладът на Verizon за разследване на пробиви в данните за 2024 г. установи, че фишингът е бил началният вектор за достъп в над 36% от всички пробиви — повече от всяка друга единична причина.

Как работи съвременният фишинг

Фишингът се е развил далеч отвъд имейлите за „нигерийски принц" от 2000-те. Съвременната фишинг атака обикновено включва:

1. Убедителна примамка

Обикновено имейл, текстово съобщение или чат съобщение, създаващо спешност („Акаунтът ви ще бъде спрян"), авторитет („Екипът за сигурност на Microsoft") или любопитство („Някой ви е отбелязал на снимка"). Спиър фишингът отива по-далеч с лични детайли, извлечени от LinkedIn, бази данни с пробити данни или предишна кореспонденция.

2. Фалшив сайт с пикселна точност

Нападателите използват готови фишинг комплекти, които клонират HTML, CSS и JavaScript на целевия сайт. Много комплекти се продават като услуга (phishing-as-a-service) с работещи табла за управление и клиентска поддръжка.

3. Прокси в реално време за 2FA

Опасната част: съвременните комплекти не само улавят паролата ви. Те действат като man-in-the-middle прокси, който препраща всичко, което въвеждате — включително вашия TOTP код — към истинския сайт за секунди, заобикаляйки повечето 2FA методи. Тази техника се нарича adversary-in-the-middle (AiTM) и се използва в инструменти като Evilginx2 и Modlishka.

4. Кражба на сесийни токени

След като се удостоверите чрез прокси сървъра, нападателят улавя вашия сесиен бисквит и може да го използва, за да остане влязъл дори след като смените паролата си. Ето защо реакцията при фишинг винаги включва отменяне на активни сесии, а не само смяна на парола.

Какво наистина спира фишинга

Хардуерни ключове за сигурност (FIDO2 / WebAuthn)

Това е единствената категория защита, която е устойчива на фишинг по своята конструкция. Когато влизате с FIDO2 ключ, той криптографски проверява точния домейн на сайта, изискващ удостоверяване. Фалшивият сайт — колкото и визуално перфектен да е — има различен домейн, затова ключът отказва да отговори. Криптографското ръкостискане просто не се завършва.

Google прочуто задължи YubiKeys за всички 85 000+ служители през 2017 г. и докладва нула успешни фишинг атаки срещу корпоративни акаунти в годините след това.

Passkey-и

Passkey-ите са потребителски ориентираната еволюция на FIDO2. Те използват същата криптография, обвързана с домейна, и са вградени в iOS, Android, macOS и Windows. Ако сайт, който използвате, поддържа passkey-и, активирането на такъв прави акаунта устойчив на фишинг.

Мениджъри за пароли

Мениджърът за пароли е вашата втора линия на защита, тъй като попълва автоматично идентификационни данни само на точния домейн, където са били запазени. Ако попаднете на paypaI.com (главно I) вместо на paypal.com, вашият мениджър мълчаливо отказва да попълни формуляра. Това отказване е силно предупреждение, че нещо не е наред.

Имейл и DNS филтриране

Имейл доставчиците използват DMARC, SPF и DKIM за открива на подправени адреси на подателя. Повечето съвременни доставчици улавят очевидните опити, но целенасочените атаки все пак провират. Активирайте бутоните „Докладвай фишинг" в своя имейл клиент, за да помогнете за подобряването на филтрите.

Червени флагове, за които трябва да внимавате

Когато получите съобщение, което ви приканва да влезете в акаунт, да потвърдите нещо или да действате спешно:

• Спешност и заплахи — „Акаунтът ви ще бъде закрит след 24 часа"
• Общи поздравления — „Уважаеми клиент" вместо вашето име
• Домейни, наподобяващи истинските — paypaI.com, app1e.com, secure-microsoft-login.net
• Неочаквани прикачени файлове — особено .zip, .html или .pdf файлове, изискващи вход за преглед
• Граматически или форматни грешки — големите компании коректурират своите имейли
• Несъответствие на линкове — задръжте курсора върху линка и проверете дали дестинацията съответства на текста

Ако нещо изглежда неправилно, затворете имейла. Навигирайте до сайта ръчно. Ако има истински проблем, ще го видите, когато влезете чрез нормалния си работен процес.

Какво да направите, ако сте се поддали

Действайте бързо — скоростта има значение, тъй като нападателите започват да използват идентификационните данни в рамките на минути.

1. Сменете паролата незабавно от различно устройство (например телефона си, ако сте се поддали на лаптопа)
2. Отменете всички активни сесии в настройките на акаунта — това изгонва всеки, който в момента използва откраднати сесийни токени
3. Активирайте 2FA, ако вече не е включен, и използвайте хардуерен ключ или passkey, ако е възможно
4. Проверете за неоторизирана активност — изпратени имейли, скорошни влизания, промени в таксуването, нови правила за препращане
5. Уведомете засегнатата институция, ако става дума за финансов или работен акаунт
6. Проверете другите акаунти, използващи същата парола — дори ако сте сигурни, че не повтаряте пароли, проверете

Заключение

Фишингът процъфтява, защото заобикаля технологиите и се насочва към хората. Най-добрите защити съчетават три нива: мениджъри за пароли (отказват автоматично попълване на грешни домейни), устойчив на фишинг 2FA (хардуерни ключове или passkey-и, обвързани с истинския домейн) и здравословен скептицизъм (никога не влизайте в акаунт чрез линк от имейл).

Активирайте и трите нива на най-важния си акаунт — вашия имейл — първо. Оттам нататък останалият ви дигитален живот става значително по-сигурен.