როგორ დაიცვათ თავი ფიშინგ შეტევებისგან

რა არის ფიშინგი?

ფიშინგი არის სოციალური ინჟინერიის შეტევა, სადაც თავდამსხმელი ქმნის ლეგიტიმური ვებსაიტის დამაჯერებელ ასლს — ხშირად პიქსელური სიზუსტით — და მსხვერპლს უბიძგებს, იქ შეიყვანოს მისი მონაცემები. მსხვერპლის მიერ ფორმის გაგზავნის მომენტიდანვე თავდამსხმელი იღებს მომხმარებლის სახელს, პაროლს და ნებისმიერ მეორე ფაქტორს, შემდეგ კი წამებში იყენებს მათ რეალური ანგარიშის დასაუფლებლად.

სიტყვა მომდინარეობს "თევზაობის" მეტაფორიდან — მსხვერპლზე "სათევზაოდ" გასვლა სატყუარით (ჩვეულებრივ ელფოსტა). მართლწერა შეიცვალა იმის ხაზგასასმელად, რომ თავდამსხმელები ხშირად იყენებენ ტელეფონის ნომრებს (SMS-ფიშინგი, ანუ "სმიშინგი") და პროფესიონალური სახის ინფრასტრუქტურას.

რატომ რჩება ფიშინგი #1 საფრთხედ

დღეს მსხვილი მასშტაბის ანგარიშების გატეხვის უმეტეს შემთხვევაში არ ხდება ჰაკინგი, პაროლების გატეხვა ან დაშიფვრის გვერდის ავლა. მომხმარებელი უბრალოდ ყალბ საიტზე შეაქვს პაროლი. ფიშინგი:

• იაფია — თავდამსხმელს შეუძლია მილიონობით ელფოსტის გაგზავნა VPS-ის და გაყალბებული დომენის ფასად
• ძნელია გასაფილტრი — თანამედროვე კომპლექტები ცვლიან დომენებს, იყენებენ ლეგიტიმურ ჰოსტინგს და რეალურ დროში ადაპტირდებიან ფილტრებთან
• ეფექტურია — კარგად დამუშავებული მიზნობრივი მცდელობებისთვის (spear phishing) კი უსაფრთხოებაზე ცნობიერი მომხმარებლებიც ხდებიან მსხვერპლი
• მასშტაბურია — ერთი წარმატებული ფიშინგი ხშირად იძლევა ათეულობით დაკავშირებულ სერვისზე წვდომას პაროლების გამეორებული გამოყენების გამო

2024 წლის Verizon-ის მონაცემთა გარღვევის გამოძიების ანგარიშმა დაადგინა, რომ ფიშინგი ყველა გარღვევის 36%-ზე მეტში იყო საწყისი წვდომის ვექტორი — ეს მაჩვენებელი ნებისმიერ სხვა ცალკეულ მიზეზს აღემატება.

როგორ მუშაობს თანამედროვე ფიშინგი

ფიშინგი შორს წავიდა 2000-იანი წლების "ნიგერიელი პრინცის" ელფოსტებიდან. თანამედროვე ფიშინგ შეტევა ჩვეულებრივ მოიცავს:

1. დამაჯერებელ სატყუარას

ჩვეულებრივ ელფოსტა, SMS შეტყობინება ან ჩატის გზავნილი, რომელიც ქმნის სისწრაფის განცდას ("თქვენი ანგარიში დაიბლოკება"), ავტორიტეტს ("Microsoft-ის უსაფრთხოების გუნდი") ან ცნობისმოყვარეობას ("ვინმემ ფოტოზე მონიშნა"). Spear-phishing კი ამას კიდევ უფრო მიდის — პირად დეტალებს იყენებს LinkedIn-იდან, გამჟღავნებული მონაცემთა ბაზებიდან ან წინა მიმოწერიდან.

2. პიქსელური სიზუსტის ყალბი საიტი

თავდამსხმელები იყენებენ მზა ფიშინგ-კომპლექტებს, რომლებიც კოპირებენ სამიზნე საიტის HTML-ს, CSS-ს და JavaScript-ს. კომპლექტების დიდი ნაწილი იყიდება სერვისის სახით (phishing-as-a-service), სამუშაო პანელებითა და მომხმარებელთა მხარდაჭერით.

3. 2FA-სთვის რეალური დროის პროქსი

საშიში ნაწილი: თანამედროვე კომპლექტები მხოლოდ პაროლის გადაღებით არ კმაყოფილდებიან. ისინი მოქმედებენ როგორც შუამავლის პროქსი (man-in-the-middle), რომელიც წამებში გადამისამართებს ყველაფერს, რასაც კრეფთ — მათ შორის TOTP კოდს — რეალურ საიტზე, 2FA-ს უმეტეს ფორმას გვერდს ავლის. ამ ტექნიკას adversary-in-the-middle (AiTM) ეწოდება და გამოიყენება Evilginx2 და Modlishka-ს მსგავს ინსტრუმენტებში.

4. სესიის ტოკენის მოპარვა

პროქსის მეშვეობით ავთენტიკაციის შემდეგ თავდამსხმელი იღებს თქვენს სესიის ქუქი-ფაილს და შეუძლია გამოიყენოს ის შესვლისთვის, თქვენი პაროლის შეცვლის შემდეგაც კი. სწორედ ამიტომ ფიშინგზე რეაგირება ყოველთვის მოიცავს აქტიური სესიების გაუქმებას და არა მხოლოდ პაროლის შეცვლას.

რა ჩერდება ფიშინგს

ტექნიკური უსაფრთხოების გასაღებები (FIDO2 / WebAuthn)

ეს ერთადერთი კატეგორიაა, რომელიც კონსტრუქციულად იცავს ფიშინგისგან. FIDO2 გასაღებით შესვლისას თქვენი გასაღები კრიპტოგრაფიულად ამოწმებს ავთენტიკაციის მოთხოვნის გამგზავნი საიტის ზუსტ დომენს. ყალბ საიტს — რაც არ უნდა სრულყოფილი იყოს ვიზუალურად — განსხვავებული დომენი აქვს, ამიტომ გასაღები პასუხის გაცემაზე უარს ამბობს. კრიპტოგრაფიული ხელის ჩამორთმევა უბრალოდ არ სრულდება.

Google-მა 2017 წელს ცნობილი გადაწყვეტილებით YubiKey-ები დაავალდებულა ყველა 85 000-ზე მეტ თანამშრომელს და შემდგომ წლებში კომპანიის ანგარიშებზე ფიშინგის არც ერთი წარმატებული შეტევა არ დაფიქსირებულა.

Passkeys

Passkeys არის FIDO2-ის მომხმარებლისთვის მოსახერხებელი ევოლუცია. ისინი იყენებენ იმავე დომენზე მიბმულ კრიპტოგრაფიას და ჩაშენებულია iOS-ში, Android-ში, macOS-სა და Windows-ში. თუ თქვენ მიერ გამოყენებული საიტი passkeys-ს მხარს უჭერს, მისი ჩართვა ანგარიშს ფიშინგ-გამძლე გახდის.

პაროლების მენეჯერები

პაროლების მენეჯერი თქვენი დაცვის მეორე ხაზია, რადგან ის ავტომატურად ავსებს მონაცემებს მხოლოდ ზუსტ იმ დომენზე, სადაც ისინი შეინახა. თუ მოხვდებით paypaI.com-ზე (დიდი I) paypal.com-ის ნაცვლად, თქვენი მენეჯერი ჩუმად უარს იტყვის ფორმის შევსებაზე. ეს უარი კარგი გაფრთხილებაა, რომ რაღაც არასწორია.

ელფოსტისა და DNS ფილტრაცია

ელფოსტის პროვაიდერები იყენებენ DMARC, SPF და DKIM-ს გაყალბებული გამომგზავნის მისამართების გამოსავლენად. თანამედროვე პროვაიდერების უმეტეს ნაწილი ჩახერგავს ცხადი ნიშნების მქონე მცდელობებს, მაგრამ მიზნობრივი შეტევები მაინც გადადის. ჩართეთ "ფიშინგის შეტყობინება" ღილაკი თქვენს ფოსტის კლიენტში, რათა ფილტრების გაუმჯობესებაში დაეხმაროთ.

საფრთხის ნიშნები, რომლებსაც უნდა ყურადღება მიაქციოთ

როდესაც მიიღებთ გზავნილს, რომელიც გთხოვთ შეხვიდეთ სისტემაში, გადაამოწმოთ ან სასწრაფოდ იმოქმედოთ:

• სისწრაფე და მუქარა — "თქვენი ანგარიში 24 საათში დაიხურება"
• ზოგადი მიმართვა — "ძვირფასო კლიენტო" თქვენი სახელის ნაცვლად
• მსგავსი დომენები — paypaI.com, app1e.com, secure-microsoft-login.net
• მოულოდნელი მიმაგრებული ფაილები — განსაკუთრებით .zip, .html ან .pdf ფაილები, რომლებიც სანახავად სისტემაში შესვლას გთხოვენ
• გრამატიკული ან ფორმატირების შეცდომები — მსხვილი კომპანიები ელფოსტებს ასწორებენ
• ბმულის შეუსაბამობა — მიათავეთ კურსორი ბმულს და შეამოწმეთ, ემთხვევა თუ არა დანიშნულება ტექსტს

თუ რამე საეჭვოდ გეჩვენებათ, დახურეთ ელფოსტა. გადადით საიტზე ხელით. რეალური პრობლემის შემთხვევაში ის გამოჩნდება, როდესაც სტანდარტული გზით შეხვალთ სისტემაში.

რა ვქნა, თუ მოვტყუვდი

იმოქმედეთ სწრაფად — სისწრაფე მნიშვნელოვანია, რადგან თავდამსხმელები მონაცემების გამოყენებას წუთებში იწყებენ.

1. დაუყოვნებლივ შეცვალეთ პაროლი სხვა მოწყობილობაზე (მაგალითად, ტელეფონზე, თუ ლეპტოპზე მოტყუვდით)
2. გააუქმეთ ყველა აქტიური სესია ანგარიშის პარამეტრებში — ეს გარეთ გამოაგდებს ყველას, ვინც ამჟამად მოპარული სესიის ტოკენებს იყენებს
3. ჩართეთ 2FA, თუ ჯერ ჩართული არ გქონდათ, და თუ შესაძლებელია, გამოიყენეთ ტექნიკური გასაღები ან passkey
4. შეამოწმეთ არაავტორიზებული აქტივობა — გაგზავნილი ელფოსტები, ბოლო შესვლები, ბილინგის ცვლილებები, ახალი გადამისამართების წესები
5. შეატყობინეთ დაზარალებულ დაწესებულებას, თუ ეს ფინანსური ან სამსახურის ანგარიშია
6. შეამოწმეთ სხვა ანგარიშებიც, სადაც ერთი და იგივე პაროლი გამოიყენეთ — მაშინაც კი, თუ დარწმუნებული ხართ, რომ პაროლებს არ იმეორებთ, შეამოწმეთ

დასკვნა

ფიშინგი ხარობს, რადგან ტექნოლოგიას გვერდს ავლის და ადამიანებს ატყუებს. საუკეთესო დაცვა სამ შრეს აერთიანებს: პაროლების მენეჯერები (უარს ამბობენ არასწორ დომენებზე ავტომატურ შევსებაზე), ფიშინგ-გამძლე 2FA (ტექნიკური გასაღებები ან passkeys, რომლებიც რეალურ დომენზეა მიბმული) და ჯანსაღი სკეპტიციზმი (არასოდეს ელფოსტის ბმულიდან სისტემაში შესვლა).

ჩართეთ სამივე თქვენს ყველაზე მნიშვნელოვან ანგარიშზე — ელფოსტაზე — პირველ რიგში. იქიდან თქვენი ციფრული ცხოვრების დანარჩენი ნაწილი მნიშვნელოვნად უსაფრთხო გახდება.