ഫിഷിംഗ് ആക്രമണങ്ങളിൽ നിന്ന് സ്വയം സംരക്ഷിക്കുന്നത് എങ്ങനെ

ഫിഷിംഗ് എന്താണ്?

ഒരു ആക്രമണകാരി ഒരു നിയമാനുസൃത വെബ്‌സൈറ്റിന്റെ — പലപ്പോഴും പിക്സൽ-പെർഫക്ടായ — ബോധ്യമുളവാക്കുന്ന ഒരു പകർപ്പ് സൃഷ്ടിക്കുകയും ഒരു ഇരയെ അവിടെ ക്രെഡൻഷ്യലുകൾ നൽകാൻ കബളിപ്പിക്കുകയും ചെയ്യുന്ന ഒരു സോഷ്യൽ എഞ്ചിനീയറിംഗ് ആക്രമണമാണ് ഫിഷിംഗ്. ഇര ഫോം സബ്മിറ്റ് ചെയ്യുന്ന നിമിഷം, ആക്രമണകാരി യൂസർനേം, പാസ്‌വേഡ്, ഏതെങ്കിലും സെക്കൻഡ് ഫാക്ടർ എന്നിവ പിടിച്ചെടുക്കുകയും, സെക്കൻഡുകൾക്കുള്ളിൽ യഥാർത്ഥ അക്കൗണ്ട് ഏറ്റെടുക്കാൻ അവ ഉപയോഗിക്കുകയും ചെയ്യുന്നു.

ഈ പദം "ഇരയെ ചൂണ്ടയ്ക്ക് (ഇരയ്ക്ക്) ഇടുന്ന" (ഇമെയിൽ ഉപയോഗിച്ചുള്ള) ഒരു ഉപമയിൽ നിന്ന് ഉത്ഭവിക്കുന്നു. ആക്രമണകാരികൾ പലപ്പോഴും phോൺ നമ്പറുകൾ (SMS ഫിഷിംഗ് അഥവা "smishing") ഉം പ്രൊഫഷണൽ-ദൃശ്യ ഇൻഫ്രാസ്ട്രക്ചറും ഉപയോഗിക്കുന്നുവെന്ന് ഊന്നിപ്പറയാൻ അക്ഷരവിന്യാസം മാറ്റി.

ഫിഷിംഗ് ഇപ്പോഴും #1 ഭീഷണിയായിരിക്കുന്നത് എന്തുകൊണ്ട്

ഇന്ന് വലിയ തോതിലുള്ള അക്കൗണ്ട് ലംഘനങ്ങളിൽ ഭൂരിഭാഗവും ഹാക്കിംഗോ പാസ്‌വേഡ് ക്രാക്കിംഗോ എൻക്രിപ്ഷൻ മറികടക്കലോ ഉൾക്കൊള്ളുന്നില്ല. ഒരു മനുഷ്യൻ വ്യാജ സൈറ്റിൽ പാസ്‌വേഡ് ടൈപ്പ് ചെയ്യുന്നതാണ് ഉൾക്കൊള്ളുന്നത്. ഫിഷിംഗ്:

• ചിലവ് കുറഞ്ഞതാണ് — ഒരു VPS ഉം ഒരു സ്പൂഫ്ഡ് ഡൊമൈനും ഉണ്ടെങ്കിൽ ഒരു ആക്രമണകാരിക്ക് ദശലക്ഷക്കണക്കിന് ഇമെയിലുകൾ അയക്കാൻ കഴിയും
• ഫിൽട്ടർ ചെയ്യാൻ ബുദ്ധിമുട്ടാണ് — ആധുനിക കിറ്റുകൾ ഡൊമൈനുകൾ തിരിക്കുകയും, നിയമാനുസൃത ഹോസ്റ്റിംഗ് ഉപയോഗിക്കുകയും, തത്സമയം ഫിൽട്ടറുകൾക്ക് അനുസരിച്ച് മാറ്റം വരുത്തുകയും ചെയ്യുന്നു
• ഫലപ്രദമാണ് — സുരക്ഷാ ബോധ്യമുള്ള ഉപയോക്താക്കൾ പോലും നന്നായി തയ്യാറാക്കിയ ലക്ഷ്യാധിഷ്ഠിത ശ്രമങ്ങൾക്ക് (സ്പിയർ ഫിഷിംഗ്) ഇരയാകുന്നു
• സ്കേലബ്‌ൾ ആണ് — ഒരൊറ്റ വിജയകരമായ ഫിഷ് പലപ്പോഴും പാസ്‌വേഡ് പുനരുപയോഗം വഴി ഡസൻ കണക്കിന് ബന്ധിത സേവനങ്ങളിലേക്കുള്ള ആക്സസ് നൽകുന്നു

2024-ലെ Verizon Data Breach Investigations Report കണ്ടെത്തിയത്, 36%-ലധികം ലംഘനങ്ങളിൽ ആദ്യ ആക്സസ് വെക്ടർ ഫിഷിംഗ് ആയിരുന്നു — മറ്റേതൊരു ഒറ്റ കാരണത്തേക്കാളും കൂടുതൽ.

ആധുനിക ഫിഷിംഗ് എങ്ങനെ പ്രവർത്തിക്കുന്നു

2000-കളിലെ "നൈജീരിയൻ രാജകുമാരൻ" ഇമെയിലുകളേക്കാൾ വളരെ അപ്പുറത്തേക്ക് ഫിഷിംഗ് പരിണമിച്ചിരിക്കുന്നു. ഒരു ആധുനിക ഫിഷിംഗ് ആക്രമണത്തിൽ സാധാരണഗതിയിൽ ഉൾക്കൊള്ളുന്നത്:

1. ബോധ്യമുളവാക്കുന്ന ഒരു ചൂണ്ട

സാധാരണഗതിയിൽ അടിയന്തരാവസ്ഥ ("നിങ്ങളുടെ അക്കൗണ്ട് സസ്പെൻഡ് ചെയ്യപ്പെടും"), അധികാരം ("Microsoft സെക്യൂരിറ്റി ടീം"), അല്ലെങ്കിൽ ജിജ്ഞാസ ("ഒരാൾ നിങ്ങളെ ഒരു ഫോട്ടോയിൽ ടാഗ് ചെയ്തു") ഉണ്ടാക്കുന്ന ഒരു ഇമെയിൽ, ടെക്‌സ്റ്റ്, അല്ലെങ്കിൽ ചാറ്റ് സന്ദേശം. സ്പിയർ-ഫിഷിംഗ് LinkedIn, ലംഘന ഡംപ്‌കൾ, അല്ലെങ്കിൽ മുൻ കത്തിടപാടുകൾ എന്നിവയിൽ നിന്ന് ശേഖരിച്ച വ്യക്തിഗത വിശദാംശങ്ങൾ ഉപയോഗിച്ച് ഇത് കൂടുതൽ മുന്നോട്ട് കൊണ്ടുപോകുന്നു.

2. ഒരു പിക്സൽ-പെർഫക്ട് വ്യാജ സൈറ്റ്

ആക്രമണകാരികൾ ടാർഗറ്റ് സൈറ്റിന്റെ HTML, CSS, JavaScript ക്ലോൺ ചെയ്യുന്ന ഓഫ്-ദ-ഷെൽഫ് ഫിഷിംഗ് കിറ്റുകൾ ഉപയോഗിക്കുന്നു. പല കിറ്റുകളും ഒരു സേവനമായി (phishing-as-a-service) വിൽക്കപ്പെടുന്നു, പ്രവർത്തിക്കുന്ന ഡാഷ്‌ബോർഡുകളും കസ്റ്റമർ സപ്പോർട്ടും ഉൾക്കൊണ്ടിരിക്കുന്നു.

3. 2FA-ക്കുള്ള ഒരു തത്സമയ പ്രോക്സി

അപകടകരമായ ഭാഗം: ആധുനിക കിറ്റുകൾ നിങ്ങളുടെ പാസ്‌വേഡ് മാത്രം പിടിച്ചെടുക്കുന്നില്ല. അവ ഒരു മാൻ-ഇൻ-ദ-മിഡിൽ പ്രോക്സി ആയി പ്രവർത്തിക്കുന്നു, ഒരേ TOTP കോഡ് ഉൾപ്പെടെ നിങ്ങൾ ടൈപ്പ് ചെയ്യുന്ന എല്ലാ കാര്യങ്ങളും സെക്കൻഡുകൾക്കുള്ളിൽ യഥാർത്ഥ സൈറ്റിലേക്ക് ഫോർവേഡ് ചെയ്യുന്നു, ഭൂരിഭാഗം 2FA-യും മറികടക്കുന്നു. ഈ ടെക്‌നിക്ക് adversary-in-the-middle (AiTM) എന്നാണ് അറിയപ്പെടുന്നത്, Evilginx2, Modlishka തുടങ്ങിയ ടൂളുകളിൽ ഉപയോഗിക്കുന്നു.

4. സെഷൻ ടോക്കൺ മോഷണം

പ്രോക്സി വഴി നിങ്ങൾ ആധികാരികത ഉറപ്പിക്കുന്നതോടെ, ആക്രമണകാരി നിങ്ങളുടെ സെഷൻ കൂക്കി പിടിച്ചെടുക്കുകയും, നിങ്ങൾ പാസ്‌വേഡ് മാറ്റിയ ശേഷം പോലും ലോഗ്ഡ് ഇൻ ആയി തുടരാൻ ഇത് ഉപയോഗിക്കുകയും ചെയ്യാൻ കഴിയും. ഫിഷിംഗ് പ്രതികരണം എപ്പോഴും സജീവ സെഷനുകൾ റദ്ദ് ചെയ്യുന്നത് ഉൾക്കൊള്ളുന്നതിന്റെ കാരണം ഇതാണ്, കേവലം പാസ്‌വേഡ് മാറ്റൽ മാത്രം പോരാ.

ഫിഷിംഗ് യഥാർത്ഥത്തിൽ തടയുന്നത് എന്ത്

ഹാർഡ്‌വെയർ സെക്യൂരിറ്റി കീകൾ (FIDO2 / WebAuthn)

ഡിസൈൻ അനുസരിച്ച് ഫിഷിംഗ്-പ്രൂഫ് ആയ ഏക പ്രതിരോധ വിഭാഗം ഇതാണ്. FIDO2 കീ ഉപയോഗിച്ച് ലോഗിൻ ചെയ്യുമ്പോൾ, ആധികാരികത ആവശ്യപ്പെടുന്ന സൈറ്റിന്റെ കൃത്യമായ ഡൊമൈൻ നിങ്ങളുടെ കീ ക്രിപ്‌റ്റോഗ്രഫിക്കായി സ്ഥിരീകരിക്കുന്നു. ഒരു വ്യാജ സൈറ്റ് — ദൃശ്യപരമായി എത്ര മിഴിവുള്ളതാണെങ്കിലും — വ്യത്യസ്ത ഡൊമൈൻ ഉള്ളതിനാൽ, കീ പ്രതികരിക്കാൻ വിസമ്മതിക്കുന്നു. ക്രിപ്‌റ്റോഗ്രഫിക് ഹാൻഡ്‌ഷേക്ക് ലളിതമായി പൂർണ്ണമാകുന്നില്ല.

Google 2017-ൽ 85,000-ത്തിലധികം ജീവനക്കാർക്ക് YubiKeys നിർബന്ധമാക്കുകയും, അതിനുശേഷമുള്ള വർഷങ്ങളിൽ കമ്പനി അക്കൗണ്ടുകളിൽ ഒരൊറ്റ വിജയകരമായ ഫിഷിംഗ് ആക്രമണവും ഉണ്ടായിട്ടില്ല എന്ന് റിപ്പോർട്ട് ചെയ്യുകയും ചെയ്തു.

പാസ്‌കീകൾ

FIDO2-ന്റെ ഉപഭോക്തൃ-സൗഹൃദ പരിണാമമാണ് പാസ്‌കീകൾ. അവ ഒരേ ഡൊമൈൻ-ബൗണ്ട് ക്രിപ്‌റ്റോഗ്രഫി ഉപയോഗിക്കുകയും iOS, Android, macOS, Windows-ൽ നിർമ്മിക്കപ്പെട്ടിരിക്കുകയും ചെയ്യുന്നു. നിങ്ങൾ ഉപയോഗിക്കുന്ന ഒരു സൈറ്റ് പാസ്‌കീകളെ പിന്തുണയ്ക്കുന്നുവെങ്കിൽ, ഒന്ന് പ്രവർത്തനക്ഷമമാക്കുന്നത് ആ അക്കൗണ്ടിനെ ഫിഷിംഗ്-പ്രൂഫ് ആക്കുന്നു.

പാസ്‌വേഡ് മാനേജർമാർ

കൃത്യമായ ഡൊമൈനിൽ മാത്രം ക്രെഡൻഷ്യലുകൾ ഓട്ടോഫിൽ ചെയ്യുന്നതിനാൽ, ഒരു പാസ്‌വേഡ് മാനേജർ നിങ്ങളുടെ രണ്ടാമത്തെ പ്രതിരോധ നിരയാണ്. paypal.com ന് പകരം paypaI.com (വലിയ I) ൽ ആണ് നിങ്ങൾ ലാൻഡ് ചെയ്യുന്നതെങ്കിൽ, നിങ്ങളുടെ മാനേജർ നിശ്ശബ്ദമായി ഫോം ഫിൽ ചെയ്യാൻ വിസമ്മതിക്കുന്നു. ആ വിസമ്മതം എന്തോ തെറ്റ് സംഭവിക്കുന്നുണ്ട് എന്നതിന്റെ ഒരു ഉറക്കെ മുന്നറിയിപ്പാണ്.

ഇമെയിലും DNS ഫിൽട്ടറിംഗും

ഇമെയിൽ ദാതാക്കൾ സ്പൂഫ്ഡ് അയച്ചയാൾ അഡ്രസ്സുകൾ കണ്ടെത്താൻ DMARC, SPF, DKIM ഉപയോഗിക്കുന്നു. മിക്ക ആധുനിക ദാതാക്കളും വ്യക്തമായ ശ്രമങ്ങൾ പിടിക്കുന്നുണ്ട്, പക്ഷേ ലക്ഷ്യാധിഷ്ഠിത ആക്രമണങ്ങൾ ഇപ്പോഴും കടന്നുകൂടുന്നു. ഫിൽട്ടറുകൾ മെച്ചപ്പെടാൻ സഹായിക്കാൻ നിങ്ങളുടെ മെയിൽ ക്ലയന്റിലെ "ഫിഷിംഗ് റിപ്പോർട്ട് ചെയ്യുക" ബട്ടൺ പ്രവർത്തനക്ഷമമാക്കുക.

ശ്രദ്ധിക്കേണ്ട ചുവന്ന പതാകകൾ

ലോഗിൻ ചെയ്യാനോ, സ്ഥിരീകരിക്കാനോ, അടിയന്തരമായി പ്രവർത്തിക്കാനോ ആവശ്യപ്പെടുന്ന ഒരു സന്ദേശം ലഭിക്കുമ്പോൾ:

• അടിയന്തരാവസ്ഥയും ഭീഷണിയും — "നിങ്ങളുടെ അക്കൗണ്ട് 24 മണിക്കൂറിനുള്ളിൽ അടയ്ക്കപ്പെടും"
• പൊതുവായ അഭിവാദ്യങ്ങൾ — നിങ്ങളുടെ പേരിന് പകരം "പ്രിയ ഉപഭോക്താവ്"
• സമാനമായ ഡൊമൈനുകൾ — paypaI.com, app1e.com, secure-microsoft-login.net
• അപ്രതീക്ഷിത അറ്റാച്ച്‌മെന്റുകൾ — പ്രത്യേകിച്ച് .zip, .html, അല്ലെങ്കിൽ .pdf ഫയലുകൾ, കാണുന്നതിന് ലോഗിൻ ചെയ്യാൻ ആവശ്യപ്പെടുന്നവ
• വ്യാകരണ അല്ലെങ്കിൽ ഫോർമാറ്റിംഗ് പിശകുകൾ — വലിയ കമ്പനികൾ അവരുടെ ഇമെയിലുകൾ പ്രൂഫ്‌റീഡ് ചെയ്യുന്നു
• ലിങ്ക് പൊരുത്തക്കേട് — ലിങ്കിൽ ഹോവർ ചെയ്ത് ലക്ഷ്യസ്ഥാനം ടെക്‌സ്റ്റുമായി പൊരുത്തപ്പെടുന്നുണ്ടോ എന്ന് പരിശോധിക്കുക

എന്തെങ്കിലും ശരിയല്ലെന്ന് തോന്നിയാൽ, ഇമെയിൽ അടക്കുക. സൈറ്റിലേക്ക് നേരിട്ട് നാവിഗേറ്റ് ചെയ്യുക. ഒരു യഥാർത്ഥ പ്രശ്‌നം ഉണ്ടെങ്കിൽ, നിങ്ങളുടെ സാധാരണ വർക്ക്‌ഫ്ലോ വഴി ലോഗിൻ ചെയ്യുമ്പോൾ അത് കാണുന്നതാണ്.

ഒരു ഫിഷിംഗ് ആക്രമണത്തിന് ഇരയായാൽ എന്ത് ചെയ്യണം

വേഗമായി പ്രവർത്തിക്കുക — ആക്രമണകാരികൾ മിനിറ്റുകൾക്കുള്ളിൽ ക്രെഡൻഷ്യലുകൾ ഉപയോഗിക്കാൻ തുടങ്ങുന്നതിനാൽ വേഗം പ്രധാനമാണ്.

1. പാസ്‌വേഡ് ഉടൻ മാറ്റുക മറ്റൊരു ഉപകരണത്തിൽ (ഉദാ: ലാപ്‌ടോപ്പിൽ ഇരയായെങ്കിൽ നിങ്ങളുടെ ഫോണിൽ)
2. സജീവ സെഷനുകൾ എല്ലാം റദ്ദ് ചെയ്യുക അക്കൗണ്ട് ക്രമീകരണങ്ങളിൽ — ഇത് മോഷ്ടിക്കപ്പെട്ട സെഷൻ ടോക്കൺ ഉപയോഗിക്കുന്ന ആരെയും പുറത്താക്കുന്നു
3. 2FA പ്രവർത്തനക്ഷമമാക്കുക ഇത് ഇതുവരെ ഇല്ലെങ്കിൽ, സാധ്യമെങ്കിൽ ഒരു ഹാർഡ്‌വെയർ കീ അല്ലെങ്കിൽ പാസ്‌കീ ഉപയോഗിക്കുക
4. അനധികൃത പ്രവർത്തനം പരിശോധിക്കുക — അയച്ച ഇമെയിലുകൾ, അടുത്ത ലോഗിനുകൾ, ബില്ലിംഗ് മാറ്റങ്ങൾ, പുതിയ ഫോർവേഡിംഗ് നിയമങ്ങൾ
5. ബാധിക്കപ്പെട്ട സ്ഥാപനത്തെ അറിയിക്കുക ഇത് ഒരു സാമ്പത്തിക അല്ലെങ്കിൽ ജോലിസ്ഥലത്തെ അക്കൗണ്ടാണെങ്കിൽ
6. മറ്റ് അക്കൗണ്ടുകൾ പരിശോധിക്കുക ഒരേ പാസ്‌വേഡ് ഉപയോഗിക്കുന്നവ — പാസ്‌വേഡ് പുനരുപയോഗിക്കുന്നില്ലെന്ന് ഉറപ്പുണ്ടെങ്കിലും, പരിശോധിക്കുക

ഉപസംഹാരം

ഫിഷിംഗ് അഭിവൃദ്ധി പ്രാപിക്കുന്നത് അത് സാങ്കേതിക വിദ്യ മറികടന്ന് മനുഷ്യരെ ലക്ഷ്യം വയ്ക്കുന്നതുകൊണ്ടാണ്. ഏറ്റവും മികച്ച പ്രതിരോധ മാർഗങ്ങൾ മൂന്ന് പാളികൾ കലർത്തുന്നു: പാസ്‌വേഡ് മാനേജർമാർ (തെറ്റായ ഡൊമൈനുകളിൽ ഓട്ടോഫിൽ ചെയ്യാൻ വിസമ്മതിക്കുന്നു), ഫിഷിംഗ്-പ്രതിരോധ 2FA (യഥാർത്ഥ ഡൊമൈനുമായി ബന്ധിക്കപ്പെടുന്ന ഹാർഡ്‌വെയർ കീകൾ അല്ലെങ്കിൽ പാസ്‌കീകൾ), ആരോഗ്യകരമായ സംശയം (ഒരിക്കലും ഒരു ഇമെയിൽ ലിങ്കിൽ നിന്ന് ലോഗിൻ ചെയ്യരുത്).

നിങ്ങളുടെ ഏറ്റവും പ്രധാനപ്പെട്ട അക്കൗണ്ടിൽ — നിങ്ങളുടെ ഇമെയിൽ — ആദ്യം മൂന്നും പ്രവർത്തനക്ഷമമാക്കുക. അവിടെ നിന്ന്, നിങ്ങളുടെ ഡിജിറ്റൽ ജീവിതത്തിന്റെ ബാക്കി ഭാഗം അർത്ഥപൂർണ്ണമായി സുരക്ഷിതമാകുന്നു.