Cara Melindungi Diri daripada Serangan Pancingan Data

Apakah pancingan data?

Pancingan data ialah serangan kejuruteraan sosial di mana penyerang mencipta salinan tapak web yang meyakinkan — selalunya sempurna hingga ke piksel — dan menipu mangsa supaya memasukkan kelayakan di sana. Sebaik sahaja mangsa menghantar borang, penyerang menangkap nama pengguna, kata laluan, dan sebarang faktor kedua, kemudian menggunakannya untuk mengambil alih akaun sebenar dalam beberapa saat.

Perkataan ini berasal daripada metafora "memancing" mangsa dengan umpan (biasanya e-mel). Ejaan diubah untuk menekankan bahawa penyerang sering menggunakan nombor phon (pancingan data SMS, atau "smishing") dan infrastruktur yang kelihatan profesional.

Mengapa pancingan data masih merupakan ancaman utama

Kebanyakan pelanggaran akaun berskala besar hari ini tidak melibatkan penggodaman, pemecahan kata laluan, atau memintas penyulitan. Ia melibatkan manusia yang menaip kata laluan ke dalam tapak palsu. Pancingan data adalah:

• Murah — penyerang boleh menghantar berjuta-juta e-mel dengan kos VPS dan domain yang dipalsukan
• Sukar ditapis — kit moden memutar domain, menggunakan hosting yang sah, dan menyesuaikan diri dengan penapis secara masa nyata
• Berkesan — walaupun pengguna yang sedar keselamatan terjebak dengan percubaan serangan bertarget yang dibuat dengan baik (spear phishing)
• Berskala — satu pancingan data yang berjaya sering memberikan akses kepada berpuluh-puluh perkhidmatan yang berkaitan melalui penggunaan semula kata laluan

Laporan Penyiasatan Pelanggaran Data Verizon 2024 mendapati bahawa pancingan data ialah vektor akses awal dalam lebih daripada 36% daripada semua pelanggaran — lebih daripada mana-mana punca tunggal yang lain.

Cara pancingan data moden berfungsi

Pancingan data telah berkembang jauh melampaui e-mel "putera Nigeria" pada tahun 2000-an. Serangan pancingan data moden biasanya merangkumi:

1. Umpan yang meyakinkan

Biasanya e-mel, teks, atau mesej sembang yang mewujudkan kemendesakan ("Akaun anda akan digantung"), autoriti ("Pasukan keselamatan Microsoft"), atau rasa ingin tahu ("Seseorang menandai anda dalam foto"). Spear phishing mengembangkan ini lagi dengan butiran peribadi yang diambil daripada LinkedIn, dump pelanggaran, atau surat-menyurat sebelumnya.

2. Tapak palsu yang sempurna hingga ke piksel

Penyerang menggunakan kit pancingan data siap pakai yang mengklon HTML, CSS, dan JavaScript tapak sasaran. Banyak kit dijual sebagai perkhidmatan (phishing-as-a-service), dengan papan pemuka yang berfungsi dan sokongan pelanggan.

3. Proksi masa nyata untuk 2FA

Bahagian yang berbahaya: kit moden tidak sekadar menangkap kata laluan anda. Mereka bertindak sebagai proksi man-in-the-middle yang memajukan segala yang anda taip — termasuk kod TOTP anda — ke tapak sebenar dalam beberapa saat, memintas kebanyakan 2FA. Teknik ini dipanggil adversary-in-the-middle (AiTM) dan digunakan dalam alat seperti Evilginx2 dan Modlishka.

4. Kecurian token sesi

Sebaik sahaja anda mengesahkan melalui proksi, penyerang menangkap kuki sesi anda dan boleh menggunakannya untuk kekal log masuk walaupun selepas anda menukar kata laluan. Inilah sebabnya respons pancingan data sentiasa merangkumi pembatalan sesi aktif, bukan sekadar penukaran kata laluan.

Apa yang benar-benar menghentikan pancingan data

Kunci keselamatan perkakasan (FIDO2 / WebAuthn)

Ini adalah satu-satunya kategori pertahanan yang tahan pancingan data secara reka bentuk. Apabila anda log masuk dengan kunci FIDO2, kunci anda mengesahkan secara kriptografi domain tepat tapak yang meminta pengesahan. Tapak palsu — tidak kira betapa sempurnanya secara visual — mempunyai domain yang berbeza, jadi kunci menolak untuk bertindak balas. Jabat tangan kriptografi tidak akan selesai.

Google terkenal mewajibkan YubiKey untuk semua 85,000+ pekerja pada 2017 dan melaporkan sifar serangan pancingan data yang berjaya pada akaun syarikat sejak itu.

Passkey

Passkey ialah evolusi FIDO2 yang mesra pengguna. Ia menggunakan kriptografi terikat domain yang sama dan dibina dalam iOS, Android, macOS, dan Windows. Jika tapak yang anda gunakan menyokong passkey, mengaktifkannya menjadikan akaun tersebut tahan pancingan data.

Pengurus kata laluan

Pengurus kata laluan ialah barisan pertahanan kedua anda kerana ia hanya autofill kelayakan pada domain yang tepat di mana ia disimpan. Jika anda mendarat di paypaI.com (huruf I besar) dan bukannya paypal.com, pengurus anda secara senyap menolak untuk mengisi borang. Penolakan itu merupakan amaran keras bahawa sesuatu tidak betul.

Penapisan e-mel dan DNS

Pembekal e-mel menggunakan DMARC, SPF, dan DKIM untuk mengesan alamat penghantar yang dipalsukan. Kebanyakan pembekal moden menangkap percubaan yang jelas, tetapi serangan bertarget masih terlepas. Aktifkan butang "laporkan pancingan data" dalam klien mel anda supaya anda membantu penapis bertambah baik.

Tanda amaran yang perlu diperhatikan

Apabila anda menerima mesej yang meminta anda log masuk, mengesahkan, atau bertindak segera:

• Kemendesakan dan ancaman — "Akaun anda akan ditutup dalam 24 jam"
• Sapaan umum — "Pelanggan yang dihormati" dan bukannya nama anda
• Domain yang menyerupai — paypaI.com, app1e.com, secure-microsoft-login.net
• Lampiran tidak dijangka — terutamanya fail .zip, .html, atau .pdf yang meminta anda log masuk untuk melihatnya
• Ralat tatabahasa atau pemformatan — syarikat besar menyemak e-mel mereka
• Ketidakpadanan pautan — tuding tetikus ke atas pautan dan semak sama ada destinasi sepadan dengan teks

Jika sesuatu terasa tidak betul, tutup e-mel tersebut. Navigasi ke tapak secara manual. Jika terdapat masalah sebenar, anda akan melihatnya apabila log masuk melalui aliran kerja biasa anda.

Apa yang perlu dilakukan jika anda terjebak

Bertindak dengan cepat — kelajuan penting kerana penyerang mula menggunakan kelayakan dalam beberapa minit.

1. Tukar kata laluan dengan segera pada peranti yang berbeza (telefon anda, contohnya, jika anda terjebak di laptop anda)
2. Batalkan semua sesi aktif dalam tetapan akaun — ini menghalau sesiapa yang kini menggunakan token sesi yang dicuri
3. Aktifkan 2FA jika belum diaktifkan, dan gunakan kunci perkakasan atau passkey jika mungkin
4. Semak aktiviti yang tidak dibenarkan — e-mel yang dihantar, log masuk terkini, perubahan pengebilan, peraturan pemajuan baharu
5. Maklumkan institusi yang terjejas jika ia akaun kewangan atau kerja
6. Semak akaun lain yang menggunakan kata laluan yang sama — walaupun anda pasti anda tidak menggunakan semula kata laluan, semak juga

Kesimpulan

Pancingan data berkembang pesat kerana ia memintas teknologi dan menyasarkan manusia. Pertahanan terbaik menggabungkan tiga lapisan: pengurus kata laluan (menolak autofill pada domain yang salah), 2FA yang tahan pancingan data (kunci perkakasan atau passkey yang terikat kepada domain sebenar), dan skeptisisme yang sihat (jangan sekali-kali log masuk melalui pautan e-mel).

Aktifkan ketiga-tiganya pada akaun paling penting anda — e-mel anda — terlebih dahulu. Dari sana, kehidupan digital anda yang selebihnya akan menjadi jauh lebih selamat.