Jinsi ya Kujilinda Dhidi ya Mashambulio ya Phishing

Phishing ni nini?

Phishing ni shambulio la uhandisi wa kijamii ambapo mshambuliaji huunda nakala inayoshawishi ya tovuti halisi — mara nyingi kamili kabisa kwa muonekano — na kudanganya mwathiriwa ili aweke stakabadhi huko. Mara mwathiriwa anapotuma fomu, mshambuliaji hunakili jina la mtumiaji, nywila, na kipengele chochote cha pili, kisha kuvitumia kuteka akaunti halisi ndani ya sekunde.

Neno hilo linatoka kwa mfano wa "uvuvi" wa wahasiriwa kwa chambo (kawaida barua pepe). Tahajia ilibadilika ili kusisitiza kwamba washambuliaji mara nyingi hutumia nambari za simu (phishing kwa SMS, au "smishing") na miundombinu inayoonekana ya kitaalamu.

Kwa nini phishing bado ni tishio nambari moja

Uvunjaji mkubwa wa akaunti nyingi leo hauhusishi udukuzi, kuvunja nywila, au kupita kwenye usimbaji fiche. Unahusisha binadamu anayeandika nywila kwenye tovuti bandia. Phishing ni:

• Rahisi kwa gharama — mshambuliaji anaweza kutuma mamilioni ya barua pepe kwa gharama ya VPS na kikoa kilicholaghai
• Ngumu kuchuja — vifurushi vya kisasa hubadilisha vikoa, hutumia upangishaji halali, na hubadilika kulingana na vichungi kwa wakati halisi
• Yenye ufanisi — hata watumiaji wanaojua usalama huangukiwa na majaribio yaliyolengwa vizuri (spear phishing)
• Inayoweza kupanuka — phishing moja iliyofanikiwa mara nyingi hutoa upatikanaji wa huduma nyingi zilizounganishwa kupitia utumiaji tena wa nywila

Ripoti ya Uchunguzi wa Uvunjaji wa Data ya Verizon ya 2024 ilibaini kwamba phishing ilikuwa njia ya kuingia mara ya kwanza katika zaidi ya 36% ya uvunjaji wote — zaidi ya sababu nyingine yoyote moja.

Jinsi phishing ya kisasa inavyofanya kazi

Phishing imebadilika sana zaidi ya barua pepe za "mkuu wa Nigeria" za miaka ya 2000. Shambulio la phishing la kisasa kwa kawaida linajumuisha:

1. Chambo kinachoshawishi

Kawaida barua pepe, ujumbe, au ujumbe wa mazungumzo unaounda dharura ("Akaunti yako itasimamishwa"), mamlaka ("Timu ya usalama ya Microsoft"), au udadisi ("Mtu amekuweka lebo kwenye picha"). Spear-phishing inachukua hili mbali zaidi kwa maelezo ya kibinafsi yaliyochukuliwa kutoka LinkedIn, mafuriko ya uvunjaji, au mawasiliano ya awali.

2. Tovuti bandia kamili kwa muonekano

Washambuliaji hutumia vifurushi vya phishing vya tayari vilivyoiga HTML, CSS, na JavaScript ya tovuti lengwa. Vifurushi vingi vinauzwa kama huduma (phishing-as-a-service), na dashibodi zinazofanya kazi na msaada wa wateja.

3. Wakala wa wakati halisi kwa 2FA

Sehemu hatari: vifurushi vya kisasa havikamati tu nywila yako. Hufanya kazi kama wakala wa mtu katikati ambao hupeleka kila kitu unachoweka — ikiwa ni pamoja na nambari yako ya TOTP — kwenye tovuti halisi ndani ya sekunde, ukipita mbali na 2FA nyingi. Mbinu hii inaitwa adversary-in-the-middle (AiTM) na inatumika katika zana kama Evilginx2 na Modlishka.

4. Wizi wa tokeni ya kikao

Mara unapothibitisha kupitia wakala, mshambuliaji hunakili kuki yako ya kikao na anaweza kuitumia kubaki akiingia hata baada ya kubadilisha nywila yako. Hii ndiyo sababu majibu ya phishing daima yanajumuisha kufuta vikao vinavyoendelea, si kubadilisha nywila peke yake.

Kinachozuia kweli kweli phishing

Funguo za usalama za vifaa (FIDO2 / WebAuthn)

Hii ndiyo kategoria pekee ya ulinzi ambayo haiwezi kushindwa na phishing kwa muundo wake. Unapoingia kwa funguo ya FIDO2, funguo yako inathibitisha kwa njia ya kriptografia kikoa halisi cha tovuti inayoomba uthibitisho. Tovuti bandia — haijalishi inavyoonekana vizuri — ina kikoa tofauti, kwa hivyo funguo inakataa kujibu. Mabadilishano ya kriptografia hayakamiliki tu.

Google iliamrisha kwa umaarufu YubiKeys kwa wafanyakazi wote 85,000+ mnamo 2017 na iliripoti mashambulio sifuri ya phishing yaliyofanikiwa kwenye akaunti za kampuni katika miaka iliyofuata.

Passkeys

Passkeys ni mageuzi yanayofaa kwa watumiaji wa FIDO2. Hutumia kriptografia hiyo hiyo iliyofungwa na kikoa na zimejengwa ndani ya iOS, Android, macOS, na Windows. Ikiwa tovuti unayotumia inasaidia passkeys, kuiwezesha kunafanya akaunti hiyo isishindwe na phishing.

Wasimamizi wa nywila

Msimamizi wa nywila ni mstari wako wa pili wa ulinzi kwa sababu hujaza stakabadhi kiotomatiki kwenye kikoa halisi tu ambapo zilihifadhiwa. Ukifika kwenye paypaI.com (herufi kubwa I) badala ya paypal.com, msimamizi wako anakataa kimya kimya kujaza fomu. Kukataa huko ni onyo kubwa kwamba kuna tatizo.

Uchujaji wa barua pepe na DNS

Watoa huduma wa barua pepe hutumia DMARC, SPF, na DKIM kugundua anwani za mtumaji zilizolaghaishwa. Watoa huduma wa kisasa wengi hunasa majaribio dhahiri, lakini mashambulio yaliyolengwa bado yanapenya. Washa vitufe vya "ripoti phishing" katika programu yako ya barua ili usaidie vichungi kuboresha.

Ishara za onyo za kuangalia

Unapopokea ujumbe unaokuomba uingie, uthibitishe, au ufanye kitu kwa haraka:

• Dharura na vitisho — "Akaunti yako itafungwa ndani ya masaa 24"
• Salamu za jumla — "Mteja mpendwa" badala ya jina lako
• Vikoa vinavyofanana — paypaI.com, app1e.com, secure-microsoft-login.net
• Viambatisho visivyotarajiwa — hasa faili za .zip, .html, au .pdf zinazokuomba uingie ili uziangalie
• Makosa ya sarufi au uumbizaji — makampuni makubwa yanasahihisha barua pepe zao
• Kutofanana kwa kiungo — piga mwono juu ya kiungo na angalia kama mahali kinapoelekea kunafanana na maandishi

Kama chochote kinahisi si sawa, funga barua pepe. Nenda kwenye tovuti kwa mkono. Ikiwa kuna tatizo halisi, utaona unapoingia kupitia utaratibu wako wa kawaida.

Nifanye nini ikiwa niliangukiwa

Fanya haraka — kasi ina maana kwa sababu washambuliaji huanza kutumia stakabadhi ndani ya dakika.

1. Badilisha nywila mara moja kwenye kifaa tofauti (simu yako, kwa mfano, ikiwa uliangukiwa kwenye kompyuta yako ya mkononi)
2. Futa vikao vyote vinavyoendelea katika mipangilio ya akaunti — hii hutoa mtu yeyote anayetumia tokeni za kikao zilizoibiwa
3. Washa 2FA ikiwa haikuwa imewashwa tayari, na tumia funguo ya vifaa au passkey ikiwezekana
4. Angalia shughuli zisizoidhinishwa — barua pepe zilizotumwa, kuingia hivi karibuni, mabadiliko ya bili, sheria mpya za upelekaji
5. Arifu taasisi iliyoathiriwa ikiwa ni akaunti ya fedha au ya kazi
6. Angalia akaunti nyingine zilizotumia nywila ile ile — hata kama una uhakika hurejelei nywila, angalia

Hitimisho

Phishing inastawi kwa sababu inapita teknolojia na inalenga wanadamu. Ulinzi bora unachanganya tabaka tatu: wasimamizi wa nywila (wanakataa kujaza kiotomatiki kwenye vikoa visivyosahihi), 2FA inayostahimili phishing (funguo za vifaa au passkeys zinazofunga kikoa halisi), na shaka ya afya (usijisajili kamwe kupitia kiungo cha barua pepe).

Washa zote tatu kwenye akaunti yako muhimu zaidi — barua pepe yako — kwanza. Kutoka hapo, maisha mengine yako ya kidijitali yanakuwa salama zaidi kwa kiasi kikubwa.