“Phishing”: peshkimi virtual për të vjedhur të dhënat e përdoruesve

Gjatë 15 viteve të fundit, sulmet kibernetike kanë qenë krimi më i zakonshëm në internet, duke rezultuar në vjedhje të miliarda dollarëve. Gjatë pandemisë globale, profesionistët e IT u përballën me një rritje të konsiderueshme të sulmeve phishing me temë pandemike dhe kërcënimeve kibernetike.

Phishing është një sulm që tenton të vjedhë paratë tuaja ose identitetin tuaj, duke ju bërë të zbuloni informacione personale — si numrat e kartave të kreditit, informacionet bankare ose fjalëkalimet — në faqet e internetit që pretendojnë se janë të ligjshme.  Kriminelët kibernetikë zakonisht pretendojnë se janë kompani, miq ose të njohur me reputacion në një mesazh të rremë, i cili përmban një lidhje me një faqe interneti phishing.

Email phishing

Shumica e mesazheve të phishing dërgohen me email të padëshiruar, dhe nuk janë të personalizuara apo të synuara për një individ apo kompani të caktuar – ky quhet phishing “pushtues”.Përmbajtja e një mesazhi phishing me shumicë ndryshon gjerësisht në varësi të qëllimit të sulmuesit – objektivat e zakonshëm për imitim përfshijnë bankat dhe shërbimet financiare, ofruesit e produktivitetit të postës elektronike dhe cloud, dhe shërbimet e transmetimit. Sulmuesit mund të përdorin kredencialet e marra për të vjedhur drejtpërdrejt para nga një viktimë, megjithëse llogaritë e komprometuara shpesh përdoren në vend të kësaj si një pikë kërcimi për të kryer sulme të tjera, të tilla si vjedhja e informacionit të pronarit, instalimi i malware ose phishing me shtizë  njerëz të tjerë brenda organizatës së objektivit. Llogaritë e komprometuara të shërbimit të transmetimit zakonisht u shiten drejtpërdrejt konsumatorëve në tregjet e rrjetit të errët.

Spear Phishing

Spear phishing përfshin një sulmues që synon drejtpërdrejt një organizatë ose person specifik me komunikime të përshtatura për phishing. Ky është në thelb krijimi dhe dërgimi i emaileve tek një person i caktuar për ta bërë personin të mendojë se emaili është legjitim.  Ndryshe nga phishing me shumicë, sulmuesit spear phishing shpesh mbledhin dhe përdorin informacione personale në lidhje me objektivin e tyre për të rritur probabilitetin e tyre të suksesit të sulmit.  Spear phishing zakonisht synon drejtuesit ose ata që punojnë në departamentet financiare që kanë akses në të dhënat dhe shërbimet e ndjeshme financiare të organizatës.  Një studim i vitit 2019 tregoi se firmat e kontabilitetit dhe auditimit janë objektiva të shpeshta për phishing me shtizë për shkak të aksesit të punonjësve të tyre në informacione që mund të jenë të vlefshme për kriminelët.

Threat Group-4127 (Fancy Bear) përdori taktika spear phishing për të synuar llogaritë e postës elektronike të lidhura me fushatën presidenciale të Hillary Clinton në 2016.  Ata sulmuan më shumë se 1800 llogari të Google dhe zbatuan domenin accounts-google.com për të kërcënuar përdoruesit e synuar.

Një studim i fundit testoi ndjeshmërinë e grupmoshave të caktuara kundër peshkimit me shtizë.  Në total, 100 përdorues të rinj dhe 58 më të vjetër morën, pa dijeninë e tyre, emaile të simuluara phishing për 21 ditë.  Një shtojcë shfletuesi regjistroi klikimin e tyre në lidhjet në email si një tregues i ndjeshmërisë së tyre.  Dyzet e tre për qind e përdoruesve ranë për emailet e simuluara të phishing, me gratë e moshuara që shfaqnin ndjeshmërinë më të lartë.  Ndërsa ndjeshmëria tek përdoruesit e rinj ra përgjatë studimit, ndjeshmëria tek përdoruesit e moshuar mbeti e qëndrueshme.

Whale phishing dhe mashtrimi i CEO

Whale phishing i referohet sulmeve të phishing me shtizë të drejtuara posaçërisht ndaj drejtuesve të lartë dhe objektivave të tjerë të profilit të lartë. Përmbajtja ka të ngjarë të jetë e krijuar për të qenë me interes për personin ose rolin e synuar – si p.sh. një thirrje ose ankesë klienti.

Mashtrimi i CEO-ve është efektivisht e kundërta e “whale phishing” ai përfshin krijimin e emaileve të falsifikuara që supozohet se nga drejtues të lartë me qëllim që punonjësit e tjerë në një organizatë të kryejnë një veprim specifik, zakonisht lidhjen e parave në një llogari offshore.Ndërsa mashtrimi i CEO-ve ka një shkallë suksesi mjaft të ulët, kriminelët mund të fitojnë shuma shumë të mëdha parash nga disa përpjekje që kanë sukses.  Ka pasur raste të shumta të organizatave që kanë humbur dhjetëra miliona dollarë për sulme të tilla.

Clone phishing

Klonimi është një lloj sulmi phishing ku një email legjitim dhe të dorëzuar më parë që përmban një bashkëngjitje ose lidhje i është marrë përmbajtja dhe adresa(at) e marrësit dhe është përdorur për të krijuar një email pothuajse identik ose të klonuar.  Bashkëngjitja ose lidhja brenda emailit zëvendësohet me një version me qëllim të keq dhe më pas dërgohet nga një adresë emaili e falsifikuar që duket se vjen nga dërguesi origjinal.  Mund të pretendojë të jetë një ridërgim i origjinalit ose një version i përditësuar në origjinal.  Në mënyrë tipike, kjo kërkon që dërguesi ose marrësi të jenë hakuar më parë në mënyrë që pala e tretë keqdashëse të marrë emailin e ligjshëm.

Voice Phishing

Phishing me zë, ose vishing,është përdorimi i telefonisë (shpesh telefonia me zë mbi IP) për të kryer sulme phishing.  Sulmuesit do të thërrasin një sasi të madhe numrash telefoni dhe do të luajnë regjistrime të automatizuara – shpesh të bëra duke përdorur sintetizues tekst-në-fjalë – që bëjnë pretendime të rreme për aktivitet mashtrues në llogaritë bankare ose kartat e kreditit të viktimës.  Numri i telefonit që telefonon do të mashtrohet për të treguar numrin real të bankës ose institucionit të imituar.  Viktima më pas drejtohet të telefonojë një numër të kontrolluar nga sulmuesit, i cili ose do t’i shtyjë ata automatikisht të fusin informacione të ndjeshme për të “zgjidhur” mashtrimin e supozuar, ose t’i lidhë ato me një person të gjallë që do të përpiqet të përdorë inxhinierinë sociale për të marrë  informacion.Fishing zanor përfiton nga ndërgjegjësimi më i ulët i publikut të gjerë për teknika të tilla si mashtrimi i ID-së së telefonuesit dhe telefonimi i automatizuar, krahasuar me ekuivalentët për phishing me email, dhe si rrjedhim besimin e qenësishëm që shumë njerëz kanë në telefoninë zanore.