Πόσο διαφορετικές είναι αυτές οι επιθέσεις;

Το phishing είναι μια από τις πιο δημοφιλείς και κοινές μορφές επιθέσεων κοινωνικής μηχανικής.

Ως κυβερνοεπίθεση που στοχεύει και εκμεταλλεύεται την ανθρώπινη νοημοσύνη, το phishing έχει στοχεύσει με επιτυχία αρκετές μικρές και μεγάλες εταιρείες στο παρελθόν. Σύμφωνα με έρευνα, τελείωσε Το 80% των οργανισμών βίωσε τουλάχιστον μία επιτυχημένη απόπειρα επίθεσης phishing το 2020.

Επιπλέον, α Αναφορά τάσεων δραστηριότητας phishing υποδηλώνει ότι οι επιθέσεις phishing έχουν αυξηθεί σημαντικά κατά 150% μεταξύ 2019 και 2022, καταγράφοντας έναν αριθμό ρεκόρ 4,7 εκατομμυρίων επιθέσεων το 2022.

Ενώ το phishing είναι μια ευρεία κατηγορία κυβερνοεπιθέσεων, υπό την ομπρέλα της οποίας εμπίπτουν, άλλοι τύποι επιθέσεων phishing περιλαμβάνουν το vishing, το ηλεκτρονικό ψάρεμα, το spear phishing, το phishing κλώνων και άλλα.

Από αυτές, το spear phishing είναι μια από τις πιο διαδεδομένες και εξελιγμένες επιθέσεις στον κυβερνοχώρο, που αποτελεί αρχή ή σημείο εκκίνησης για περισσότερες Το 91% των κυβερνοεπιθέσεων.

Αλλά πώς διαφέρουν το phishing και το spear phishing; Ποια βασικά στοιχεία διακρίνουν αυτές τις δύο κυβερνοεπιθέσεις και πώς μπορείτε να αποτρέψετε τον οργανισμό σας από αυτές;

Σε αυτό το άρθρο, βουτάμε βαθιά στο phishing έναντι του spear phishing και εξετάζουμε τα κορυφαία χαρακτηριστικά που διαφοροποιούν αυτές τις επιθέσεις phishing μεταξύ τους.

Πάμε!

Τι είναι το Phishing;

Μια επίθεση phishing είναι ένας τύπος κυβερνοεπίθεσης που διαδίδει απάτες μέσω email που στοχεύουν τυχαία άτομα μέσω διαφορετικών καναλιών και μέσων, όπως μηνύματα κειμένου (smishing), emails (email phishing) ή τηλεφωνικές κλήσεις (vishing).

Οι επιτιθέμενοι στέλνουν μηνύματα ηλεκτρονικού ψαρέματος μαζικά και μεγάλους όγκους για να λάβουν ευαίσθητες πληροφορίες χρήστη και επιχειρηματικές λεπτομέρειες, ελπίζοντας ότι από τις χιλιάδες απόπειρες phishing, τουλάχιστον μία ή μερικές θα πετύχουν.

Οι σύγχρονοι εισβολείς phishing κατασκευάζουν αυτά τα μηνύματα ηλεκτρονικού ταχυδρομείου και τα μηνύματα ευρέως και έξυπνα, κάνοντάς τα να φαίνονται νόμιμα από μια έγκυρη πηγή, όπως μια επιχείρηση ή μια τράπεζα. Οι χάκερ στέλνουν αυτά τα email τυχαία στους χρήστες, ξεγελώντας και χειραγωγώντας τους κάνοντας κλικ στους κακόβουλους συνδέσμους ή έγγραφα μέσα στο email ή πραγματοποιώντας συγκεκριμένες ενέργειες που πυροδοτούν περαιτέρω επιθέσεις.

Σε μια επίθεση phishing, οι εισβολείς χρησιμοποιούν ως επί το πλείστον έναν επείγοντα τόνο φωνής, προκαλώντας ένα αίσθημα φόβου στους παραλήπτες και χειραγωγώντας τους ώστε να κατεβάσουν μολυσμένα έγγραφα ή να κάνουν κλικ σε κακόβουλους συνδέσμους, θέτοντας σε κίνδυνο τα προσωπικά τους στοιχεία, όπως τραπεζικά στοιχεία ή διαπιστευτήρια σύνδεσης.

Έτσι, όπως υποδηλώνει το όνομα, το phishing αναφέρεται σε τυχαίες και ευρείες επιθέσεις ηλεκτρονικού ταχυδρομείου, οι οποίες εκμεταλλεύονται αθώους χρήστες ή παραλήπτες email για να διακυβεύσουν εμπιστευτικά δεδομένα και πληροφορίες.

Ωστόσο, διαφορετικές κυβερνοεπιθέσεις εμπίπτουν στην ομπρέλα του phishing, ανάλογα με το μέσο ή την τακτική. Οι διάφοροι μηχανισμοί επίθεσης phishing περιλαμβάνουν:

• Smishing: Γνωστό και ως SMS phishing, το smishing είναι μια επίθεση που εκτελείται μέσω SMS ή μηνυμάτων κειμένου για να μολύνει το τηλέφωνο ή την κινητή συσκευή του χρήστη με κακόβουλο λογισμικό.

• Vishing: Το Vishing είναι μια κυβερνοεπίθεση phishing που εκτελείται μέσω τηλεφωνικών κλήσεων ή ληφθέντων πρωτοκόλλων Διαδικτύου, όπως VoIP ή Voice Over Internet Protocol.

• Pop-up phishing: Αυτή η επίθεση εκτελείται με την έναρξη ενός επείγοντος αναδυόμενου παραθύρου ή μηνυμάτων στην οθόνη του χρήστη με τη μορφή αναδυόμενων παραθύρων σχετικά με την ασφάλεια της συσκευής του.

• Fax phishing: Αυτή η επίθεση phishing περιλαμβάνει την αποστολή ενός ηλεκτρονικού ηλεκτρονικού “ψαρέματος” από τον εισβολέα στον χρήστη δηλώνοντας ότι έχει λάβει ένα φαξ στο συνημμένο email, οδηγώντας συνήθως τους χρήστες σε ψεύτικους ή πλαστούς ιστότοπους, ζητώντας τους να εισαγάγουν τα διαπιστευτήρια σύνδεσής τους.

• Ψάρεμα μέσω τραπεζικού εμβάσματος: Αυτή η επίθεση περιλαμβάνει τραπεζικές μεταφορές για τη διεξαγωγή δόλιων δραστηριοτήτων.

Έτσι, εάν αυτοί είναι οι διαφορετικοί τύποι επιθέσεων phishing, ας καταλάβουμε επίσης τι είναι το spear phishing και πώς διαφέρει από αυτές που αναφέρθηκαν παραπάνω.

Τι είναι το Spear Phishing;

Το Spear phishing είναι μια πιο προηγμένη και εξελιγμένη μορφή επίθεσης phishing που στοχεύει συγκεκριμένα ή στοχευμένα άτομα, οργανισμούς ή θύματα σε αντίθεση με τις επιθέσεις phishing που στοχεύουν μεγάλη μάζα ατόμων.

Συνήθως, αντί να στοχεύουν μια ομάδα ατόμων, οι επιθέσεις ψαρέματος με δόρυ στοχεύουν κυρίως μια συγκεκριμένη επιχείρηση ή οργανισμό χρησιμοποιώντας τακτικές κοινωνικής μηχανικής, όπως πλαστά μηνύματα ηλεκτρονικού ταχυδρομείου.

Στο spear phishing, οι επιτιθέμενοι συχνά υποδύονται τους υπαλλήλους, τους συναδέλφους ή τους επιχειρηματικούς γνωστούς ενός οργανισμού για να θέσουν σε κίνδυνο τις εμπιστευτικές πληροφορίες του οργανισμού. Εδώ, ο στόχος μπορεί να μην είναι απλώς η κλοπή των προσωπικών πληροφοριών ενός ατόμου, αλλά η εισβολή και η είσοδος σε έναν διακομιστή εταιρείας για να εκτελέσετε μια στοχευμένη κακόβουλη δραστηριότητα.

Οι εγκληματίες του κυβερνοχώρου χρησιμοποιούν συχνά τεχνικές κοινωνικής μηχανικής, όπως πλαστά email, στέλνοντας εξαιρετικά εξατομικευμένα email στα θύματα συλλέγοντας προσωπικά στοιχεία, όπως το όνομα και την εταιρεία τους, μέσω των προφίλ τους στα μέσα κοινωνικής δικτύωσης – κάνοντας τα πλαστά email να φαίνονται πιο γνήσια, νόμιμα και πιστευτά.

Αυτό βοηθά τους εγκληματίες του κυβερνοχώρου να οικοδομήσουν εμπιστοσύνη στα θύματα, αυξάνοντας τις πιθανότητες οι παραλήπτες email να εκτελέσουν την επιθυμητή ενέργεια. Εκτός από την πλαστογράφηση email, οι εισβολείς ενδέχεται να χρησιμοποιήσουν δυναμικές διευθύνσεις URL και λήψεις οδηγιών προς λήψη για να θέσουν σε κίνδυνο τα μέτρα ασφαλείας μιας εταιρείας και να πραγματοποιήσουν την επίθεση ψαρέματος με δόρυ.

Οι κυβερνοεγκληματίες χρησιμοποιούν συχνά δύο τύπους επιθέσεων κατά τη διεξαγωγή spear phishing:

• Φαλαινοθηρία: Αυτή η επίθεση ψαρέματος με δόρυ στοχεύει κυρίως ανώτερα στελέχη με την εξουσία ή την εξουσία να έχουν πρόσβαση στις εμπιστευτικές πληροφορίες μιας εταιρείας. Η στόχευση τέτοιων ατόμων δίνει τη δυνατότητα στους εισβολείς να έχουν πρόσβαση σε ευαίσθητα δεδομένα, να ξεκινούν μεταφορά κεφαλαίων ή να πραγματοποιούν παραβίαση δεδομένων.

• Απάτη CEO: Ενώ οι επιθέσεις φαλαινοθηρίας στοχεύουν ανώτερους υπαλλήλους, οι επιθέσεις phishing CEO στοχεύουν κυρίως κατώτερους ή κατώτερους υπαλλήλους υποδυόμενοι υψηλότερα ή ανώτερα στελέχη, όπως τον Διευθύνοντα Σύμβουλο μιας εταιρείας, προσποιούμενοι ότι είναι μια τέτοια υψηλού επιπέδου αρχή. Οι επιτιθέμενοι μπορούν εύκολα να πείσουν ή να πιέσουν τους κατώτερους υπαλλήλους να προβούν σε μη εξουσιοδοτημένες ενέργειες. Αυτή η επίθεση αναφέρεται επίσης ως επίθεση Business Email Compromise (BEC).

Τώρα που καταλαβαίνουμε τον βασικό ορισμό και την ιδέα πίσω από το phishing και το spear phishing, ας μπούμε σε περισσότερες λεπτομέρειες για να κατανοήσουμε πώς διαφέρουν αυτές οι δύο επιθέσεις μέσω των βασικών διαφοροποιητικών παραγόντων τους.

Phishing εναντίον Spear Phishing: Γρήγορη ματιά

ΠαράγοντεςPhishingSpear Στυλ PhishingAttack Επιτίθεται σε κλίμακα, στοχεύοντας σε μια ευρύτερη και τυχαία ομάδα ατόμων. Επιτίθεται σε έναν συγκεκριμένο οργανισμό ή άτομο μέσω τακτικών κοινωνικής μηχανικής. Επίπεδο εξατομίκευσης Εμφανίζεται συχνά και είναι λιγότερο χρονοβόρο. Ιδιαίτερα εξατομικευμένη, καθώς ο εισβολέας διεξάγει βαθιά έρευνα για το θύμα-στόχο του—συμπεριλαμβανομένου ονόματος, οργάνωσης, προφίλ εργασίας κ.λπ. Επίπεδο επείγουσας ανάγκης Χρησιμοποιεί πειστική και επείγουσα γλώσσα για να κάνει τα θύματα να αναλάβουν άμεση δράση χωρίς δεύτερες σκέψεις. Περιλαμβάνει ένα ελάχιστο έως καθόλου επείγον στοιχείο, όπως εστιάζει στο να κερδίσει πρώτα την εμπιστοσύνη του θύματος πριν το αναγκάσει να εκτελέσει την επιθυμητή ενέργεια. Πρωταρχικός στόχος Για να παραβιάσεις και να αποκτήσεις πρόσβαση σε ευαίσθητα δεδομένα του θύματος, όπως τα διαπιστευτήρια σύνδεσης. Ενώ το spear phishing μπορεί επίσης να προσπαθήσει να αποκτήσει πρόσβαση σε δεδομένα όπως στοιχεία πιστωτικής κάρτας ή διαπιστευτήρια σύνδεσης, ο τελικός στόχος μπορεί να είναι πολύ υψηλότερος, όπως η εξαγωγή εμπορικών μυστικών της εταιρείας κ.λπ. Συχνότητα αποστολής από τις τράπεζες γενικά μηνύματα ηλεκτρονικού ταχυδρομείου που ζητούν ενημερώσεις κωδικού πρόσβασης. Εμφανίζεται λιγότερο συχνά, καθώς απαιτεί πολύ χρόνο, προσπάθεια και έρευνα για να εκτελεστεί. Επίπεδο προσπάθειας Χαμηλό, καθώς τα μηνύματα είναι αρκετά γενικά και τυποποιημένα. Υψηλό, καθώς τα μηνύματα συντάσσονται προσεκτικά με βελτιωμένη εξατομίκευση. Τονικότητα του περιεχομένου του μηνύματοςΓενικό και επίσημο (μερικές φορές άγνωστο στο θύμα). Γνωστό και εξατομικευμένο, που συχνά περιλαμβάνεται με το όνομα του θύματος στους χαιρετισμούς. Παραδείγματα Οι τράπεζες στέλνουν γενικά μηνύματα ηλεκτρονικού ταχυδρομείου ζητώντας ενημερώσεις κωδικού πρόσβασης. Ένας υπάλληλος ανώτερης ή ανώτερης αρχής ζητά τραπεζική μεταφορά χρημάτων για ένα έργο. Προληπτικά μέτρα Φιλτράρισμα email και βασική εκπαίδευση και ευαισθητοποίηση σε θέματα κυβερνοασφάλειας. Προηγμένα τείχη προστασίας, φιλτράρισμα email και συνεπής ευαισθητοποίηση στον κυβερνοχώρο με προσομοιώσεις phishing.

Phishing εναντίον Spear Phishing: Χαρακτηριστικά που εξηγούνται

Ενώ το phishing και το spear phishing μπορεί να έχουν παρόμοια χαρακτηριστικά, διαφέρουν μεταξύ τους ως προς τον κύριο στόχο, τις τακτικές ή τις μεθοδολογίες επίθεσης, τα μέτρα ασφαλείας που λαμβάνονται για την υπεράσπισή τους και άλλους παράγοντες.

Ας ρίξουμε μια ματιά σε κάθε ένα από αυτά ένα προς ένα.

#1. Διανύσματα επίθεσης

Οι τυπικές επιθέσεις phishing ρίχνουν ένα ευρύτερο δίκτυο μέσω επιθέσεων κοινωνικής μηχανικής, όπως μαζικά μηνύματα ηλεκτρονικού ταχυδρομείου, κακόβουλοι ιστότοποι ή μηνύματα SMS. Έτσι, συχνά προσπαθούν να στοχεύσουν μια ευρεία ομάδα ατόμων μέσω πολλαπλών φορέων επίθεσης ή τακτικών, προσπαθώντας να προσεγγίσουν μεγάλο αριθμό πιθανών θυμάτων.

Από την άλλη πλευρά, οι επιθέσεις ψαρέματος με δόρυ είναι πολύ πιο στοχευμένες, συγκεκριμένες και εξατομικευμένες, στοχεύοντας έναν συγκεκριμένο οργανισμό ή ομάδα ατόμων. Ενώ το spear phishing χρησιμοποιεί συχνά πλαστά μηνύματα ηλεκτρονικού ταχυδρομείου ως φορέα επίθεσης, μπορεί επίσης να χρησιμοποιεί μέσα κοινωνικής δικτύωσης, τηλεφωνικές κλήσεις ή διαπροσωπικές αλληλεπιδράσεις για να στοχεύσει συγκεκριμένα άτομα.

#2. Παραπλανητικές τακτικές

Οι επιθέσεις ηλεκτρονικού ψαρέματος χρησιμοποιούν και στέλνουν μαζικά γενικά και κακώς γραμμένα μηνύματα ηλεκτρονικού ταχυδρομείου ή μηνύματα, πλαστοπροσωπώντας νόμιμες οργανώσεις ή υπηρεσίες. Χρησιμοποιούν τακτικές εκφοβισμού ή δημιουργούν μια αίσθηση επείγοντος μέσα στα μηνύματα, εξαπατώντας τα θύματα να εγκαταλείψουν τα ευαίσθητα δεδομένα τους, όπως διαπιστευτήρια σύνδεσης ή στοιχεία τραπεζικού λογαριασμού.

Έτσι, οι εισβολείς χρησιμοποιούν συχνά γενικά πρότυπα email για να εξαπατήσουν τους χρήστες και χρησιμοποιούν την τακτική του φόβου, βασιζόμενοι σε κακόβουλους συνδέσμους, ψεύτικους ιστότοπους και συνημμένα που προκαλούν κακόβουλο λογισμικό, αναγκάζοντας τα θύματα να εκτελέσουν την επιθυμητή ενέργεια για να διασφαλίσουν την ασφάλεια της συσκευής ή του λογαριασμού.

Ενώ το phishing βασίζεται σε γενικές τακτικές εξαπάτησης, το spear phishing χρησιμοποιεί πειστικές και εξαιρετικά εξατομικευμένες τακτικές διεξάγοντας ενδελεχή έρευνα σχετικά με τα θύματα-στόχους τους για να συντάξουν εξατομικευμένα και πιστευτά μηνύματα.

Περιλαμβάνουν συγκεκριμένες λεπτομέρειες σχετικά με το θύμα, όπως το όνομά του, την εταιρεία, τον τίτλο εργασίας του κ.λπ., μιμούμενοι το ύφος και τον τόνο της φωνής ενός νόμιμου επαγγελματικού email, το κάνουν να φαίνονται πιο νόμιμο και διακρίνοντάς το από τα γενικά μηνύματα ηλεκτρονικού ψαρέματος.

#3. Στόχευση

Οι επιτιθέμενοι στοχεύουν ταυτόχρονα πολλαπλά άτομα σε επιθέσεις phishing χρησιμοποιώντας γενικά μηνύματα ηλεκτρονικού ταχυδρομείου, έχοντας έτσι μια ευρεία και ευρύτερη ευκαιριακή εστίαση. Έτσι, οι επιθέσεις phishing στέλνουν email μαζικά αντί να στοχεύουν συγκεκριμένα άτομα ή οργανισμούς, ελπίζοντας ότι τουλάχιστον ένα ποσοστό των θυμάτων θα υποκύψει στις παραπλανητικές τακτικές τους.

Αντίθετα, το spear phishing στόχευε την κοινωνική μηχανική, όχι απλώς την τύχη. Οι επιτιθέμενοι είναι πολύ ξεκάθαροι, συγκεντρωμένοι και ακριβείς σχετικά με τα θύματα-στόχους τους και στέλνουν εξατομικευμένα email σε επιλεγμένα άτομα με πανοραμική θέα.

Επιλέγουν ή επικεντρώνονται σε στελέχη ή ανώτερους υπαλλήλους υψηλής αξίας για συμβιβασμούς για να αποκτήσουν πρόσβαση στα ευαίσθητα επιχειρηματικά δεδομένα ενός οργανισμού. Όσο υψηλότερο είναι το επίπεδο των στελεχών που στοχεύουν, τόσο μεγαλύτερος είναι ο πιθανός αντίκτυπος του διακυβεύματός τους.

Έτσι, σε μια επίθεση ψαρέματος με δόρυ, το θύμα-στόχος μπορεί να θεωρηθεί ως μέσο για έναν σκοπό, ο οποίος θέτει σε κίνδυνο τον ίδιο τον οργανισμό-στόχο.

#4. Στόχοι

Ο πρωταρχικός στόχος των επιθέσεων phishing είναι η συλλογή μεγάλου όγκου εμπιστευτικών και ευαίσθητων πληροφοριών στοχεύοντας ένα ευρύτερο δίκτυο ατόμων. Αυτές οι πληροφορίες μπορεί να περιλαμβάνουν αριθμούς πιστωτικών καρτών, διαπιστευτήρια σύνδεσης, κωδικούς πρόσβασης τραπεζικών λογαριασμών ή άλλα προσωπικά δεδομένα από όσο το δυνατόν περισσότερα άτομα-στόχους.

Από την άλλη πλευρά, ο στόχος των επιθέσεων ψαρέματος με δόρυ είναι πιο εστιασμένος και μπορεί να ποικίλλει ευρέως, ανάλογα με τον τελικό στόχο του εισβολέα για τον τρόπο με τον οποίο θέλει να θέσει σε κίνδυνο μια συγκεκριμένη επιχείρηση ή οργανισμό.

Οι στόχοι του «ψαρέματος» μπορεί να περιλαμβάνουν την πρόσβαση σε συγκεκριμένους επιχειρηματικούς λογαριασμούς, τη διείσδυση εμπιστευτικών πληροφοριών, την κλοπή ιδιόκτητων περιουσιακών στοιχείων ή δεδομένων, την έναρξη κυβερνοεπιθέσεων από εμπιστευτικές πληροφορίες σε έναν οργανισμό ή τη διεξαγωγή στοχευμένης εταιρικής κατασκοπείας.

#5. Προκλήσεις ανίχνευσης

Οι οργανισμοί μπορούν να ανιχνεύσουν επιθέσεις ηλεκτρονικού ψαρέματος μέσω μαύρης λίστας τομέα, φιλτραρίσματος email και τείχη προστασίας και λογισμικού προστασίας από ιούς.

Ωστόσο, η ανίχνευση μερικών μηνυμάτων ηλεκτρονικού “ψαρέματος” μπορεί να γίνει δύσκολη με τις εξελισσόμενες προηγμένες επιθέσεις κοινωνικής μηχανικής που χειραγωγούν την ανθρώπινη νοημοσύνη και τακτικές, όπως η πλαστοπροσωπία έγκυρων ατόμων, η χρήση HTTPS σε ψεύτικους ιστότοπους, η συσκότιση διευθύνσεων URL, η χρήση φαρμάκων και άλλα.

Ταυτόχρονα, σε σύγκριση με τις επιθέσεις phishing, η ανίχνευση επιθέσεων ψαρέματος με δόρυ μπορεί να γίνει ακόμη πιο δύσκολη, καθώς έχουν σχεδιαστεί με πιο προσαρμοσμένο τρόπο. Ως εκ τούτου, τα παραδοσιακά μέτρα ασφαλείας όπως τα τείχη προστασίας συχνά αποτυγχάνουν να τα εντοπίσουν.

Έτσι, η ανίχνευση του spear phishing βασίζεται σε μεγάλο βαθμό στην εκπαίδευση των χρηστών, την ευαισθητοποίηση και το έντονο μάτι ή την ικανότητα να εντοπίζει διακριτικά, παραπλανητικά σημάδια στα μηνύματα ηλεκτρονικού ταχυδρομείου.

#6. Μέτρα Πρόληψης

Οι εργαζόμενοι και οι οργανισμοί μπορούν να αποτρέψουν επιθέσεις phishing χρησιμοποιώντας τείχη προστασίας, λογισμικό προστασίας από ιούς, email και φιλτράρισμα ιστού, ενημερώνοντας τακτικά τους κωδικούς πρόσβασης, εγκαθιστώντας ενημερώσεις κώδικα ασφαλείας κ.λπ.

Είναι επίσης ζωτικής σημασίας η διάδοση της ευαισθητοποίησης για την ασφάλεια στον κυβερνοχώρο και η εκπαίδευση των εργαζομένων για την προώθηση της επαγρύπνησης μεταξύ των εργαζομένων σχετικά με την εύκολη αναγνώριση των προσπαθειών phishing.

Η πρόληψη του ψαρέματος με δόρυ περιλαμβάνει μια πολυεπίπεδη προσέγγιση και απαιτεί έναν συνδυασμό ισχυρών λύσεων ασφάλειας email και εκπαίδευσης των χρηστών. Αυτά μπορεί να περιλαμβάνουν τη χρήση αυστηρών ελέγχων πρόσβασης, έλεγχο ταυτότητας δύο παραγόντων (2FA), εκπαίδευση και ευαισθητοποίηση εργαζομένων, ισχυρές λύσεις ασφάλειας email που εντοπίζουν ύποπτα μοτίβα email και ευφυΐα απειλών.

#7. Παραδείγματα πραγματικής ζωής

Τα ψεύτικα και κακόβουλα μηνύματα ηλεκτρονικού ταχυδρομείου που πλαστοπροσωπούν φημισμένους οργανισμούς και τράπεζες όπως το PayPal ή τα προφίλ των μέσων κοινωνικής δικτύωσης είναι κοινά παραδείγματα του τρόπου με τον οποίο διεξάγονται επιθέσεις phishing.

• Σύστημα Υγείας φάσματος, ένας οργανισμός υγείας, ανέφερε μια επίθεση vishing τον Σεπτέμβριο του 2020, όπου οι ασθενείς και τα μέλη του οργανισμού έλαβαν τηλεφωνήματα από άτομα που μεταμφιέζονταν σε εργαζόμενους για να εξαγάγουν τα προσωπικά τους δεδομένα, συμπεριλαμβανομένης της ταυτότητας μέλους και άλλων στοιχείων που σχετίζονται με τους λογαριασμούς τους. Οι επιτιθέμενοι χρησιμοποίησαν απειλές και κολακείες για να πιέσουν τα θύματα να παραδώσουν τα επιθυμητά δεδομένα, πρόσβαση σε προσωπικές συσκευές ή χρήματα.

• Ένα άλλο πραγματικό παράδειγμα επίθεσης phishing είναι το πότε Το Tripwire ανέφερε μια επίθεση με χτυπήματα τον Σεπτέμβριο του 2020. Ο εισβολέας έστειλε μηνύματα SMS σε θύματα μεταμφιεσμένα ως Ταχυδρομεία των Ηνωμένων Πολιτειών (USPS). Το μήνυμα ζητούσε από τα θύματα να κάνουν κλικ σε έναν σύνδεσμο για να δουν κρίσιμες λεπτομέρειες σχετικά με την επερχόμενη παράδοση USPS, η οποία τα κατευθύνει σε ψεύτικους ιστότοπους για να κλέψουν τα διαπιστευτήρια του λογαριασμού τους Google.

Ομοίως, εδώ είναι δύο πραγματικά παραδείγματα εκστρατειών ψαρέματος με δόρυ.

• Ένα από τα πιο διάσημα περιστατικά στην πραγματική ζωή μιας επίθεσης phishing με δόρυ είναι όταν η Google και το Facebook εξαπατήθηκαν να πληρώσουν 122 εκατομμύρια δολάρια μεταξύ 2013 και 2015 λόγω μιας εκτεταμένης εκστρατείας επίθεσης phishing της BEC. Ο εισβολέας υποδύθηκε την Quanta, έναν κοινό προμηθευτή και για τις δύο εταιρείες και έστειλε email με πλαστά τιμολόγια, τα οποία πλήρωσαν η Google και το Facebook. Ωστόσο, οι εταιρείες θα μπορούσαν αργότερα να ανακτήσουν 49,7 εκατομμύρια δολάρια από το κλεμμένο ποσό.

• Άλλο ένα παράδειγμα επίθεσης spear phishing είναι όταν η Pathe, η κορυφαία κινηματογραφική ομάδα της Γαλλίας, έχασε 19,2 εκατ. ευρώ λόγω απάτης CEOόταν ο εισβολέας έστειλε πολλά email που υποδύονταν τον Διευθύνοντα Σύμβουλο Marc Lacan, ζητώντας από το ολλανδικό γραφείο να μεταφέρει το ποσό σε τέσσερα ράντζα στην Towering Stars General Trading LLC στο Ντουμπάι.

#8. Ποσοστο επιτυχιας

Αν και το ποσοστό επιτυχίας της επίθεσης phishing ποικίλλει πολύ, είναι συγκριτικά χαμηλότερο από τις επιθέσεις ψαρέματος με δόρυ, επειδή είναι γενικό και λιγότερο στοχευμένο.

Επιπλέον, το ποσοστό επιτυχίας μιας επίθεσης phishing εξαρτάται κυρίως από την ποιότητα και τις παραπλανητικές τακτικές που χρησιμοποιούνται στα μηνύματα, την ευαισθητοποίηση του θύματος στον κυβερνοχώρο και την ικανότητα ανίχνευσης ενός πλαστού μηνύματος.

Από την άλλη πλευρά, οι επιθέσεις ψαρέματος με δόρυ έχουν υψηλότερο ποσοστό επιτυχίας λόγω της πειστικής και εξατομικευμένης φύσης τους. Οι παραλήπτες email είναι πιο πιθανό να εμπιστευτούν τα πλαστά μηνύματα ηλεκτρονικού ταχυδρομείου και να υποκύψουν σε απόπειρες ηλεκτρονικού ψαρέματος, καθώς φαίνονται πιο αξιόπιστα και περιέχουν σχετικές και συγκεκριμένες πληροφορίες.

Τρόποι για να προστατεύσετε τον εαυτό σας από το Phishing και το Spear Phishing

Οι κίνδυνοι και οι πιθανές επιπτώσεις των επιθέσεων phishing και spear phishing είναι μεγαλύτεροι, πραγματικοί και εξαιρετικά περίπλοκοι, κοστίζοντας εκατομμύρια δολάρια στους οργανισμούς.

Ως εκ τούτου, η λήψη κρίσιμων προληπτικών μέτρων για τον τερματισμό ή τουλάχιστον τον περιορισμό των κινδύνων αυτών των επιθέσεων phishing είναι απαραίτητη. Ακολουθούν μερικοί τρόποι με τους οποίους μπορείτε να προστατεύσετε τον εαυτό σας και τον οργανισμό σας από το να πέσετε θύματα εξελιγμένων επιθέσεων phishing και spear phishing.

• Κρυπτογραφήστε τα εμπιστευτικά δεδομένα και τις πληροφορίες στον υπολογιστή και τις φορητές συσκευές σας μέσω κρυπτογράφησης δεδομένων, διασφαλίζοντας ότι οι εισβολείς δεν θα μπορούν να έχουν πρόσβαση σε αυτά τα δεδομένα χωρίς τον σωστό κωδικό πρόσβασης.

• Τα ψεύτικα μηνύματα ηλεκτρονικού ψαρέματος είναι το κύριο μέσο για τους εισβολείς να κλέψουν τα διαπιστευτήρια σύνδεσης. Ως εκ τούτου, επαληθεύστε τη διεύθυνση email σας μέσω μεθόδων όπως η ρύθμιση παραμέτρων SPF, DMARC και DKIM.

• Χρησιμοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) για να προστατεύσετε την εμπιστευτική πρόσβαση στον επαγγελματικό λογαριασμό σας, ακόμα κι αν παραβιαστούν τα διαπιστευτήρια σύνδεσής σας ή οι κωδικοί πρόσβασης. Το MFA καθιστά ακόμη πιο δύσκολο για τους εισβολείς να παραβιάσουν τους λογαριασμούς σας.

• Διατηρήστε ενημερωμένα και ασφαλή όλο το εσωτερικό λογισμικό, τις εφαρμογές, τα λειτουργικά συστήματα και τα εργαλεία δικτύωσης, εγκαθιστώντας τις πιο πρόσφατες ενημερώσεις κώδικα ασφαλείας, προστασία από κακόβουλο λογισμικό και λογισμικό προστασίας από ιούς και ανεπιθύμητα μηνύματα.

• Εκπαιδεύστε τους υπαλλήλους σας και διαδώστε την ευαισθητοποίηση σχετικά με την ασφάλεια στον κυβερνοχώρο σχετικά με τον αρνητικό αντίκτυπο και τις επιπτώσεις των επιθέσεων phishing, τους μηχανισμούς ανίχνευσης και τον τρόπο αποτροπής τους και προωθήστε την τήρηση των βέλτιστων πρακτικών για τον περιορισμό των κινδύνων τους.

• Διεξάγετε τακτικά προγράμματα εκπαίδευσης στον κυβερνοχώρο και προσομοιώσεις ηλεκτρονικού “ψαρέματος” για να ενημερώνετε τους υπαλλήλους για τις πιο πρόσφατες τάσεις και απειλές στον κυβερνοχώρο και να ελέγχουν την ικανότητά τους να εντοπίζουν και να αναφέρουν δόλια και κακόβουλα μηνύματα ηλεκτρονικού ταχυδρομείου.

Έτσι, η δημιουργία μιας οργανωτικής κουλτούρας με επίκεντρο την κυβερνοασφάλεια και η ενσωμάτωση των βέλτιστων διαδικασιών και πρακτικών μπορεί να συμβάλει σημαντικά στη μείωση του πιθανού αντίκτυπου των επιθέσεων phishing και spear phishing.

Τελικές Λέξεις

Τόσο οι εκστρατείες phishing όσο και οι εκστρατείες επίθεσης με δόρυ είναι αναπόφευκτες και σκληρές πραγματικότητες του σημερινού ψηφιακού κόσμου. Οι εγκληματίες του κυβερνοχώρου σήμερα χρησιμοποιούν εξελιγμένες τακτικές για να συμβιβάσουν άτομα και οργανισμούς, οδηγώντας σε τεράστιες οικονομικές ζημιές και ζημιές στη φήμη.

Ενώ και οι δύο επιθέσεις μπορούν να βλάψουν την αξιοπιστία ενός οργανισμού, μπορούν να αποτραπούν με την παρακολούθηση των τελευταίων τάσεων στον κυβερνοχώρο και την ενσωμάτωση των βέλτιστων πρακτικών ασφαλείας—και ξεκινά με την κατανόηση και τη μελέτη των επιθέσεων.

Αυτό το άρθρο σάς βοηθά να κατανοήσετε τη διαφορά μεταξύ του phishing και του spear phishing και πώς διαφέρουν ως προς τον κύριο στόχο, τον στόχο, τον αντίκτυπο, το ποσοστό επιτυχίας, τις τακτικές, τους φορείς επίθεσης και τις μεθόδους πρόληψης.

Επομένως, ακολουθήστε τις βέλτιστες πρακτικές ασφαλείας που αναφέρονται παραπάνω για να αποτρέψετε τον εαυτό σας και την εταιρεία σας από το να πέσετε θύματα κακόβουλων εκστρατειών ηλεκτρονικού ψαρέματος και ψαρέματος.

Στη συνέχεια, ρίξτε μια ματιά στις λύσεις ασφάλειας email για να σας προστατεύσουν από επιθέσεις ανεπιθύμητης αλληλογραφίας, πλαστογράφησης και phishing.