Το Smishing και το phishing είναι επιθέσεις κοινωνικής μηχανικής που ξεγελούν τα θύματα ώστε να αποκαλύψουν ευαίσθητες πληροφορίες.
Το ηλεκτρονικό ψάρεμα περιλαμβάνει την αποστολή email με κακόβουλους συνδέσμους ή συνημμένα. Από την άλλη πλευρά, το smishing, το οποίο είναι ένας συνδυασμός SMS και phishing, περιλαμβάνει την αποστολή μηνυμάτων κειμένου σε κακόβουλους συνδέσμους ή έναν αριθμό τηλεφώνου στον οποίο το θύμα καλείται να κάνει κλικ ή να καλέσει αντίστοιχα.
Τόσο στις επιθέσεις smishing όσο και στο phishing, οι εγκληματίες απειλούν τα πιθανά θύματά τους με σοβαρές συνέπειες, εκτός εάν ανταποκριθούν αμέσως. Τα θύματα που ανταποκρίνονται στις απειλές μπορεί να καταλήξουν να αποκαλύπτουν ευαίσθητες πληροφορίες, όπως κωδικούς πρόσβασης ή στοιχεία τραπεζικού λογαριασμού.
Το phishing επιτίθεται σε κλοπή δεδομένων Image Pixabay
Πριν εξετάσουμε τις ομοιότητες και τις διαφορές των επιθέσεων smishing και phishing, ας μάθουμε τι σημαίνει κάθε όρος.
Πίνακας περιεχομένων
Τι είναι το Smishing
Το Smishing είναι μια επίθεση κατά την οποία οι εγκληματίες στέλνουν μηνύματα κειμένου με κακόβουλους συνδέσμους ή ψεύτικους αριθμούς τηλεφώνου σε πιθανούς χρήστες κινητών τηλεφώνων. Περιλαμβάνει τη χρήση χειριστικών μηνυμάτων κειμένου σε συναρπαστική γλώσσα για να ξεγελάσει τον χρήστη του τηλεφώνου ώστε να απαντήσει.
Ο εισβολέας μπορεί να χρησιμοποιήσει επείγουσα ανάγκη, όπως την ανάγκη να πληρώσει αμέσως για ένα πακέτο υπό μεταφορά ή να επιβεβαιώσει μια οικονομική συναλλαγή, να πληρώσει επειγόντως για ένα εκκρεμές τιμολόγιο κ.λπ.
Τι είναι το Phishing
Το ηλεκτρονικό ψάρεμα είναι η αποστολή δόλιων μηνυμάτων ηλεκτρονικού ταχυδρομείου που περιέχουν κακόβουλους συνδέσμους ή συνημμένα που κατευθύνουν τον χρήστη στον διακομιστή που ελέγχεται από τους εισβολείς ή εγκαθιστά κακόβουλο λογισμικό που μπορεί να κλέψει ευαίσθητες πληροφορίες.
Στο ηλεκτρονικό ψάρεμα, ο ιστότοπος του εισβολέα μπορεί να μοιάζει με έναν νόμιμο ιστότοπο, αλλά θα έχει ένα ανορθόγραφο όνομα τομέα. Ωστόσο, μπορεί να περιέχει ένα πεδίο σύνδεσης που τους επιτρέπει να κλέψουν το όνομα χρήστη και τους κωδικούς πρόσβασης καθώς το θύμα τα πληκτρολογεί, πιστεύοντας ότι έχει πρόσβαση σε έναν ασφαλή ιστότοπο.
Επιθέσεις Smishing εναντίον Phishing: Ομοιότητες
Οι επιθέσεις smishing και phishing χρησιμοποιούν τακτικές κοινωνικής μηχανικής για να ξεγελάσουν ανυποψίαστους χρήστες ώστε να αποκαλύψουν ευαίσθητες ή εμπιστευτικές πληροφορίες. Οι δύο μέθοδοι επίθεσης έχουν τις ακόλουθες ομοιότητες.
- Ο καθένας χρησιμοποιεί πειστική γλώσσα για να προειδοποιήσει τα θύματά του για πιθανούς κινδύνους εάν δεν ανταποκριθούν αμέσως. Για παράδειγμα, προειδοποιούν ότι ο τραπεζικός λογαριασμός ή η πιστωτική κάρτα θα τερματιστεί, η ηλεκτροδότηση ή η τηλεφωνική υπηρεσία θα διακοπεί και άλλες απειλές, εκτός εάν το θύμα κάνει την απαιτούμενη ενέργεια, όπως κάνοντας κλικ σε έναν παρεχόμενο σύνδεσμο.
- Περιέχει κακόβουλους συνδέσμους που ελέγχονται από τους εισβολείς και με τη δυνατότητα κλοπής διαπιστευτηρίων σύνδεσης ή άλλων ευαίσθητων πληροφοριών, εγκατάστασης κακόβουλου λογισμικού ή ιών ή παραβίασης της συσκευής του χρήστη.
Smishing εναντίον επιθέσεων phishing Image Pixabay
- Επείγον: Κάθε μία από τις επιθέσεις δημιουργεί μια αίσθηση επείγοντος και μπορεί να χρησιμοποιήσει απειλές ή να προειδοποιήσει το πιθανό θύμα για αρνητικές συνέπειες εάν δεν ενεργήσει ή δεν ανταποκριθεί αμέσως.
- Εξαπάτηση: Και οι δύο επιθέσεις χρησιμοποιούν πρακτικές κοινωνικής μηχανικής για να εξαπατήσουν και να χειραγωγήσουν τα θύματά τους. Οι εισβολείς smishing και phishing συχνά υποδύονται γνωστές και νόμιμες εταιρείες όπως η Microsoft, η Amazon, η Google και άλλες γνωστές επωνυμίες. Αυτό κάνει τα πιθανά θύματα να αποκτήσουν εμπιστοσύνη, να ανταποκριθούν ή να παρέχουν πληροφορίες που ζητούνται, πιστεύοντας ότι έχουν να κάνουν με τον εν λόγω οργανισμό ή αρχή.
- Ίδιος στόχος: Ο κύριος σκοπός της έναρξης επιθέσεων smishing ή phishing είναι να ξεγελαστεί το θύμα ώστε να αποκαλύψει ευαίσθητες εταιρικές ή μεμονωμένες πληροφορίες, όπως διαπιστευτήρια σύνδεσης, στοιχεία πιστωτικής κάρτας ή τραπεζικού λογαριασμού και άλλα.
Επιθέσεις Smishing εναντίον Phishing: Διαφορές
Ο παρακάτω πίνακας επισημαίνει τις σημαντικές διαφορές επίθεσης smishing και phishing.
Χαρακτηριστικά SmishingPhishingAttack Vector Χρησιμοποιεί μηνύματα κειμένου SMS με συντομευμένα κακόβουλα URL ή ψεύτικο αριθμό τηλεφώνου.Χρησιμοποιεί email με κακόβουλους συνδέσμους ή συνημμένα. Μεσαίο τηλέφωνο ή κινητή συσκευή Υπολογιστής ή κινητή συσκευή που έχει πρόσβαση στο email. Προσέγγιση και αντίκτυπος Απεστάλησαν κατά μέσο όρο 2,65 δισεκατομμύρια μηνύματα spam και λαμβανόταν ανά εβδομάδα τον Απρίλιο του 2022. Το ποσοστό κλικ των συνδέσμων στα μηνύματα κειμένου είναι υψηλότερο από αυτό στα μηνύματα ηλεκτρονικού ταχυδρομείου. Περισσότεροι χρήστες είναι πιθανό να παραβιαστούν χρησιμοποιώντας το smishing σε σύγκριση με το phishingΠερίπου 3,4 δισεκατομμύρια μηνύματα ηλεκτρονικού ψαρέματος αποστέλλονται καθημερινά. Ωστόσο, το ποσοστό κλικ είναι χαμηλότερο από αυτό του smishing. Μηχανισμός παράδοσης Μηνύματα κειμένου σε κινητό τηλέφωνο Μηνύματα ηλεκτρονικού ταχυδρομείου σε υπολογιστικές συσκευές Ευαισθητοποίηση χρήστη Κατά μέσο όρο 2,65 δισεκατομμύρια ανεπιθύμητα μηνύματα κειμένου αποστέλλονταν και λαμβάνονταν την εβδομάδα τον Απρίλιο του 2022. Το ποσοστό κλικ των συνδέσμων στα μηνύματα κειμένου είναι υψηλότερο από αυτό στα μηνύματα ηλεκτρονικού ταχυδρομείου. Περισσότεροι χρήστες είναι πιθανό να παραβιαστούν χρησιμοποιώντας smishing σε σύγκριση με το phishing Οι περισσότεροι χρήστες email γνωρίζουν επιθέσεις phishingΣύνδεσμοι Συντομευμένοι κακόβουλοι σύνδεσμοι και ψεύτικοι αριθμοί Κακόβουλοι σύνδεσμοι και συνημμένα Εκμετάλλευση συσκευής Περίπου το 60% των χρηστών κινητών τηλεφώνων δεν γνωρίζουν τις επιθέσεις smishing και είναι πιθανό να πέσουν θύματα. εμπιστευτικές πληροφορίες από υπολογιστή. Οι εισβολείς μπορούν επίσης να χρησιμοποιήσουν την παραβιασμένη συσκευή για να διανείμουν κακόβουλο λογισμικό ή ιούς σε υπολογιστές στο ίδιο δίκτυο. Επείγουσα ανάγκη Χρήση ενός πιο επείγοντος και συναρπαστικού μηνύματος που ζητά άμεση απάντηση. Επείγον email αλλά λιγότερο από το smishing.
Πώς να προστατεύσετε τον εαυτό σας;
Παρακάτω είναι μερικές από τις πρακτικές για την προστασία από το smishing και το phishing.
- Χρήση ισχυρής λύσης ασφάλειας email: Εγκαταστήστε αποτελεσματικές λύσεις ασφαλείας, όπως λογισμικό προστασίας από ιούς, ισχυρά τείχη προστασίας, φίλτρα ανεπιθύμητης αλληλογραφίας, βοηθητικά προγράμματα ανάλυσης συνδέσμων, λογισμικό κατά του phishing και άλλα εργαλεία. Αυτά βοηθούν στον εντοπισμό και την αποτροπή της παράδοσης μηνυμάτων ηλεκτρονικού ψαρέματος στους χρήστες.
- Χρήση ελέγχου ταυτότητας πολλαπλών παραγόντων (MFA): Η ανάπτυξη ενός MFA προσθέτει ένα επιπλέον επίπεδο προστασίας απαιτώντας από τον χρήστη να παρέχει έναν άλλο έλεγχο ταυτότητας εκτός από τον κωδικό πρόσβασης. Οι τυπικές λύσεις MFA απαιτούν από τον χρήστη να παρέχει το όνομα χρήστη και τον κωδικό πρόσβασης, καθώς και μια άλλη μορφή ελέγχου ταυτότητας, όπως έναν κωδικό που αποστέλλεται σε μια συσκευή όπως ένα κινητό τηλέφωνο.
- Να ενημερώνετε και να επιδιορθώνετε τακτικά λειτουργικά συστήματα και εφαρμογές λογισμικού: Η ενημέρωση του λειτουργικού συστήματος, των εφαρμογών και των λύσεων ασφαλείας διασφαλίζει ότι είναι ενημερωμένες και εκτελούν πρόσφατες ενημερώσεις κώδικα που αντιμετωπίζουν τα περισσότερα από τα τρωτά σημεία και τις ατέλειες που ενδέχεται να εκμεταλλευτούν οι εγκληματίες.
- Τηρείτε ασφαλείς πρακτικές ασφαλείας: Ενώ η εγκατάσταση ενός προγράμματος προστασίας από ιούς και άλλων λύσεων ασφαλείας στον υπολογιστή ή την κινητή συσκευή σας βοηθά στον εντοπισμό και την προστασία σας από πιθανές επιθέσεις, θα πρέπει να εξασκείτε ασφαλείς διαδικτυακές δραστηριότητες. Η εκμάθηση σχετικά με τα υπάρχοντα και τα νέα κόλπα που χρησιμοποιούν οι επιτιθέμενοι βοηθά να σας κρατήσουμε ασφαλείς. Επίσης, μάθετε πώς να ελέγχετε για κόκκινες σημαίες κοινωνικής μηχανικής, όπως ορθογραφικά λάθη, επείγον, λάθος ονόματα τομέα, άγνωστους αποστολείς κ.λπ.
Σταματήστε τις επιθέσεις phishing Εικόνα: Pixabay
- Δημιουργία ευαισθητοποίησης για την ασφάλεια: Οι οργανισμοί θα πρέπει να παρέχουν στο προσωπικό τους επαρκή και τακτική εκπαίδευση ευαισθητοποίησης σχετικά με το phishing, το smishing και άλλες επιθέσεις στον κυβερνοχώρο. Επιπλέον, θα πρέπει να χρησιμοποιούν εργαλεία προσομοίωσης phishing για να ελέγξουν την ευαισθητοποίηση και να εντοπίσουν και να αντιμετωπίσουν τα κενά. Οι μεμονωμένοι χρήστες θα πρέπει επίσης να εκπαιδεύουν την οικογένεια και τους φίλους τους σχετικά με τα ανεπιθύμητα μηνύματα και πώς να ενεργούν και να παραμείνουν ασφαλείς.
- Αναφορά της απόπειρας επίθεσης: Αναφέρετε την υπόθεση σε μια οντότητα, όπως μια τράπεζα ή άλλο ίδρυμα, ώστε να μπορούν να εξασφαλίσουν τον λογαριασμό. Επιπλέον, μπορείτε να ενημερώσετε το ίδρυμα πρόληψης απάτης στη χώρα σας, ώστε να μπορέσει να διερευνήσει περαιτέρω.
- Δοκιμή ευαισθητοποίησης χρησιμοποιώντας προσομοιωμένες απόπειρες ψαρέματος: Οι προσομοιωμένες δοκιμές επιτρέπουν στους διαχειριστές να προσδιορίσουν την ευαισθητοποίηση των εργαζομένων και τον τρόπο με τον οποίο θα ανταποκρίνονταν σε πραγματικές προσπάθειες ηλεκτρονικού ψαρέματος. Το λογισμικό προσομοίωσης συνήθως στέλνει μηνύματα ηλεκτρονικού ψαρέματος παρόμοια με αυτά που θα έστελναν οι εισβολείς, αλλά χωρίς επιβλαβείς συνδέσμους ή συνημμένα. Επιτρέπει στον οργανισμό να διαπιστώσει εάν η εκπαίδευση ευαισθητοποίησης λειτουργεί και εάν υπάρχουν κενά που χρειάζονται αντιμετώπιση.
- Προστασία ευαίσθητων πληροφοριών: Εκτός από τη χρήση προστασίας από ιούς και κρυπτογράφησης για την προστασία ευαίσθητων δεδομένων, είναι καλή πρακτική να περιορίζετε ποιος έχει πρόσβαση στα δεδομένα και τι μπορούν να κάνουν με αυτά. Στην ιδανική περίπτωση, παραχωρήστε στους χρήστες το λιγότερο προνόμιο που τους επιτρέπει να έχουν πρόσβαση μόνο στα δεδομένα και τους πόρους που χρειάζονται για την εκτέλεση των εργασιών τους. Ακόμα κι αν ένας εισβολέας αποκτήσει μη εξουσιοδοτημένη πρόσβαση, δεν μπορεί να προκαλέσει μεγάλη ζημιά.
- Αγνοήστε ή διαγράψτε οποιοδήποτε ύποπτο κείμενο ή email. Αποφύγετε να κάνετε κλικ σε ύποπτα μηνύματα, συνημμένα ή συνδέσμους. Επιπλέον, μην απαντάτε σε μηνύματα που απαιτούν από εσάς να στείλετε προσωπικά στοιχεία, όπως στοιχεία πιστωτικής κάρτας ή τραπεζικού λογαριασμού.
Τι να κάνετε μετά από μια επίθεση;
Παρά τις προσπάθειες εντοπισμού και αποκλεισμού μηνυμάτων smishing και phishing από το να φτάσουν στα θύματά τους, εκατομμύρια πλαστά μηνύματα εξακολουθούν να καταφέρνουν να παρακάμπτουν τα ανεπιθύμητα μηνύματα και άλλα φίλτρα ασφαλείας καθημερινά.
Δυστυχώς, οι περισσότεροι χρήστες, ακόμη και αυτοί που γνωρίζουν τις απάτες, μπορεί να εξαπατηθούν και να κάνουν κλικ στους κακόβουλους συνδέσμους. Αν και η καλύτερη στρατηγική είναι να αγνοήσετε και να αποφύγετε να απαντάτε σε ψεύτικα μηνύματα SMS και email, είναι επίσης καλό να γνωρίζετε τι να κάνετε όταν συμβεί μια επίθεση.
#1. Προσδιορίστε πώς έγινε η επίθεση
Μάθετε γιατί συνέβη η επίθεση και εάν η λύση ασφαλείας σας απαιτεί βελτίωση για την αποτροπή παρόμοιων επιθέσεων στο μέλλον.
#2. Ελέγξτε το αποτέλεσμα της επίθεσης
Ερευνήστε το email ηλεκτρονικού ψαρέματος για να μάθετε την πρόθεσή του, τα δεδομένα που στόχευε ο εισβολέας και τον σκοπό του. Μπορείτε επίσης να χρησιμοποιήσετε το τείχος προστασίας ή παρόμοια αρχεία καταγραφής για να αναζητήσετε ύποπτες διευθύνσεις IP και διευθύνσεις URL. Ελέγξτε τους λογαριασμούς και τα δεδομένα που θα μπορούσαν να έχουν παραβιαστεί. Επιπλέον, παρακολουθήστε στενά τους διαδικτυακούς και τραπεζικούς λογαριασμούς ή τις συναλλαγές σας για τυχόν ύποπτες δραστηριότητες, όπως απόπειρες σύνδεσης από ασυνήθιστες τοποθεσίες, μεταφορά χρημάτων κ.λπ.
#3. Ενημερώστε τον εμπλεκόμενο οργανισμό
Είναι βέλτιστη πρακτική να επικοινωνήσετε με τη νόμιμη εταιρεία που εμπλέκεται και να τους ενημερώσετε ότι οι εισβολείς χρησιμοποιούν το όνομα της εταιρείας για να εξαπατήσουν τους χρήστες. Οι πληροφορίες επιτρέπουν στον οργανισμό να προειδοποιεί τους πελάτες του για τις απάτες.
#4. Απομονώστε τη συσκευή από το δίκτυο
Εάν το τηλέφωνο ή ο υπολογιστής σας έχει μολυνθεί, αποσυνδέστε τον από το δίκτυο για να αποτρέψετε τη μεταφόρτωση ευαίσθητων δεδομένων από το κακόβουλο λογισμικό ή άλλο εγκατεστημένο λογισμικό. Βοηθά επίσης στην προστασία άλλων μηχανημάτων στο δίκτυο.
Εκτός από την πρόληψη της εξάπλωσης του κακόβουλου λογισμικού σε άλλα μηχανήματα στο δίκτυο, η αποσύνδεση διασφαλίζει ότι η συσκευή δεν κλέβει και δεν ανεβάζει ευαίσθητα δεδομένα στο διαδίκτυο ή στο μηχάνημα του εισβολέα.
#5. Καθαρίστε τη Συσκευή
Χρησιμοποιήστε ένα αξιόπιστο εργαλείο για να καθαρίσετε τη μολυσμένη συσκευή και βεβαιωθείτε ότι τη συνδέετε μόνο όταν δεν μπορεί να προκαλέσει ζημιά. Μπορείτε να εξετάσετε το ενδεχόμενο επαναφοράς του συστήματος σε προηγούμενη καλή κατάσταση, όπως μια εβδομάδα πριν από την επίθεση. Επίσης, αλλάξτε τους κωδικούς πρόσβασης και τα PIN για τους παραβιασμένους λογαριασμούς.
συμπέρασμα
Κάθε άτομο και οργανισμός που χρησιμοποιεί κινητές συσκευές και υπολογιστές είναι ευάλωτος σε επιθέσεις smishing και phishing. Οι επιθέσεις Smishing συχνά στοχεύουν χρήστες κινητών τηλεφώνων, ενώ το phishing επικεντρώνεται σε χρήστες email.
Είτε έτσι είτε αλλιώς, οι spammers χρησιμοποιούν τεχνικές κοινωνικής μηχανικής για να εξαπατήσουν τους χρήστες να αποκαλύψουν κωδικούς πρόσβασης, τραπεζικά στοιχεία και άλλες ευαίσθητες πληροφορίες. Τα περισσότερα μηνύματα ηλεκτρονικού ψαρέματος και smishing email και SMS μπορούν να παρακάμψουν τα φίλτρα ανεπιθύμητης αλληλογραφίας και άλλες λύσεις ασφαλείας. Κατά συνέπεια, αυτά μπορεί να κάνουν τους χρήστες να πιστεύουν ότι τα μηνύματα είναι νόμιμα και καθαρά.
Η επαγρύπνηση και η γνώση των βέλτιστων πρακτικών για την ασφάλεια στον κυβερνοχώρο μπορεί να βοηθήσει στην πρόληψη της κλοπής δεδομένων και ταυτότητας. Ο καλύτερος τρόπος αποτροπής επιθέσεων είναι να μάθουν οι χρήστες πώς να αναζητούν σημάδια επίθεσης smishing έναντι phishing, όπως επείγοντα χαρακτήρα, άγνωστοι αποστολείς, αιτήματα αποκάλυψης ευαίσθητων πληροφοριών και πολλά άλλα. Μόλις υποψιαστείτε μια επίθεση, αγνοήστε το μήνυμα και επιβεβαιώστε εάν ο αναφερόμενος οργανισμός σας έστειλε το μήνυμα.
Στη συνέχεια, τι είναι οι επιθέσεις spooling και πώς να προστατευτείτε από αυτές;