פישינג (דיוג) -באנגלית Phishing היא צורת התקפה מסוג הנדסה חברתית, שבה עבריין הסייבר מתחזה לגוף אמין תוך שהוא מבקש פרטי מידע רגישים מהקורבן.
מה זה בעצם פישינג?
האם הגיע אליכם אי פעם הודעת דואר אלקטרוני, הודעת SMS , או הודעה כזאת או אחרת, שהתחזתה להודעה מהבנק, משירות תשלומים כזה או אחר (PAYPAL לדוגמא), או כל שירות מקוון פופלרי אחר, שהתבקשתם "לאמת" את פרטי החשבון וכניסה שלכם, את מספר כרטיס האשראי, או מידע רגיש אחר?
אם נתקלתם בהודעה כזאת, אתם כנראה יודעים איך נראית מתקפת פישינג קלאסית.שיטות אלו משמשות את התוקף(ים) כדי לשים ידיהם על נתוני משתמש קריטיים שהתוקפים יכולים לנצל לשימוש אישי למטרותיהם הזדוניות, כמו סחיטה, גניבת כסף, או גניבת זהות או לחילופין למכור את הפרטים הללו במקומות מפוקפקים.
מהיכן המילה פישינג?
הרעיון הזה תואר לראשונה במאמר משנת 1987 בשם "אבטחת מערכות: נקודת המבט של פורץ", שכתבו ג'רי פליקס וכריס הוק. מאמר זה דן בטכניקה המתארת תוקף המתחזה לגוף או לשירות מהימן. המילה עצמה (Phishing) דומה מאוד למילה דיג (Fishing), מכיוון שגם במקרה זה משתמשים בפיתיון כדי להעלות קורבן. האותיות Ph בתחילת המילה הן אזכור לקבוצת Phreakers”, קבוצה של האקרים שעשתה ניסויים ברשתות תקשורת וחקרה את גבולותיהם באופן בלתי-חוקי בתחילת שנות ה-90.
מתקפות פישינג קיימות כבר מספר שנים, ובמהלך הזמן הזה התוקפים פיתחו טווח רחב של שיטות לפגיעה בקורבנות.
שיטת הפישינג הנפוצה ביותר היא התחזות לבנק או למוסד פיננסי אחר באמצעות הודעת דוא"ל, במטרה לגרום לקורבן למלא טופס מזויף, הנמצא בגוף המייל או בקובץ מצורף, או לגשת לדף אינטרנט שיבקש מהקורבן להזין את פרטי החשבון או את פרטי הכניסה לחשבון המקוון.
בעבר היה שימוש רחב בשמות דומיין (כתובות אינטרנט) הכוללים טעויות כתיב. כיום התוקפים משתמשים בשיטות מתוחכמות יותר שהופכות את הקישורים והדפים המזויפים לכאלו שמזכירים מאוד את השירותים הלגיטימיים.
המידע שנגנב מהקורבנות בדרך כלל מנוצל כדי לרוקן את חשבונות הבנק שלהם, או נמכר באינטרנט.
ניתן לבצע מתקפה דומה גם באמצעות שיחת טלפון (vishing) או באמצעות הודעת SMS .
פישינג ממוקד (Spearfishing)
זוהי שיטת פישינג מתקדמת יותר בה הודעות פישינג אותנטיות למראה מגיעות לתיבות הדוא"ל של קבוצות, ארגונים או אנשים ספציפיים. היוצרים של אותן הודעות דוא"ל מבצעים מחקר מעמיק על המטרה (או המטרות שלהם) מראש, מה שמקשה על זיהוי התוכן כניסיון מרמה.
מתקפות שמתמקדות באנשים ספציפיים, לרוב אנשי עסקים בפרופיל גבוה – כמו מנהלים בכירים או בעלי החברה – נקראות Whaling (מהמילה Whale – לוויתן), שם שמראה על השכר הגבוה שהם עשויים להשיג (החבר'ה הרעים רודפים אחרי "הדג הגדול").
גם הודעת דוא"ל או הודעה אלקטרונית אחרת שמכילה לוגואים רשמיים או סימנים אחרים של ארגון מהימן יכולה להגיע מעברייני סייבר. אנו מביאים כאן כמה עצות שיעזרו לכם לזהות הודעת פישינג.
עצות שיעזרו לכם לזהות הודעת פישינג
- הקדמה גנרית או לא-רשמית – אם ההודעה אינה אישית (למשל, כתוב בה "לקוח יקר" ולא את שמכם) ואינה כתובה בשפה רשמית, ייתכן שמשהו אינו כשורה. אותו כלל חל גם על הודעות שרק נראות כאילו הן מופנות אישית לאדם מסוים ומשתמשות במספרי זיהוי אקראיים ומזויפים.
- בקשת פרטים אישיים – טכניקה נפוצה בקרב מדייגים, שבנקים, מוסדות פיננסיים ורוב השירותים המקוונים נמנעים ממנה.
- תחביר לא-תקין – טעויות איות וביטויים מוזרים מצביעים בדרך כלל על כך שמדובר בהודעה מזויפת (אך היעדרם לא בהכרח אומר שההודעה היא לגיטימית).
- עיתוי בלתי-צפוי – ברוב המקרים הבנק או השירות המקוון לא ייצרו איתכם קשר מבלי שביקשתם. הודעה בעיתוי בלתי צפוי היא בלתי-רגילה ולכן יש לחשוד בה.
- תחושת דחיפות – בדרך כלל הודעות פישינג מנסות לגרום לפעולה מהירה ללא חשיבה מוקדמת.
- הצעה שאי אפשר לסרב לה – אם תוכן ההודעה טוב מדי מכדי להיות אמיתי, היא כנראה אינה אמיתית.
- דומיין (כתובת אינטרנט) חשודה – האם בנק ישראלי או אמריקאי ישתמש בדומיין סיני?
כיצד תוכלו להגן על עצמכם מפני פישינג?
כדי להימנע מנפילה במלכודתם של תוקפי מתקפת פישינג, שימו לב לכל סימני האזהרה שמסגירים את רוב הודעות הפישינג:
- היו מודעים לטכניקות הפישינג החדשות: עקבו אחר דיווחים אודות מתקפות פישינג חדשות בתקשורת. התוקפים עשויים להמציא שיטות חדשות להפלת הקורבנות במלכודת.
- אל תמסרו את פרטיכם האישיים: היזהרו מהודעות אלקטרוניות מגוף מהימן-לכאורה שמבקשות את פרטי הכניסה שלכם או פרטים רגישים אחרים. אם יש צורך, וודאו את תוכן ההודעה עם השולח או הארגון אותו הוא מייצג לכאורה (באמצעות דרכי יצירת הקשר המוכרות, ולא אלו שמצוינות בהודעה).
- חשבו פעמיים לפני שאתם לוחצים: אם להודעה החשודה מצורף קישור או קובץ, אל תלחצו עליו או תורידו אותו. אם תעשו זאת, ייתכן שהלחיצה הזאת תוביל אתכם לאתר אינטרנט זדוני או תדביק את המכשיר שלכם בנוזקה.
- בדקו את החשבונות המקוונים שלכם באופן קבוע: גם אם אתם לא חושדים שמישהו מנסה לגנוב את פרטי הגישה שלכם, בדקו את חשבון הבנק ואת יתר החשבונות המקוונים שלכם וחפשו פעילות חשודה, ליתר ביטחון.
- השתמשו בפתרון אנטי-פישינג מהימן: השתמשו בטכניקות האלה ותוכלו "להנות מטכנולוגיה בטוחה יותר".
דוגמאות מוכרות של פישינג
פישינג שיטתי החל ברשת (America Online) AOL בשנת 1995. התוקפים השתמשו בתוכנת המסרים המידיים של AOL (שנקראה AIM) כדי לגנוב פרטי חשבון לגיטימיים, בדרך כלל תוך התחזות לעובדי AOL שמוודאים את סיסמאות המשתמשים. המונח "פישינג" הופיע בקבוצה חדשותית ברשת Usenet שהתמקדה בכלי שנקרא AOHell שהוסיף אוטומטציה לשיטת פעולה זו, ומאז נקבע השם "פישינג". לאחר ש-AOL הציגה אמצעי נגד למתקפה זו בשנת 1997, התוקפים הבינו שהם יכולים להשתמש באותה טכניקה בחלקים אחרים של הרשת, והחלו להתחזות למוסדות פיננסיים.
דוגמה של מתקפת פישינג Phishing
אחד מניסיונות הפישינג הגדולים (למרות שניסיון זה נכשל) ניצל את התוהו ובוהו לאחר מתקפות ה-11 בספטמבר. התוקפים שלחו הודעות מייל שביקשו לבדוק את תעודת הזהות של הקורבנות, וניסו לנצל את המידע שהשיגו כדי לגנוב פרטים כספיים משירות המטבע הדיגיטלי e-gold.
לטכניקת הפישינג לקח רק עוד שלוש שנים לקבוע דריסת רגל בעולם הרשת ועד 2005 היא הביאה לנזק של 900 מיליון דולר בקרב משתמשי האינטרנט בארצות הברית.
לפי דוח הפישינג העולמי של APWG, בשנת 2016 אותרו מעל 250 אלף מתקפות פישינג יחודיות, המשתמשות במספר שיא של שמות דומיין שנרשמו במטרה זדונית – מעל 95 אלף שמות דומיין. בשנים האחרונות, תוקפים התמקדו בדרך כלל בשירותי בנקאות ושירותים פיננסיים, במשתמשים הקונים ברשת ובפרטי גישה לרשתות חברתיות ולתיבות מייל.
OMF -Onet Mail Filter
עם שירות הסינון דואר של Onet, אתה יכול להיות רגוע,שהמיילים שלך נקיים מוירוסים, דיוג, וכופר,ההצטרפות קלה ופשוטה, הצטרף עכשיו!
הגנה על המחשב עם ESET, הגנה מפני פישינג
ESET INTERNET SECURITY
חבילת אבטחה מתקדמת נגד איומי רשת
הגנה חזקה הכוללת אנטי וירוס ו-Internet Security לגלישה בטוחה ומהנה יותר
חלק מהמאמר נלקח מיצרן ההגנה ESET, ההגנה הטובה על המחשב שלך!
