Когда "ловят" твои данные на крючок: что такое фишинг и как украинцам уберечься от него

Основа любых цифровых сервисов — безопасность и удобство, ведь они помогают пользователям сэкономить свое время, ресурсы и силы, и при этом чувствовать себя защищенными, находясь в онлайне.

Со своей стороны, разработчики, государство, делают цифровые услуги максимально безопасными, но пользователи тоже должны ответственно относиться к своим персональным данным. В частности, чтобы не попасть "на крючок" мошенников. Невнимательное отношение к персональным данным — это то же самое, что ходить с открытой сумкой по рынку, сверкая кошельком перед ворами.

Думаю, вы часто попадали в такую ​​ситуацию. Вам звонят с незнакомого номера. На том конце трубки приятный голос называет себя работником службы поддержки какого-то банка. Вам говорят: "Ваш счет пытались взломать. Впрочем, мы предотвратили этот случай, но нам надо проверить, все ли в порядке. Назовите, пожалуйста, номер вашей карточки и код".

Преимущественно, все работает таким образом, что человек не успевает сориентироваться из-за паники и сообщает свои персональные данные. Только потом выясняется, что это были злоумышленники. А сотрудники банка ни в коем случае не спрашивают никакой информации, которая могла бы помочь похитить ваши деньги.

Этот мошеннический метод называется фишингом. Он довольно распространен среди интернет-преступников. Например, с начала пандемии СOVID-19 в мире произошло более 18 миллионов фишинговых атак. В основном, мошенники предлагали бесплатные маски в обмен на заполнение анкеты с персональными данными. Предлагали пройти платную вакцинацию, но требовали предоставить данные банковской карты.

Что такое фишинг?

Фишинг — вид мошенничества, целью которого является выманивание у доверчивых или невнимательных пользователей Сети их персональных данных.

Используя неосведомленность граждан в вопросах кибергигиены, мошенники собирают информацию. Например, для снятия денег с вашей карты, проведения финансовых или других операций от вашего имени, на которые вы не давали свое согласие. Мошенники используют различные механизмы воздействия (электронное письмо, SMS-сообщения) для того, чтобы пользователь самостоятельно раскрыл о себе какую-то частную информацию.

Как он работает?

Вы получаете электронное письмо на личный электронный адрес. Например, письмо пришло от какого-то ЦНАП, что доступ к вашему аккаунту на портале "Дия" был скомпрометирован, поэтому вам нужно проверить логин и пароль. Обычно в таких сообщениях пытаются писать тексты таким образом, чтобы смутить пользователя, а в некоторых случаях и напугать, что кто-то пытается взломать страницу.

Также сейчас распространен фишинг от имени банков. Приведу один из последних примеров. Злоумышленник нашел уязвимость на сайте компании plantmatic.net и разместил там свою фишинговую страницу, с которой делал массовую рассылку.

Людям приходило письмо якобы от банка "Райффайзен". В нем говорилось о том, что кто-то пытается взломать аккаунт, а также просили проверить безопасность аккаунта по ссылке, будто бы на официальной странице банка.

Важно

Остапы Бендеры цифровой эпохи. Топ-5 схем платежного мошенничества в Украине

Внешне все вроде бы понятно. Пользователь, получив такое письмо, если он не является клиентом банка, просто удалит его. Впрочем, потенциальные клиенты банка могут поверить, зайти на страницу и ввести свои данные, ничего не подозревая. Но надо понимать, что фишинг — это скрытая охота. В ссылке скрыта гиперссылка #HTML именно на сломанный сайт plantmatic.net

Это и есть яркий пример фишинга. Человек нажимает будто на ссылку от банка и попадает на скомпрометированный сайт. Далее в цифровой форме он вводит свои личные данные и ожидает попасть в свой кабинет, а на самом деле никуда не попадает. Мошеннический алгоритм уже собрал данные, а злоумышленник их использует на настоящей странице банка.

Есть ли другие примеры фишинга?

Сегодня механизмы фишинга значительно эволюционировали: мошенники подделывают внешний вид сайтов максимально правдоподобно. Например, делают схожие названия сайтов — доменные имена. Вы можете получить сообщение на "Вайбер" от якобы "Новой почты" с соответствующим доменом https://novaposhta.at/, но не уделите внимание маленьким деталям: вместо UA имеем AT https://novaposhta.ua/.

Следует помнить, что фишинг всегда делают исключительно для того, чтобы завладеть персональными данными, с помощью которых злоумышленник сможет получить ваши деньги или от вашего имени выполнить определенные действия в цифровом пространстве. Но не все мошенники начинают действовать сразу: кто-то собирает определенное количество данных пользователей и продает их на закрытых площадках в Даркнете за сотни тысяч долларов.

Важно

Кража идентичности. Как номер мобильного делает вас уязвимым перед кибермошенниками

Довольно часто мошенники подгоняют пользователя, чтобы тот не успел заметить обман. В письмах могут написать, что ваш аккаунт взломали. Чтобы остановить мошенника, вам необходимо зайти по ссылке и ввести личные данные еще раз.

Так как же уберечься?

Очень просто. Надо придерживаться нескольких простых советов:

• Если вы получаете письма на ваш ящик в HTML-формате, всегда обращайте внимание на гиперссылку, проверяйте ее и только тогда переходите. Я пользуюсь почтовой программой, которая принимает письма не в формате HTML, а исключительно как TXT, игнорирует скрипты или исходный код.
• Применять двухфакторную идентификацию всегда и везде.
• Если ваш браузер сообщил, что ресурс скомпрометирован, не переходите по ссылке. Банки достаточно тщательно отслеживают вопросы сертификатов.
• Обращайте внимание на домен. Например, вот скомпрометированный домен, который вы видите в браузере http://plantmatic.net/secured/aval/ibank/, а вот оригинал https://raiffeisen.ua/privatnim-o…/rahunok/potochni-rakhunky банка "Райффайзен".
• Пользуйтесь банками, которые имеют собственное приложение.
• Также обращайте внимание, как к вам обращаются в письме. Например, письмо от банка без персонализации со словами "Уважаемый клиент банка". Любые подобные подозрительные письма и сообщения должны вызвать у вас беспокойство. Всегда лучше позвонить по официальным телефонным номерам соответствующих учреждений.