Что такое фишинг? Уловки мошенников

Фишинг и психологические манипуляции

Другой популярный и довольно старый тип обмана — фишинг. Если раньше преступники рассылали письма с сообщением о внезапном получении наследства, то сейчас ведут на сайты-клоны популярных ресурсов, которые сложно отличить от настоящих.

Чтобы добиться желаемого, преступники используют психологические манипуляции. Их цель — вывести жертву из состояния равновесия и вызвать сильные эмоции, например страх или злость. Для этого мошенники представляются сотрудниками банка или МВД или присылают письмо якобы от начальника, на которое нужно срочно отреагировать.

О чём обычно пишут в фишинговых рассылках

Расскажем о темах вредоносных писем. Это далеко не полный список возможных сценариев-ловушек: мошенники очень изобретательны и постоянно придумывают новые способы выманить ваши данные. Вредоносные кнопки и ссылки в таких письмах либо запускают вирусы, либо ведут на страницы, где вы сами вводите важные данные.

1.Кто-то взломал вашу почту и узнал пароль / Мы обнаружили подозрительные или мошеннические действия в вашей учётной записи / Кто-то изменил настройки безопасности вашей почты.

2.Ваша учётная запись заблокирована или отключена / Вы добавлены в чёрный список: мы поняли, что вы мошенник или бот!

3.Вам важный документ из налоговой, полиции, кредитной организации и т. п. К письму прикреплены файлы, имеющие неизвестные расширения и странные названия.

4.Письмо от вашего коллеги/партнёра с документами или «важными рабочими» ссылками.

5.Вы выиграли приз! Перейдите по ссылке, чтобы узнать условия получения и/или доставки.

6.Вы не погасили кредит — дело передаётся в суд.

Как распознать фишинговый сайт:

HTTP вместо HTTPS в адресе сайта

Это значит, что сертификата безопасности у сайта нет и соединение небезопасно. Если вы попали на сайт банка и видите в адресе HTTP, это повод усомниться в подлинности страницы. К сожалению, сейчас мошенник может легко получить бесплатный SSL-сертификат для своего фишингового сайта. Это в очередной раз доказывает, что серьёзная компания не станет пользоваться бесплатным сертификатом, а приобретёт его у проверенных поставщиков.

Странное или подозрительное доменное имя

Чтобы сбить с толку жертву, мошенники регистрируют доменные имена, похожие на названия крупных организаций. Но, если присмотреться, нестыковки будут очевидны: достаточно посмотреть на домен второго уровня. Например, вместо https://alfabank.ru фишинговый сайт будет называться http://alfabank.k.ru. Если сомневаетесь, найдите в поиске оригинальный сайт и сравните адреса — так вы поймёте, попали ли вы к мошенникам.

Ошибки, опечатки, странности в дизайне и вёрстке

На странице всё «прыгает» и наезжает друг на друга, где-то не хватает текста, а где-то целые предложения написаны капсом. Грубые орфографические ошибки перемежаются с призывами зайти, ввести, нажать и купить. Как правило, такие сайты являются фишинговыми — крупные организации, под которые маскируются мошенники, не могут позволить себе выглядеть так небрежно.

Вы всегда можете проверить подозрительный сайт на подлинность и наличие вирусов и спама. Воспользуйтесь подходящим вам сервисом, например:

AVG Threatlabs,

Kaspersky VirusDesk,

Google Transparency Report,

ScanURL,

PhishTank,

Urlvoid.com и др.

Как не попасться на фишинг. Меры безопасности в компании

1.Самое, на наш взгляд, важное: относитесь к кибератакам серьёзно сами и научите этому всех ваших сотрудников.

2.Используйте для аккаунтов компании только двухфакторную аутентификацию. Это метод идентификации пользователя по двум типам параметров. Например, сначала нужно ввести логин и пароль, а после — код из СМС или электронной почты. Реже — биометрические данные или специальный USB-ключ.

3.Для особенно важных аккаунтов, например, для доступа в системы ЭДО и бухгалтерские программы используйте eToken — материально существующий защитный ключ.

4.Переведите ваш сайт на защищённый протокол: HTTPS. Лучше использовать платный SSL-сертификат, это минимизирует риски взлома. Подробнее о SSL-сертификатах мы писали в статье «Я занимаюсь бизнесом и совсем не понимаю, что такое SSL-сертификаты».

5.Когда заливаете контент на сайт или создаёте резервную копию данных сайта, используйте зашифрованный протокол SFTP вместо открытого FTP.

Удаляйте все неактуальные и неиспользуемые аккаунты.

6.Используйте сервисы для защиты бизнеса, о них мы говорили выше.

Регулярно обновляйте пароли от почтовых аккаунтов сотрудников, корпоративных аккаунтов.

7.Запретите сотрудникам держать пароли на виду.

Регулярно следите за бекапами всего вашего контента, особенно информации на сайте и в облачных хранилищах.

8.Моментально реагируйте даже на малейшие намёки на подозрительную активность: меняйте пароли, блокируйте мошенников и проводите глубокую антивирусную проверку.