Phishing: co to jest?

Phishing to rodzaj cyberataku polegającego na wysyłaniu ogólnych wiadomości e-mail przez cyberprzestępców podszywających się pod legalne firmy. E-maile te zawierają fałszywe linki służące do kradzieży prywatnych informacji użytkownika. Ataki phishingowe są najskuteczniejsze, gdy użytkownicy nie zdają sobie z nich sprawy.

Phishing jest metodą wyłudzania znaną od połowy lat dziewięćdziesiątych ubiegłego wieku. Zaczęło się od grupy młodych ludzi, którzy podszyli się pod administratorów chat roomów AOL. Ukradli numery kart kredytowych innych użytkowników, aby zapewnić sobie stały i bezpłatny dostęp do usług AOL.

Funkcja chat roomu AOL dla nowych użytkowników została stworzona dla osób potrzebujących pomocy z dostępem do witryny. Hakerzy tworzyli nazwy przypominające prawdziwe nazwy administratorów AOL, np. „BillingAccounting”, i informowali użytkowników, że wystąpił problem z dostępem do ich konta. 

Następnie prosili ich o podanie numeru karty, aby rozwiązać problem. Potem przestępcy wykorzystywali te dane do płacenia za własne konta. Choć termin „phishing” początkowo oznaczał właśnie tego typu ataki, obecnie głównie kojarzy się z próbami ataku przez pocztę e-mail. Do dnia dzisiejszego oszustwa metodą phishingową są jednymi z najczęstszych. Według Raportu Verizon na temat śledztw w sprawie naruszenia ochrony danych (DBIR) w 36% przypadków jest wykorzystywany phishing.

Ponieważ phishing opiera się głównie na inżynierii społecznej, konieczne jest zrozumienie, w jaki sposób działają atakujący, wykorzystujący ludzką naturę. Po pierwsze, inżynieria społeczna jest oszustwem, które hakerzy wykorzystują, aby przekonać użytkowników do zrobienia czegoś, czego normalnie by nie zrobili.

Może przybrać tak prostą formę, jak poproszenie kogoś o otwarcie drzwi, bo ma się zajęte ręce. Analogicznie, atak z wykorzystaniem inżynierii społecznej może zacząć się od porzucenia przez kogoś pamięci USB z podpisem „zdjęcia rodzinne” na parkingu. Taka pamięć może zawierać malware, który zainstaluje się na komputerze, narażając jego bezpieczeństwo. Nazwa tej techniki to baiting.

Terminem phishing określa się głównie ogólne ataki z wykorzystaniem poczty elektronicznej. Polegają one na wysyłaniu wiadomości e-mail na jak największą liczbę adresów z wykorzystaniem wizerunku powszechnie używanych usług, takich jak PayPal czy Bank of America.

W wiadomości jest napisane, że doszło do włamania na konto i należy kliknąć odnośnik, aby sprawdzić, czy wszystko jest w porządku. Skutki kliknięcia tego łącza mogą być dwojakie:

1. Może nastąpić przekierowanie do złośliwej strony przypominającej prawdziwy portal, np. „www.PayPals.com” zamiast „www.PayPal.com”. Zwróć uwagę na dodatkowe „s” w pierwszym adresie. Kiedy użytkownik wejdzie na spreparowaną stronę i spróbuje się na niej zalogować, haker przejmie jego nazwę użytkownika i hasło.
   
   W ten sposób haker może uzyskać dostęp do jego konta bankowego i wytransferować z niego środki gdzie tylko zechce. Jest jednak jeszcze druga możliwość. Kiedy haker wejdzie w posiadanie czyjegoś hasła, może spróbować go użyć do zalogowania się do innych serwisów, takich jak Amazon czy eBay.
2. Może zainfekować czyjś komputer przez pobranie złośliwego oprogramowania zwanego malware. Tak zainstalowany program może zostać wykorzystany do przeprowadzenia ataków w przyszłości. Może to być na przykład aplikacja zapisująca naciskane klawisze, a więc rejestrująca loginy i numery kart kredytowych, albo oprogramowanie ransomware szyfrujące zawartość dysku twardego i żądające zapłaty za jej rozszyfrowanie, najczęściej w bitcoinach.
   
   Możliwe też, że haker postanowi wykorzystać przejęty komputer do wydobywania bitcoionów. Może to robić, kiedy użytkownik nie korzysta z komputera lub przez cały czas przez wykorzystanie części mocy obliczeniowej procesora. Kiedy haker wydobywa bitcoiny na czyimś komputerze, ten zazwyczaj działa znacznie wolniej niż normalnie.

W toku wielu lat ewolucji phishing przybrał wiele form w zależności od typów danych. Oprócz pieniędzy, celem ataków mogą być także dane wrażliwe lub zdjęcia.