Какво представлява вишингът?
Вишингът се дефинира като атака за киберсигурност, при която злонамерен субект се свързва с жертвата по телефона и се опитва да спечели доверието ѝ чрез практики на социално инженерство, за да получи поверителни данни, да изтегли средства или да навреди по друг начин на лицето.
По същество това е вид фишинг атака, извършвана чрез гласови медии, поради което се нарича вишинг атака.
Механизъм за вишинг атака
Вишингът обикновено е под формата на спешно или обезпокоително телефонно обаждане. Например обаждащият се може да твърди, че сметката на жертвата е била хакната и че се нуждае от ПИН код, за да потвърди самоличността си или да отвори отново сметката.
Възможно е също така да твърдят, че се обаждат от името на правителствена агенция, като например Службата за вътрешни приходи (IRS) или Администрацията за социално осигуряване. Те дори могат да настояват, че жертвата дължи пари или е спечелила конкурс.
Това са все случаи на "вишинг" (както беше обсъдено, фраза, която смесва "глас" и "фишинг", за да обозначи телефонна измама). Фишингът е термин, който се използва за описание на всяко усилие на киберпрестъпниците да подмамят хората да предадат пари, лични данни или секретна информация. По подобен начин електронната поща и системите за изпращане на кратки съобщения или текстови съобщения ("smishing") също могат да се използват за извършване на измами.
Вишингът е киберпрестъпление, при което престъпниците използват телефоните на жертвите, за да извлекат информация, която би навредила на лицето или би била от полза за извършителя по някакъв начин.
Кибер измамниците използват сложни техники за социално инженерство, за да убедят жертвите да предоставят лични данни и дори достъп до банкови сметки или търговски тайни. Подобно на smishing и phishing, вишингът се фокусира върху убеждаването на жертвите, че да се съгласят с исканията на обаждащия се е правилният отговор. Обаждащите се често се представят за държавни органи, данъчна агенция, финансова институция на жертвата или полиция.
Успехът на тази тактика зависи от ефективното социално инженерство, т.е. от използването на психологията на човека за създаване на убедителен ефект. Извършителите на вишинг използват заплахи или позитивно убеждаване, за да накарат жертвите да почувстват, че трябва да предоставят исканата информация. Жертвите могат също така да получат заплашителни гласови съобщения, в които им се казва, че рискуват да бъдат преследвани или банковите им сметки да бъдат замразени, ако не се обадят правилно.
Как работи вишингът?
Фишинг нападателите често използват подмяна на идентификатора на обаждащия се, за да заблудят жертвите, че телефонното обаждане идва от доверен бизнес или от местен квартал.
Те често се представят за доверени лица, за да подмамят жертвите да споделят данните си. Например те могат да се представят за ръководител на банка или агенция за кредитни карти, за кредитор или за представител на данъчната служба. Тези измамници създават усещане за спешност, когато набелязаната жертва отговори на телефона, за да се възползват от чувствата ѝ и да я принудят да отговори на исканията.
Вишингът може да бъде под различни форми, но целта винаги е една и съща: да се подведе жертвата да разкрие лична информация с цел парична печалба или извършване на други престъпления, като например кражба на самоличност.
Една от причините тези атаки да са убедителни е, че измамниците могат да използват лична информация, получена от други източници, за да придадат легитимност на опитите за вишинг.
Най-често срещаните видове вишинг
1. Набиране на номер
2. Атаки, базирани на VoIP
3. Подправяне на идентификатора на обаждащия се
4. Пречистване в контейнери
1. Набиране на номер
При набирането на номера се използват различни видове технологии за автоматично набиране на голям брой телефонни номера в бърза последователност, обикновено с цел откриване на пропуски в сигурността и ИТ инфраструктурата.
Хакерите често използват инструменти за набиране на номера, за да намерят незащитени модеми, понякога известни като "wardialers" или "demon dialers". Това отнема много малко време
ако измамникът открие списъка с номерата, които са свързани с модемите.
2. Атаки, базирани на VoIP
Преносът на глас и мултимедийно съдържание чрез интернет връзка е известен като Voice over Internet Protocol (VoIP). Потребителите могат да осъществяват гласови повиквания чрез VoIP чрез своите компютри, смартфони, други цифрови платформи, като VoIP телефони и сайтове с поддръжка на Web Real Time Communication (WebRTC).
VoIP е полезна технология както за частни лица, така и за фирми, тъй като често съдържа допълнителни възможности, които не се срещат в традиционните телефонни системи. Тя е полезна и за бизнеса като средство за обединяване на комуникациите.
За съжаление VoIP може да бъде използвана от измамниците за иницииране на вишинг атаки. Нападателят регистрира домейн и създава фишинг страници, които приличат на страницата за вход в мрежата на организацията. В резултат на това VoIP повикванията, инициирани от заплахата, изглеждат като произхождащи от същата мрежа. Освен това, тъй като VoIP често изисква многофакторно удостоверяване, обаждащият се може да поиска от жертвата да посети измамната страница и да сподели своите данни.
3. Подправяне на идентификатора на обаждащия се
Споофингът се проявява, когато обаждащият се умишлено фалшифицира информацията, изпратена на екрана за входящо повикване, за да скрие самоличността си. Измамниците често използват техниката "подправяне на съседа", за да накарат идентификатора на обаждащия се да изглежда, че идва от местен номер, или да се представят за компания или държавна институция, на която жертвата вече има доверие.
Ако такова обаждане бъде прието, нападателят се опитва да открадне средства или важни данни, които могат да бъдат използвани за измамни дейности. Сценариите за измама са важна част от атаките с подправяне на идентификатора на обаждащия се, тъй като те допълнително засилват убеждението, че обаждащият се е легитимен.
4. Пречистване в контейнери
Претърсването на кофите за боклук - както физически, така и цифрови - принадлежащи на банки, корпоративни сгради и други институции е лесен и популярен начин за събиране на информация за контакт на жертвите на вишинг.
Престъпниците могат да съберат достатъчно информация от унищожени документи, изхвърлени устройства за съхранение, стари календари, фотокопия и т.н., за да извършат фокусирана върху темата spear-phishing атака.
Предотвратяване на фишинг атаки: осем най-добри практики за 2022 г.
След като човек стане жертва на вишинг атака, е трудно да се обърнат последиците от нея и да се възстановят щетите. Дори ако правоприлагащите органи идентифицират извършителя, възстановяването на щетите е предизвикателство. Ето защо е от решаващо значение да предприемете проактивни стъпки за предотвратяване на вишинг атаки, като следвате тези най-добри практики:
Добри практики за предотвратяване на вишинг
1. Имате VPN връзка
Виртуалната частна мрежа (VPN) защитава информацията, споделяна в интернет, и затруднява измамниците да се доберат до данните ви за контакт.
VPN услугата криптира мрежовия трафик и го изпраща през защитен тунел, преди да достигне до VPN сървър, който маскира неговия IP адрес. В резултат на това участниците в заплахите няма да знаят местоположението ви, което затруднява извършването на атаки със социален инженеринг. Намерената жертва може просто да попита обаждащия се за местоположението му, за да провери дали обаждането е легитимно.
2. Бъдете нащрек за "спешни" обаждания.
Когато обаждащият се създава усещане за спешност, трябва да го считате за червен флаг. Например вишестоящите може да се опитат да убедят жертвата, че може да има негативни последици, ако действително не предаде банковите си данни или не плати незабавно неплатена сметка.
Можете да оставите слушалката или да поискате данните за контакт на обаждащия се и да му кажете, че ще му се обадите по-късно. Ако става дума за измама, обаждащият се обикновено ще окаже по-голям натиск или ще се откаже.
3. Използване на инструменти за блокиране на обаждания
Инструментите за блокиране на роботизирани повиквания, известни като филтри за повиквания, са компютърни програми, които откриват автоматични повиквания. Ако трето лице е използвало техники за набиране на повиквания, блокерът на повиквания ще ги идентифицира и блокира незабавно.
4. Въвеждане на вътрешни процеси
Кой вдига слушалката, когато звъни общият номер на организацията? Може ли телефонът лесно да попадне в ръцете на неподходящ служител?
Предаването на телефона от един потребител на друг може да създаде объркване и да накара служителите в организацията да изгубят представа кой е от другата страна на обаждането.
Наемането на специален рецепционист, който да филтрира лошите от добрите, може да бъде полезно, когато е необходимо, и да гарантира, че всички служители проверяват кой се обажда, когато предават обаждането на друг.
Друг вариант е да се създаде процес, при който получателят потвърждава директно с "искащия" чрез друг официален канал, преди да предаде телефона.
5. Уверете се, че всички устройства имат многофакторно удостоверяване.
Използването на пароли с висока степен на сигурност е много добре, но многофакторното удостоверяване осигурява допълнителни нива на сигурност, които гарантират, че профилът ви не може да бъде компрометиран с една парола.
Google обяви, че до 2021 г. многофакторното удостоверяване ще бъде задължително за 150 милиона потребители, за да се осигури повишено ниво на сигурност срещу заплахи и по този начин да се намали броят на компрометираните акаунти с 50%.
Заключение
Вишингът може и да не е основен проблем за вашата организация, но би трябвало да бъде. Без значение колко интелигентни или способни са вашата компания и колегите ви, тактиките на социалното инженерство са достатъчно мощни, за да хванат всеки неподготвен.
След като вече знаете за вишинга, е важно да споделите тази информация със служителите си.
Нека знаят, че разпитването на обаждащия се и проверката на информацията с някого по официални канали може да бъде разликата между сигурни данни и риск от киберинцидент или нарушение на сигурността на данните.
