Рыбалка кибермошенников, или как защитить свои деньги в Интернете
Рынок электронных платежей в Украине и мире стремительно растет, а с ним увеличивается и количество угроз. Эксперты предупреждают о том, что профессионализм интернет-преступников повышается с каждым годом, как и разнообразие используемых ими методов обмана. Однако самым популярным до сих пор остается фишинг. Как работает современный фишинг, какие виды его бывают, и как обезопасить свои финансы в интернете — попробуем в этом разобраться.
Основной целью фишинга (англ. phishing, от искаженного fishing — рыбная ловля) является получение доступа к конфиденциальным данным пользователей. Долгосрочный «успех» этого метода интернет-мошенничества объясняется низкой осведомленностью пользователей о мерах безопасности и их доверчивостью.
Чаще всего фишинг осуществляется путем массовой рассылки электронных писем от имени известных брендов или банков. В таком письме содержится прямая ссылка на сайт, которую внешне сложно отличить от настоящей, или ссылка на сайт с перенаправлением. Перейдя по ссылке, пользователь попадает на поддельную страницу банка, где различными психологическими приемами его побуждают ввести свой логин и пароль для доступа в интернет-банк. Именно таким образом преступники получают доступ к учетным записям и банковским счетам.
По данным «Лаборатории Касперского», в первом квартале 2015 года топ-10 стран по количеству фишинговых атак на пользователей выглядел следующим образом:
Различают несколько видов фишинга. Прежде всего, это почтовый, онлайновый и комбинированный фишинг.
Почтовый фишинг заключается в рассылке «червей», троянских программ и других вирусов. Опасность его заключается в том, что злоумышленники могут обходить установленные на компьютере спам-фильтры. А также фишинговые сообщения могут принимать вид официальной страницы банка и этим ввести пользователя в заблуждение.
Онлайн-фишинг заключается в создании поддельной страницы онлайн-банкинга, которой пользуется клиент, причем отличить ее от оригинала крайне сложно. Ничего не подозревая, пользователь вводит на такой странице свой логин и пароль, а мошенники быстро перехватывают эти данные, чтобы в дальнейшем использовать их для входа в аккаунт жертвы и перевода денег на свои счета.
Комбинированный фишинг подразумевает создание поддельного сайта банка, на который завлекаются потенциальные жертвы. Мошенники якобы от имени банка ведут переписку с пользователем, рассказывают о новых интересных банковских продуктах и рекомендуют совершить некоторые операции самостоятельно, например, перевести средства с вашего счета на открытый специально для вас депозит. В результате этого, как и в предыдущих случаях, мошенники получают доступ к счету пользователя и переводят деньги на свои счета.
У фишинга также есть несколько разновидностей, о которых мало кто наслышан. Различают вишинг, смишинг и фарминг. Чем отличаются эти виды интернет-мошенничества?
Вишинг, или голосовой фишинг, заключается в использовании возможностей интернет-телефонии (VoIP) для кражи паролей доступа, номеров банковских карт и т. д. Механизм выглядит следующим образом: потенциальную жертву якобы от имени банка просят перезвонить по бесплатному номеру телефона для уточнения суммы остатка на счете или по карте. На другом конце линии пользователя «заговаривает» автоответчик, а в конце просит ввести номер счета и PIN-код. Как только эта информация попадает к мошенникам, они переводят все деньги на свой счет.
Таким образом, использование протокола VoIP позволяет компаниям снизить расходы на телефонную связь, но при этом делает сети более уязвимыми для атак. К сожалению, эффективных средств для профилактики вишинга пока нет.
Смишинг, или смс-фишинг, заключается в рассылке смс-сообщений пользователям от якобы надежного отправителя, к примеру, банка. В смс-сообщении потенциальную жертву просят отправить некоторые конфиденциальные данные, как то номер карты и PIN-код. Зачастую в смс-сообщении также может быть указана ссылка на поддельную страницу банка, на которой пользователя просят ввести те же данные. Ирония еще и в том, что отправляя личные данные преступникам в смс-сообщении, вы не только открываете им доступ к своим средствам, но и теряете деньги с мобильного счета, поскольку смс оказывается платной.
На самом деле, следует помнить, что банк никогда не будет звонить или писать вам и запрашивать номера банковских карт, PIN-коды, логины и пароли к онлайн-банкингу и другую конфиденциальную информацию.
Фарминг подразумевает замену DNS-адресов, то есть перенаправление пользователя по ложному адресу. Злоумышленники заменяют на серверах настоящих сайтов DNS-записи, в результате чего посетитель перенаправляется на похожий, но поддельный сайт. Выявить мошенничество и отличить подделку в этом случае сложнее всего. Кроме этого, специальных механизмов защиты от фарминга не существует. Поэтому необходимо контролировать входящие письма, пользоваться антивирусами, закрывать окна предварительного просмотра в почтовом клиенте и прочее.
Аналитики прогнозируют дальнейшее активное развитие финансового мошенничества, в частности, с использованием методов социальной инженерии и фишинга. Банки знают об этой опасной тенденции и наращивают вложения в информационную безопасность, ведь именно их клиенты наиболее уязвимы к таким угрозам и наиболее привлекательны для киберпреступников. Однако только соблюдения правил безопасного хранения личных данных и использования финансов в интернете самим интернет-пользователем позволит сохранить средства и противостоять растущему кибермошенничеству. Напомним основные из них.
Не сообщайте номер своей банковской карты и PIN-коды неизвестным людям, как в интернете, так и в смс-переписке.
Регулярно обновляйте антивирусную программу на своем компьютере.
Обращайте внимание на страницу банка и других платежных провайдеров в интернете. Если она загружена не через безопасный протокол HTTPS (зеленый замок слева от адресной строки), то лучше ее покинуть.
Не вводите реквизиты платежной карты с компьютеров общественного пользования.
Подключайте смс-уведомление к вашей карте, чтобы всегда быть в курсе всех текущих операций по ней.
Установите лимит на электронные операции по своей карте.
Не открывайте подозрительные ссылки из писем и смс-сообщения от незнакомых отправителей.
Используйте виртуальную клавиатуру для ввода логина и пароля к личному аккаунту в интернет-банкинге.
Используйте для платежей в интернете карты с поддержкой 3D-secure.
Если вы потеряли телефон, на который приходят коды верификации вашего платежного сервиса, немедленно заблокируйте SIM-карту.