Krađa identiteta je vrlo popularan način krađe podataka od korisnika interneta, jer ne zahtijeva velike financijske troškove i univerzalan je alat – više društveni nego tehnološki. Zahvaljujući tome, prevarant ili grupa sličnih pojedinaca može se brzo prilagoditi novom načinu rada. Prevaranti danas također znaju puno i stalno se usavršavaju.
Siguran sam da je većina vas čula i susrela se s phishingom, no u mnogim slučajevima ste prošli pored njega ne shvaćajući što je to i koliko je opasno. Danas ću pokušati proširiti vaše znanje, te ću vam reći koliko je phishing opasan, kako ga prepoznati i kako se od njega zaštititi.
Što je phishing?
Najjednostavnija definicija phishinga je da je to metoda prijevare u kojoj kriminalci, predstavljajući se kao predstavnici pouzdanih institucija, zahtijevaju povjerljive podatke, najčešće - lozinke za ulazak u usluge elektroničkog bankarstva, interne mreže poduzeća, kao i brojeve platnih kartica i e-mail adrese, pošta
Za to napadači koriste zlonamjerne programe i pokušavaju koristiti društveni inženjering kako bi prisilili žrtve na poduzimanje određenih radnji koje će im pomoći da postignu željeni rezultat. Napadi usmjereni na obične korisnike relativno su jednostavni, ali kibernetički kriminalci sve više koriste sofisticiranije tehnike krađe identiteta koje zahtijevaju prikupljanje informacija o žrtvama kako bi ih uljuljkali da igraju po njihovim pravilima.
Kako funkcionira krađa identiteta?
Phishing, s kojim se obično bavimo, sastoji se od slanja posebno izrađenih e-mailova ili SMS-ova potencijalnim žrtvama. Sadrže poveznice na zlonamjerna web-mjesta na kojima se od internetskih korisnika traži da daju osjetljive podatke, što je obično prijava i lozinka za web-mjesto elektroničkog bankarstva. Na taj način dopuštate prevarantima da ukradu novac s vaših računa. Natjerati žrtvu da to učini najveći je izazov, pa kibernetički kriminalci neprestano smišljaju nove sheme kako bi ostvarili svoje planove. Nedavno je najčešći način krađe identiteta mikroplaćanja.
U zlonamjernim porukama možete "doznati" za obustavljeni paket usluga, blokiranu dražbu na mjestu ponude, odstupanje u iznosu računa, dugovanja poreznoj inspekciji ili dobavljaču energije, što će imati neugodne posljedice za tebe. Nedovoljna sredstva mogu se prenijeti putem stranice za brza plaćanja na koju se poveznica nalazi u poruci. Međutim, preusmjerava na stranicu koja izgleda varljivo slično popularnim stranicama kao što su PayPal ili DotPay. A podaci uneseni na njemu idu kriminalcima, što im omogućuje da u transakcijskom servisu uđu u račun žrtve i prebace financijska sredstva na svoje račune.
Kao što vidite, ovaj mehanizam je vrlo jednostavan, ali najveći problem prevaranta je natjerati žrtvu da dostavi podatke, tako da se stalno bavimo novim phishing kampanjama. Cyber kriminalci ne prijete uvijek neugodnim posljedicama. Popularna metoda je i širenje svijesti putem oglasa na web stranicama i društvenim mrežama s atraktivnim nagradama, uz mogućnost brze zarade ili čak dobivanja nasljedstva od nekog sada pokojnog kenijskog, američkog ili škotskog (odaberite svoju zemlju) milijardera , koji je vaš dalji rođak. U potonjem slučaju, slike poznatih ličnosti (naravno, bez njihovog pristanka) često se koriste za uvjeravanje u autentičnost prijevare.
No, phishing nije samo krađa osobnih podataka običnih korisnika interneta. Na taj način prevaranti sve više pokušavaju uvjeriti zaposlenike tvrtke da im daju login i lozinku za internu mrežu tvrtke ili da instaliraju zlonamjerni softver. To će im omogućiti otvoreni pristup bazi podataka tvrtke ili organizacije i dovesti do krađe raznih informacija.
Pročitajte također: 5 jednostavnih savjeta: kako stvoriti i upravljati lozinkama
Navedeni ciljani phishing najčešće se koristi u specifične svrhe. Ova metoda sastoji se u činjenici da kriminalci odaberu određenu osobu iz osoblja tvrtke i usmjere svoju pozornost na njega, prisiljavajući ga da igra na svom terenu. U zoni posebnog rizika nalaze se računovođe, tajnice i zaposlenici koji imaju pristup bazi podataka. Kriminalci mjesecima prikupljaju informacije o toj osobi i koriste ih kako bi prijevara izgledala što vjerodostojnije. Ponekad se prevaranti čak pretvaraju da su nadzornici ili pomoćno osoblje, prisiljavajući korisnika da instalira zlonamjerni softver na svoje računalo. Ovu vrstu phishinga teže je dešifrirati jer je personalizirana, što svakako otežava pronalazak napadača.
Pročitajte također: Edward Snowden: tko je on i što se zna o njemu?
Sve više organizacija suočava se s ovim problemom. Najbolji način da se takva prijetnja svede na najmanju moguću mjeru još uvijek je obuka i informiranje zaposlenika kako ne bi postali žrtve sofisticiranih kriminalaca. Ovo je trenutačno najbolja metoda zaštite od krađe identiteta jer antivirusni programi ponekad mogu otkriti zlonamjerni privitak u poruci e-pošte ili blokirati lažnu web stranicu, ali to ne čine u svim slučajevima. Zdrav razum i načelo ograničenog povjerenja najbolje su oružje u borbi protiv prijevara.
Kako prepoznati phishing poruke?
Nije uvijek lako predvidjeti postupke prevaranata, ali ako si ne dopustimo žurbu i smireno pristupimo svakoj, a posebno sumnjivoj poruci, provjerimo nekoliko njezinih elemenata, onda imamo dobre šanse da ne postanemo žrtva phishinga. Ispod su neki primjeri zlonamjernih poruka. Oni će navesti glavne elemente phishing napada koji bi vam trebali pomoći da ih prepoznate.
Obratite pozornost na pošiljatelja poruke
U većini slučajeva prevaranti se ne trude sakriti adresu s koje zlonamjerne poruke dolaze ili se nespretno lažno predstavljaju kao povjerljivi pružatelj usluga. Navedeni primjer jasno pokazuje da polje "Od" ne sadrži adresu s domene banke, kako tvrde kibernetički kriminalci. Umjesto toga, možete pronaći domenu *.com.ua ili *.org.ua umjesto *.ua, koju koriste financijske institucije koje posluju u Ukrajini. Ponekad su prevaranti lukaviji pa koriste adrese koje su slične uslugama koje lažno predstavljaju, ali se razlikuju od originala u malim detaljima, poput sadržaja pisma ili napomena uz njih.
Provjerite adresu povezane stranice
Posebnu pozornost u e-mail porukama treba obratiti na adrese stranica na koje se odnose. Suprotno izgledu, ne morate kliknuti na njih da biste vidjeli kamo će vas odvesti. Jednostavno zadržite pokazivač iznad veze i pričekajte da vaš preglednik ili program za e-poštu prikaže URL skriven ispod teksta. Posebnu pozornost treba obratiti na stranice koje nisu povezane s pruženom uslugom.
Uzmite si vremena
Žurba nikad nije dobar pomoćnik. Isto vrijedi i za analizu primljenih poruka koje dolaze na naš mail. Kriminalci često pokušavaju potencijalne žrtve natjerati na žurbu i, naravno, kako bi isprovocirali pogrešku. Trude se maksimalno ograničiti vremenski okvir promocije ili nagradne igre kada ćete primiti svoju nagradu ili novčanu nagradu.
U nekim slučajevima prevaranti čak prijete blokadom računa u bilo kojoj usluzi. Neka vas ovo ne zavara i uvijek dobro provjerite sumnjive poruke. Ne zaboravite da se besplatni sir može naći samo u mišolovci. Osim toga, organizatori nagradnih igara i promocija vjerojatno neće blokirati vaš račun. Trebaju pretplatnike i obožavatelje za druge ovakve promocije.
Traženje povjerljivih podataka uvijek je prijevara
Glavno načelo sigurnosti u elektroničkoj komunikaciji pružatelja usluga i njihovih korisnika je ne slanje povjerljivih podataka u korespondenciji. Ako se od vas traži da unesete prijavu i lozinku za uslugu jer vam je račun zaključan ili nešto slično, možete biti sigurni da su poruku poslali kriminalci. Međutim, ako imate bilo kakvih nedoumica, obratite se svom davatelju usluga, na primjer davatelju telefonskih usluga, koji će vam razjasniti sve nedoumice. Imajte na umu da vas ni banke, ni mobilni operateri ni drugi servisi nemaju pravo prisiljavati da im šaljete osobne podatke.
Pročitajte također: Zašto je danas bolje ne izlaziti na internet bez VPN-a
Poteškoće s prijevodom
Značajan dio phishing kampanja pripremaju strani kriminalci koji nemaju pojma o našem jeziku. Koriste se online servisima za prevođenje sadržaja e-mailova na ruski ili ukrajinski, što često ispadne prilično smiješno. Takve poruke nisu bez gramatičkih pogrešaka, nedostaju im interpunkcijski znakovi i puno je netočno napisanih riječi. Ako primijetite ovako nešto, slobodno obrišite poruku.
Čuvajte se priloga
Kriminalci također koriste zlonamjerni softver za krađu osjetljivih podataka ili hakiranje računala i cijelih mreža. Mehanizam djelovanja je isti, a radi se o pokušaju uvjeravanja žrtve da otvori zlonamjerni prilog. Najčešće su skriveni u ZIP ili RAR arhivama i u obliku su izvršnih EXE ili BAT datoteka. Međutim, zlonamjerni kod također može biti skriven u makronaredbama programskog dokumenta Microsoft Office ili Google Docs, stoga biste trebali obratiti pozornost na njih i skenirati ih antivirusnim programom prije pokretanja.
Obratite li pažnju na ove elemente prilikom analize sumnjivih poruka, vrlo vjerojatno nećete biti prevareni od strane kriminalaca.
Kako se zaštititi od phishinga?
Nažalost, ne postoji takav alat koji bi jamčio visoku razinu zaštite od ove vrste prevaranata. Da biste izbjegli krađu identiteta, morate koristiti nekoliko elemenata. Najvažniji od njih su zdrav razum i ograničeno povjerenje u svaku poruku. Zapamtite, mi smo na čelu borbe protiv kriminalaca i samo o vama ovisi koliko ćete im se učinkovito moći oduprijeti.
Također se preporučuju antivirusni programi, iako oni neće moći odrediti je li e-pošta koja se gleda phishing. Ali moći će blokirati neka opasna mjesta i privitke. Siguran sam da će vam antivirusni softver sigurno pomoći u zaštiti računala i osobnih podataka.
Pročitajte također: 10 najboljih programa za pohranu lozinki
Također je važno koristiti ažuran softver, posebice operativne sustave, jer programeri stalno otkrivaju nove ranjivosti i sigurnosne probleme i neutraliziraju ih. Imajte na umu da samo korištenje najnovijih verzija OS-a jamči pravovremena sigurnosna ažuriranja.
Također je dobra praksa koristiti provjeru identiteta korisnika u dva koraka u web servisima. Široko se koristi u elektroničkom bankarstvu, ali je dostupan u sve većem broju usluga i web stranica. Provjera u dva koraka (ili dvokomponentna) sastoji se od unosa dodatnog koda uz tradicionalnu lozinku i prijavu
Kod za prijavu može vam biti poslan e-poštom, SMS-om ili generiran pomoću aplikacije koju pruža vaš davatelj usluga. Postoje i aplikacije trećih strana koje vam omogućuju povezivanje računa s mnogim web stranicama i generiranje kodova na jednom mjestu, na primjer, na vašem pametnom telefonu.
Međutim, najprikladniji oblik provjere u dva koraka su fizički U2F sigurnosni ključevi, koji eliminiraju potrebu za zapisivanjem lozinki i kodova u bilježnicu. Jednostavno umetnite ključ u USB priključak računala i na taj način kontaktirajte podržane usluge za autorizaciju.
Phishing je ogromna prijetnja jer, prema nekim studijama, nije samo razlog gubitka novca za mnoge korisnike, već i glavni razlog curenja podataka tvrtke. Međutim, kao što smo pokazali u ovom članku, u većini slučajeva namjere kibernetičkih kriminalaca lako je prepoznati i spriječiti.
Pročitajte također: Mobilni Google Chrome na steroidima: aktivirajte 5 skrivenih značajki