آیا می‌دانید که بیش از 90% حملات موفق هک کردن و نقض امنیتی داده‌ها با حملات فیشینگ یا Phishing آغاز می‌شود؟ از ماهیت Phishing و چگونگی محافظت از سازمان خود در مقابل آن آگاه هستید؟ حملات Phishing چیست؟ Phishing حمله‌ای است که از سوی مجرمین سایبری صورت می‌گیرد تا کاربران را به اقداماتی مانند کلیک‌کردن یک لینک، واردکردن اطلاعات اعتباری، بازکردن فایل ضمیمه و یا حتی ایجاد تغییر در فرآیندهای سازمان وادار کنند. این حملات معمولا از طریق ایمیل ارسال می‌شوند اما در فرم‌های دیگری نیز ظاهر می‌گردند مانند باج‌افزارها، نصب نرم‌افزارهای مخرب، ویروس‌ها و Trojanها، سرقت اطلاعات اعتباری، سرقت پول، از دست رفتن داده‌ها یا حتی سرقت هویت. سارقین از رفتارهای رایج انسانی مثلا اعتماد به فردی شناخته شده برای فریب مخاطب به انجام کاری که بطور معمول انجام نمی‌دهد سواستفاده می‌کنند،.
تنظیم خطوط دفاعی در برابر حملات فیشینگ
اگر یک سارق قصد سرقت داشته باشد چگونه می‌توان Workforce را از او محافظت کرد؟ این افراد اهداف متحرکی هستند و از آنجایی که ترفندهای متنوع و جدیدی برای فریب مردم به‌کار می‌برند، آمادگی بسیار حائز اهمیت است تا بتوان یک قدم از آنها پیش‌تر بود.
می‌توان با بهبود خطوط دفاعی تکنیکی و دیدن Workforce به عنوان یک افزونه از تیم امنیتی آمادگی خود را بالا برد. داشتن فیلترهای مناسب، Gateway ایمن ایمیل، استفاده از پروتوکل‌های استاندارد احرازهویت مانند DMARC ،DKIM یا SPF و سایر فناوری‌ها از فاکتورهای کلیدی جلوگیری از سارقین در نفوذ به صندوق Inboxها هستند. اما این حقیقت که کاربران بلاخره روزی با Phishing مواجه می‌شوند حتمی و اجتناب‌ناپذیر بوده و تنها یک کلیک افراد می‌تواند بحرانی به وجود آورد که مستلزم فعالیت طولانی مدت تیم‌های امنیتی است.
آیا آمادگی کارمندان در شناخت و گزارش ایمیل‌های فیشینگ بجای کلیک‌کردن روی آن مطلوب‌تر نیست؟ قطعا هست و به همین دلیل آموزش آگاهی امنیتی در الویت قرار دارد. باید به کارمندان آموخت که Phishing چیست و چگونه می‌توان آن را تشخیص داد.
برای مشاوره رایگان جهت (باز)طراحی امنیت شبکه و یا انجام تست نفوذ مطابق با الزامات افتا با کارشناسان شرکت APK تماس بگیرید. |
درصورت ممکن باید از آنها امتحان گرفت و اگر توانستند تشخیص درستی داشته باشند به آنها جایزه داد. باید کارکنان را تشویق نمود تا ایمیل‌های مشکوک را به تیم امنیتی گزارش کنند و این امر درصروت اختصاص دادن راهی آسان به آنها بهتر صورت می‌گیرد. نباید بحث امنیت و Phishing چیزی باشد که سالی یکبار به آن پرداخته می‌شود و باید بطور مداوم به آن توجه داشت.
آناتومی حملات فیشینگ چیست
زمانی که تصمیم بر آمادگی Workforce گرفته می‌شود، باید از افرادی که این حملات را رهبری می‌کنند و روش‌ها و اهداف آنها شناخت حاصل نمود.
حملات فیشینگ چیست؟ ماهیت Phishing ساده است و چیز جدیدی نیست. آیا بخاطر دارید که قبلا با شما تماس می‌گرفتند و از برنده شدن در مسابقه‌ای خبر می‌دادند که یادتان نمی‌آمد در آن شرکت کرده باشید؟ برخی افراد آنقدر ذوق زده می‌شدند که هر آنچه برای دریافت جایزه نیاز بود در اختیار شخص تماس گیرنده قرار می‌دادند. همان کار امروزه Phishing نام گرفته و فقط از سایر راه‌های ارتباطی مانند ایمیل صورت می‌گیرد. سارقین که مهارت بسیاری در کلاه‌برداری دارند از رفتارهای انسانی سواستفاده می‌کنند.
ایمیل ارسال شد > دریافت کننده فریب خورد > دریافت کننده اقدام مورد نظر را انجام داد > اطلاعات سرقت شد یا کامپیوتر آلوده شد
به عنوان مثال، یک سارق یک ایمیل به شخص می‌فرستد که درون این ایمیل طعمه‌ای برای فریب آن فرد برای انجام اقدام مورد نظر وجود دارد. این ایمیل‌ها معمولا دارای Hyperlinkها یا Attachmentها هستند اما همیشه اینطور نیست. Hyperlinkها به سایت‌های جعلی ختم می‌شوند که یک‌سری اطلاعات را درخواست می‌کنند که در نتیجه برخی سارقین ممکن است هویت شرکت‌های مشروع را جعل کنند.
بیشتر دانید: افزایش حملات Phishing به حساب ایمیل کاربران و نحوه مقابله با آن
Attachmentها معمولا دارای کدهای مخربی هستند که کامپیوتر فرد قربانی را آلوده می‌سازند. ایمیل‌هایی که هیچ یک از این دو مورد را در خود ندارند معمولا از قربانی می‌خواهند تا یا به ایمیل پاسخ دهد یا با یک شماره تماس بگیرد تا برخی اطلاعات مورد نظر را در اختیار سارق قرار دهد. اگر قربانی فریب بخورد معمولا خودش باخبر نمی‌شود و فکر می‌کند که این امر قانونی بوده و منتظر خبرهای خوش است درحالی که سارق یا پولش را سرقت کرده یا اطلاعات مربوط به او را و یا کامپیوتر او را آلوده کرده.
بررسی انواع حملات حملات فیشینگ
تمامی سرقت‌ها همانند هم نیستند و باید تمامی افراد سازمان‌ها را با انواع مختلف آنها آشنا نمود. در اینجا چند مورد رایج مطرح شده‌اند:
Spear Phishing
این نوع سرقت مخاطب مشخص داشته و از روی تصادف برای افراد رخ نمی‌دهد بطوری که سارق تحقیقات بسیاری درباره هدف خود انجام داده و پیامی را ارسال می‌کند که برای فرد مورد نظر منطقی به نظر برسد. دلیل چنین سرقتی این است که احتمالا شخص هدف عضو دپارتمان HR یک شرکت بوده و یا درباره ارتقاع شغلی خود در شبکه‌های اجتماعی پست گذاشته است.
Whaling
Whaling نوعی Spear Phishing است که برای شخص رئیس شرکت طراحی شده که طعمه بزرگ نام دارد. آدرس تیم اجرایی یک شرکت به راحتی در وب‌سایت آنها پیدا می‌شود زیرا معمولا از اطلاعات عمومی شرکت تلقی می‌شود. این امر یافتن و هدف قرار دادن آنها را بسیار آسان می‌کند. این افراد به داده‌ها و اطلاعات حساس دسترسی داشته و اهداف بسیار پرسودی برای سارقین هستند.
کلاه‌برداری BEC یا CEO
کلاه‌برداری Business Email Compromise یا BEC و CEO نوع دیگری از Spear Phishing است که هویت شرکت یا CEO شرکت را جعل می‌کند. با آگاهی از اینکه افراد از مقامات ارشد پیروی می‌کنند، سارقین با جعل هویت آنها کاربران را به ارسال اطلاعات وا می‌دارند. جعل دامین ایمیل شرکت‌ها بسیار آسان است و لولگوهای رسمی به آسانی قابل دسترسی هستند و علاوه بر این‌ها، نام افرادی که در سازمان مورد نظر کار می‌کنند به آسانی در شبکه‌های اجتماعی یافته می‌شوند. به همین دلیل تمرکز بر BEC آنچنان سخت نیست.
Vishing
این‌گونه Phishing از طریق تلفن صورت می‌گیرد حرف V ابتدای این کلمه از حرف اول Voice Phishing گرفته شده. این‌گونه کلاه‌برداری‌ها همواره رایج بوده و حتی پیش از وجود کامپیوتر گریبان‌گیر بودند. این نوع فیشینگ موفقیت‌آمیز است زیرا شنیدن صدای شخصی که تلفن می‌کند از لحاظ روانشناسی باعث ایجاد امنیت می‌شود و بدین ترتیب، عدم اطاعت از سارق بسیار سخت‌تر است.
Smishing/SMShing
نوع آخری که درباره آن صحبت می‌کنیم پیامک‌ها یا SMSهای مخرب بوده که نمونه‌های کوتاه‌تری از Phishingهای قدیمی‌تر هستند که حاوی Hyperlinkهای کوتاه‌تر و متنی خلاصه‌تر برای فریب مخاطب است.
