Trendy i techniki wyłudzania informacji

Ataki wyłudzające informacje to oszustwa, które często używają przynęty inżynierii społecznej lub przynęty. Legalnie wyglądający komunikat, zazwyczaj poczta e-mail, który łączy się z witryną wyłudzającą informacje, jest jedną z najpopularniejszych metod używanych w atakach wyłudzających informacje. Witryna wyłudzająca informacje zwykle naśladuje strony logowania, które wymagają od użytkowników podania poświadczeń i informacji o koncie. Witryna wyłudzająca informacje przechwytuje poufne informacje natychmiast po ich podaniu przez użytkownika, dając osobom atakującym dostęp do tych informacji.

Poniżej przedstawiono niektóre z najbardziej typowych technik wyłudzania informacji, które osoby atakujące będą stosować w celu kradzieży informacji lub uzyskania dostępu do urządzeń.

Wyłudzanie informacji o faktur

W tym oszustwie osoba atakująca próbuje zwabić Cię wiadomością e-mail z informacją, że masz zaległą fakturę od znanego dostawcy lub firmy. Następnie udostępniają ci link umożliwiający dostęp do faktury i płatność za nie. Gdy uzyskujesz dostęp do witryny, osoba atakująca jest gotowa ukraść Twoje dane osobowe i środki.

Oszustwa związane z płatnością/dostawą

Zostanie wyświetlony monit o podanie karty kredytowej lub innych danych osobowych, aby informacje o płatności mogły zostać zaktualizowane o powszechnie znanego dostawcę lub dostawcę. Wymagana jest aktualizacja, aby można było odebrać zamówione towary. Ogólnie rzecz biorąc, możesz znać firmę i prawdopodobnie robiłeś z nimi interesy w przeszłości. Nie wiesz jednak, jakie elementy zostały ostatnio zakupione.

Oszustwa związane z wyłudzaniem informacji o tematyce podatkowej

Typowym oszustwem IRS phishing otrzymuje pilny list e-mail wskazujący, że jesteś winien pieniądze do IRS. Często wiadomość e-mail grozi podjęciem działań prawnych, jeśli nie uzyskujesz dostępu do witryny w odpowiednim czasie i płacisz podatki. Gdy uzyskujesz dostęp do witryny, osoby atakujące mogą ukraść Twoją osobistą kartę kredytową lub informacje bankowe i opróżnić Twoje konta.

Pobrań

Atakujący wysyła fałszywy e-mail z prośbą o otwarcie lub pobranie załącznika, takiego jak PDF, dokument Microsoft Word, zaproszenie do kalendarza (.ics), lub załączony e-mail (.eml). Załącznik może zawierać link lub wiadomość proszącą o zalogowanie się do e-maila lub serwisu do udostępniania plików.

Atakujący mogą także zagnieżdżać załączniki, takie jak e-mail zawierający zaproszenie do kalendarza, aby stworzyć wieloetapowy przepływ phishingowy. Jeśli wpiszesz swoje dane uwierzytelniające na stronie phishingowej, atakujący uzyska dostęp do informacji o Twoim koncie.

Phishing kodem QR

Phishing kodem QR, zwany także quishingiem, umieszcza kod QR w obrazie, dokumencie PDF lub Word. Komunikat prosi o zeskanowanie kodu urządzeniem mobilnym, co otwiera stronę do pozyskiwania poświadczeń. Ta technika przenosi interakcję z przejścia od skanowania linków e-mail na urządzenie, gdzie adres docelowy jest trudniejszy do sprawdzenia przed otwarciem.

Phishing z CAPTCHA

Strony phishingowe z CAPTCHA wymagają wykonania CAPTCHA lub innej interakcji, zanim wyświetlą przynętę lub przekierują na fałszywą stronę logowania. Atakujący wykorzystują ten dodatkowy krok, aby strona wyglądała na wiarygodną i utrudniać automatyczną analizę bezpieczeństwa. Ostatnia strona często próbuje ukraść dane uwierzytelniające.

Wiadomości e-mail wyłudzające informacje, które dostarczają inne zagrożenia

Wiadomości e-mail wyłudzające informacje są często skuteczne, więc osoby atakujące czasami używają ich do rozpowszechniania oprogramowania wymuszającego okup za pośrednictwem linków lub załączników w wiadomościach e-mail. Po uruchomieniu oprogramowanie wymuszające okup szyfruje pliki i wyświetla notę okupu, która prosi o zapłacenie sumy pieniędzy w celu uzyskania dostępu do plików.

Widzieliśmy również wiadomości e-mail wyłudzające informacje, które mają linki do witryn internetowych z oszustwami pomocy technicznej . Te strony internetowe używają różnych taktyk przestraszyć, aby skłonić Cię do wywoływania infolinii i płacenia za niepotrzebne "usługi pomocy technicznej", które rzekomo rozwiązać wymyślone urządzenia, platformy lub problemy z oprogramowaniem.

Wyłudzanie informacji

Spear phishing to ukierunkowany atak phishingowy, który obejmuje wysoce dostosowaną zawartość przynęty. Osoby atakujące zazwyczaj wykonują prace rekonesansowe, przeglądając media społecznościowe i inne źródła informacji na temat zamierzonego celu.

Spear phishing może oszukać cię i zmusić cię do zalogowania się na fałszywe strony i wprowadzenia twoich danych danych. Atakujący mogą także skłonić Cię do otwierania dokumentów lub wybierania linków instalujących złośliwe oprogramowanie. Złośliwe oprogramowanie może dać atakującym zdalną kontrolę nad zainfekowanym komputerem.

Wszczepione złośliwe oprogramowanie służy jako punkt wejścia do bardziej wyrafinowanego ataku, znanego jako zaawansowane trwałe zagrożenie (APT). Interfejsy API są przeznaczone do ustanawiania kontroli i kradzieży danych przez dłuższy czas. Osoby atakujące mogą próbować wdrożyć bardziej ukryte narzędzia hakerskie, przenieść je później na inne komputery, naruszyć lub utworzyć uprzywilejowane konta oraz regularnie eksfiltrować informacje z zagrożonych sieci.

Wielorybnictwa

Wielorybnictwo jest formą wyłudzania informacji skierowanych do wysokiego szczebla lub kadry kierowniczej wyższego szczebla w określonych firmach w celu uzyskania dostępu do swoich poświadczeń i/lub informacji bankowych. Treść wiadomości e-mail może być napisana jako prawne wezwanie do sądu, skarga klienta lub inny problem wykonawczy. Ten typ ataku może również prowadzić do ataku APT w organizacji.

Naruszenie zabezpieczeń poczty e-mail w firmie

Kompromis e-mail biznesowy (BEC) to wyrafinowane oszustwo, które jest skierowane do firm, które często pracują z zagranicznymi dostawcami lub wykonują przelewy pieniężne. Jednym z najczęstszych schematów używanych przez osoby atakujące BEC jest uzyskanie dostępu do sieci firmy poprzez atak typu spear phishing. Osoba atakująca tworzy domenę podobną do docelowej firmy lub podszywa się pod swoją wiadomość e-mail, aby oszukać użytkowników w celu udostępnienia informacji o koncie osobistym na potrzeby przelewów pieniężnych.

Więcej informacji na temat ataków wyłudzania informacji

Aby uzyskać informacje na temat najnowszych ataków, technik i trendów wyłudzania informacji, możesz przeczytać następujące wpisy na blogu microsoft security:

  • Last updated on