Hva er Spear Phishing, og hvordan tar det ned store selskaper?

Nyheten er full av rapporter om "spyd-phishing-angrep" som brukes mot regjeringer, store selskaper og politiske aktivister. Spear-phishing-angrep er nå den vanligste måten bedriftens nettverk er i fare, ifølge mange rapporter.

Spyd-phishing er en nyere og farligere form for phishing. I stedet for å kaste et bredt nett i håp om å fange noe i det hele tatt, håndterer spjutfiskeren et forsiktig angrep og retter seg mot enkeltpersoner eller en bestemt avdeling.

Phishing forklart

Phishing er praksisen med å etterligne noen troverdige til å prøve å skaffe seg informasjonen din. For eksempel kan en phisher sende ut e-postmeldinger som utgir seg fra Bank of America og ber deg om å klikke på en lenke, besøke en falsk Bank of America-nettside (et phishing-nettsted) og angi bankinformasjonen din.

Phishing er imidlertid ikke bare begrenset til e-post. En phisher kunne registrere et chatnavn som "Skype Support" på Skype og kontakte deg via Skype-meldinger, og si at kontoen din var blitt kompromittert, og de trenger passordet eller kredittkortnummeret ditt for å bekrefte identiteten din. Dette har også blitt gjort i online spill, hvor svindlere etterligner spilladministratorer og sender meldinger som ber om passordet ditt, som de ville bruke til å stjele kontoen din. Phishing kan også skje over telefonen. Tidligere har du kanskje mottatt telefonsamtaler som hevder å være fra Microsoft og sier at du har et virus du må betale for å fjerne.

Phishers kastet generelt et veldig bredt nett. En bank av amerikansk phishing-e-post kan sendes til millioner av mennesker, selv personer som ikke har Bank of America-kontoer. På grunn av dette er phishing ofte ganske enkelt å få øye på. Hvis du ikke har et forhold til Bank of America og får en epost som hevder å være fra dem, bør det være veldig klart at e-posten er en svindel. Phishers er avhengige av det faktum at hvis de kontakter nok folk, vil noen til slutt falle for deres svindel. Dette er den samme grunnen til at vi fortsatt har spam-e-postmeldinger - noen der ute må falle for dem, eller de ville ikke være lønnsomme.

Ta en titt på anatomien til en phishing-e-post for mer informasjon.

Hvordan Spyd Phishing er forskjellig

Hvis tradisjonell phishing er en handling om å kaste et bredt nett i håp om å fange noe, er spyd phishing handlingen om å målrette en bestemt person eller organisasjon nøye og skreddersy angrepet til dem personlig..

Mens de fleste phishing-e-postmeldinger ikke er veldig spesifikke, bruker et spyd-phishing-angrep personlig informasjon for å gjøre svindelen til virkelighet. For eksempel, i stedet for å lese "Kjære herre, vær så snill å klikke på denne lenken for fabelaktig rikdom og rikdom", e-posten kan si "Hei Bob, vær så snill å les denne forretningsplanen vi utarbeidet på tirsdagsmøtet og gi oss beskjed om hva du synes." Det ser ut som om det kommer fra noen du kjenner (muligens med en forfalsket e-postadresse, men muligens med en ekte e-postadresse etter at personen ble skadet i et phishing-angrep) i stedet for noen du ikke kjenner. Forespørselen er mer omhyggelig utformet og ser ut som om den kunne være legitim. E-posten kan referere til noen du kjenner, et kjøp du har laget, eller et annet stykke personlig informasjon.

Spear-phishing-angrep på høyverdige mål kan kombineres med en nulldagutnyttelse for maksimal skade. For eksempel kan en svindler sende e-post til en person i en bestemt bedrift og si "Hei Bob, vil du ta en titt på denne bedriftsrapporten? Jane sa at du ville gi oss noen tilbakemelding. "Med en legitim utseende e-postadresse. Koblingen kan gå til en nettside med innebygd Java- eller Flash-innhold som utnytter nulldagen for å kompromittere datamaskinen. (Java er spesielt farlig, ettersom de fleste har utdaterte og sårbare Java-plugin-moduler installert.) Når datamaskinen er kompromittert, kan angriperen få tilgang til sitt bedriftsnettverk eller bruke e-postadressen til å starte målrettede angrep mot angrep mot andre personer i organisasjon.

En svindler kan også legge ved en farlig fil som er skjult for å se ut som en ufarlig fil. For eksempel kan en e-post med spyd-phishing ha en PDF-fil som faktisk er en .exe-fil vedlagt.

Hvem virkelig trenger å bekymre seg

Spear-phishing-angrep blir brukt mot store bedrifter og regjeringer for å få tilgang til sine interne nettverk. Vi vet ikke om alle selskaper eller myndigheter som har blitt kompromittert av vellykkede angrep mot phishing-phishing. Organisasjoner gir ofte ikke den eksakte typen angrep som kompromitterte dem. De liker ikke engang å innrømme at de har blitt hacket i det hele tatt.

Et raskt søk avslører at organisasjoner, inkludert Det hvite hus, Facebook, Apple, USAs forsvarsdepartement, New York Times, Wall Street Journal og Twitter, alle sannsynlig er blitt rammet av spydsfiskeangrep. Det er bare noen få av de organisasjonene vi vet har blitt kompromittert - omfanget av problemet er sannsynligvis mye større.

Hvis en angriper virkelig ønsker å gå på kompromiss med et høyverdigemål, er et spydsfiskeangrep - kanskje kombinert med en ny nulldagsutnyttelse kjøpt på det svarte markedet - ofte en svært effektiv måte å gjøre det på. Spear-phishing-angrep blir ofte nevnt som årsaken når et høyverdigemål brytes.

Beskytte deg mot Spyd Phishing

Som person er du mindre sannsynlig å være målet for et så sofistikert angrep enn regjeringer og massive selskaper. Imidlertid kan angripere fortsatt forsøke å bruke spyd-phishing-taktikk mot deg ved å inkorporere personlig informasjon i phishing-e-postmeldinger. Det er viktig å innse at phishing-angrep blir mer sofistikert.

Når det gjelder phishing, bør du være årvåken. Hold programvaren oppdatert slik at du er bedre beskyttet mot å bringe kompromittert hvis du klikker koblinger i e-post. Vær ekstra forsiktig når du åpner filer som er vedlagt e-postmeldinger. Vokt dere for uvanlige forespørsler om personlig informasjon, selv de som virker som om de kunne være legitime. Ikke bruk passord på forskjellige nettsteder, bare hvis passordet ditt kommer ut.

Phishing-angrep prøver ofte å gjøre ting som legitime bedrifter aldri ville gjøre. Banken din vil aldri sende deg e-post og be om passordet ditt. En bedrift du har kjøpt varer fra, vil aldri sende deg e-post og be om kredittkortnummeret ditt, og du får aldri en øyeblikkelig melding fra en legitim organisasjon som ber deg om passordet ditt eller annen sensitiv informasjon. Ikke klikk på koblinger i e-postmeldinger og gi ut sensitiv personlig informasjon, uansett hvor overbevisende phishing-e-posten og phishing-nettstedet er.

Som alle typer phishing er spyd phishing en form for samfunnsmessig angrep som er spesielt vanskelig å forsvare seg mot. Alt som trengs er en person som gjør en feil, og angriperne vil ha etablert seg i ditt nettverk.

Bilde Kreditt: Florida Fisk og vilt på Flickr