Все о фишинге: схемы мошенничества и способы защиты

Чтобы заполучить деньги, мошенники способны на многое, даже создать и внедрить на компьютер жертвы вредоносный код. Нередко данная манипуляция производится с согласия жертвы. Обман, который набирает обороты в сети, называется фишинг. Что представляет собой фишинг, и как противостоять интернет-мошенникам, которые его задействуют, разберем в статье.

Аналитический центр InfoWatch изучал данную проблему, результаты показали, что хищения преимущественно происходят по вине клиентов. Банки чаще всего ни при чем. Мошенники применяют разные вариации фишинга, а также программы-кейлоггеры.

Что такое фишинг?

Фишинг в переводе с английского — «рыбная ловля». Данным термином обозначают мошенничество в сети, цель которого — получение доступа к приватной информации потенциальной жертвы. Фишинг — особый вид так называемой социальной инженерии, которая получила широкое распространение из-за чрезмерной доверчивости интернет-пользователей, а также тотальной безграмотности в вопросах интернет-безопасности.

Неотъемлемый элемент фишинга — рассылка писем по электронной почте или приватных сообщений внутри банковских либо других сервисов. Письма и сообщения шлются от имени раскрученных брендов и, как правило, содержат, ссылки на мошеннические сайты, которые имеют схожесть с оригинальными. Делается это, чтобы завлечь жертву на липовую банковскую страницу. Дальше воры всеми правдами и неправдами стараются заставить пользователя ввести логин и актуальный пароль в интернет-банкинг. Таким образом в руках жуликов оказываются данные для входа в персональный кабинет и, что хуже всего, доступными становятся счета жертвы.

Масштабный фишинг в Санкт-Петербурге

Посредством фишинга мошенники проворачивали массу афер. Но одной из самых серьезных оказалась афера, в результате которой преступникам удалось украсть со счетов банковских клиентов свыше 11 миллионов рублей. Жулики работали в Санкт-Петербурге. Для своих гнусных целей они задействовали два типа программного обеспечения. Первый — использовался, чтобы перенаправить пользователей на фейковые страницы, где от них требовалось ввести данные для входа в интернет-банкинг, а также привязанный к странице телефонный номер. С помощью программ второго вида аферисты получали телефонные номера на настоящих банковских сайтах. Эти номера нужны были, чтобы звонить клиентам и, называя себя сотрудниками банка, узнавать у них коды авторизации, которые приходят в СМС-сообщении. Полученные коды открывали доступ к клиентским деньгам.

Виды фишинга

На сегодняшний день выделяют три вида фишинга:

• почтовый — осуществляется через отправку сообщений в сети;
• онлайновый — предусматривает практически точное копирование страниц интернет-банкинга самых востребованных банков;
• комбинированный — включает оба вышеобозначенных вида.

Неотъемлемый атрибут почтового фишинга — троянские вредоносные программы, всевозможные вирусы, «черви» и другие технологии, позволяющие обмануть спам-фильтры, которые стоят на компьютерах жертв. Мошенники шлют потенциальным жертвам сообщения со страниц, визуально похожих на официальные страницы банков, услугами которого они пользуется. Адресная строка также подделывается, что еще больше вводит жертв в заблуждение и заставляет думать, что им пишут реальные банковские сотрудники.

Онлайновый фишинг предусматривает замену реальной страницы банка, услугами которого пользуется жертва, фейковой. Липовая страница практически на 100% схожа с оригиналом. Жертва, ничего не подозревая, заходит на фишинговую страницу под своим логином и со своим паролем. Таким образом секретные данные клиента попадают в руки злоумышленников, которые без труда сливают деньги с его счета на свой.

Комбинированный фишинг требует создания липового банковского сайта, на который жулики завлекают жертв, используя психологическую обработку. Аферисты общаются с попавшими на удочку клиентами от имени банка, предлагая в тестовом режиме испытать интересные банковские продукты. Один из возможных вариантов развода: якобы банк открыл для клиента депозит на мегавыгодных условиях и предлагает ему лично перевести на депозит деньги. Таким образом данные для входа в личный кабинет пользователя оказываются у злоумышленников и они спокойно присваивают его деньги себя. Получатся, мошенники обворовывают жертв их же руками.

Как защититься от фишинга?

По данным, полученным «Лабораторией Касперского», Россия вошла в пятерку стран-лидеров по фишинговым атакам. Несмотря на печальную статистику, специалисты InfoWatch говорят, что защититься от мошенников, промышляющих фишингом, можно. Для этого нужно быть очень бдительным. Следует внимательными прежде с URL. Как правило, оригинальный адрес отличается от фейкового доменом второго уровня. Для наглядности приведем пример с URL Сбербанка: вместо положенного online sberbank ru мошенники могут использовать online sberbank abc123 ru.

Далее важно обратить внимание на загрузку страницы, ссылку для перехода на которую присылают мошенники. Отсутствие при загрузке безопасного протокола HTTPS — веский повод покинуть страницу, причем моментально. Об использовании вышеупомянутого протокола свидетельствует наличие на странице онлайн-банка изображения замочка. Оно находится вверху с левой стороны.

Вишинг, смишинг и фарминг

Вишинг или голосовой фишинг приводится в действие с помощью так называемых автонабиратейлей, а также автотелефонии. Эти технологии дают возможность воровать номера банковских карт, пароли и другую конфиденциальную информацию клиента. Как это происходит? Мошенники отправляют потенциальной жертве письмо, в котором указан телефонный номер для звонков с целью проверки баланса по карте. Звонок, естественно, бесплатный. Приятный голос на том конце пытается сбить жертву с толку и уговорить ввести номер своего счета и ПИН-код. Если она сделает это, мошенникам останется только забрать деньги. Использование компаниями для голосового общения IP-телефонию открывает аферистам неограниченные возможности для вишинга. Перед этим видом онлайн-мошенничества клиенты пока еще абсолютно беззащитны.

Смишинг или СМС-фишинг — это масштабная схема, также направленная на выманивание у жертв приватных данных. Мошенники присылают клиенту банка СМС-сообщение, в котором просят его перейти по ссылке. Ссылка ведет на сайт. Также жертву просят отправить номер карты и ПИН-код. Опять же, схема воплощается в жизнь под прикрытием банка. СМС приходит якобы от банка, что сбивает жертву с толку и заставляет выполнять то, что указано в сообщении. К слову сказать, преступники не только воруют деньги со счета, но еще и берут плату за СМС-сообщение.

Чтобы противостоять вишингу и смишингу следует запомнить одно: банки не спрашивают у своих клиентов логин, а тем более пароль для входа в онлайн-банкинг. Банковские сотрудники никогда не интересуются ПИН-кодом и тому подобными секретными данными. Такое могут делать только мошенники с целью грабежа.

Некоторые банки, которые работают онлайн, серьезно подходят к защите электронных платежей. Они задействуют следующую схему: по карте ограничивается лимит на электронные платежи, когда клиент превышает его, с ним связываются представители банка и просят назвать ранее установленное проверочное слово-код. Но у жуликов и на этот случай имеется своя стратегия, с помощью которой они узнают телефонный номер жертвы, а потом и проверочное слово-код.

Фарминг — еще один вид фишинга, при котором преступники заменяют DNS адреса, чтобы таким образом перенаправить жертву на липовый сайт. Фейковый ресурс практически невозможно отличить от оригинального. Защиты от фарминга пока еще нет, поэтому данные вид мошенничества считается крайне опасным.

Эксперты считают, что именно фишинг является более перспективным для преступников, нежели взлом системы безопасности банка. Во-первых, это проще. Во-вторых, банки косвенно помогают ворам, стремясь максимально обезопасить счета клиентов путем введения многоуровневых проверочных схем. Такая волокита напрягает клиентов, и они отказываются от сложной схемы подтверждения онлайн-платежей в пользу простоты. Такой подход делает счета клиентов уязвимыми для мошеннических атак.

Что касается банков, то для них фишинговые аферисты не опасны. Да и платить компенсацию пострадавшим от жуликов клиентам они не должны. Это первое, а второе, банки пока еще не имеют средств для защиты от онлайн-грабителей. Чтобы не попасться на удочку воришек, клиентам приходится полагаться только на себя и на свою бдительность. В этом случае доверчивость становится злейшим врагом, а вот излишняя подозрительность, наоборот, помогает избежать финансовых утрат.