Phishing: Mi ez, és miért fontos tudni róla?
Naponta több milliárd hamis e-mail, szöveges üzenet és weboldal kerül kiküldésre egyetlen céllal: rávenni téged arra, hogy megadd személyes adataidat. Ezt a technikát nevezzük phishingnek, és ez az egyik legelterjedtebb és leghatékonyabb kibertámadási módszer – nem azért, mert technikailag különösen kifinomult, hanem mert az emberi pszichológiát célozza meg a számítógépes rendszerek helyett.
Mi az a phishing?
A phishing a social engineering egyik formája, amelynek során a támadó valaki olyannak adja ki magát, akiben megbízol – a bankod, egy streaming-szolgáltató, a munkáltatód vagy akár egy kormányzati szerv –, hogy olyan cselekvésre manipuláljon, amelyet egyébként nem tennél meg. Ez a cselekvés lehet egy rosszindulatú linkre való kattintás, egy fertőzött csatolmány letöltése, vagy a jelszavad megadása egy hamis bejelentkezési oldalon.
Az elnevezés tudatos szójáték az angol „fishing" (horgászat) szóval. A támadók csalikat dobnak ki, és megvárják, hogy ki harap rá.
Hogyan működik a phishing?
A legtöbb phishing-támadás egy kiszámítható mintát követ:
- A csali: Egy látszólag valódi üzenetet kapsz. Utánozhatja egy Netflix-számlázási értesítést, egy PayPal biztonsági figyelmeztetést vagy egy sürgős e-mailt a céged IT-osztályától.
- A horog: Az üzenet sürgősségérzetet kelt – a fiókodat hamarosan felfüggesztik, gyanús tevékenységet észleltek, vagy azonnal igazolnod kell a személyazonosságodat.
- A csapda: Egy hamis weboldalra irányítanak, amely megkülönböztethetetlenül hasonlít az eredetire. Amikor megadod az adataidat, azok egyenesen a támadóhoz kerülnek.
Célzottabb változatok is léteznek. A spear phishing személyre szabott támadásokat jelent, amelyek meghatározott személyeket vesznek célba, gyakran a közösségi médiából gyűjtött információk felhasználásával. A whaling magas rangú vezetőket céloz meg. A smishing SMS-üzeneteken keresztül zajlik, míg a vishing telefonhívásokon át történik.
A modern phishing-oldalak gyakran HTTPS-t használnak és lakatikont jelenítenek meg, amelyet sokan tévesen a megbízhatóság jelének tekintenek. Ez csupán annyit jelent, hogy a kapcsolat titkosított – nem azt, hogy maga az oldal megbízható.
Miért fontos ez a VPN-felhasználók számára?
Általános tévhit, hogy a VPN használata megvéd a phishing ellen. Ez nem így van – legalábbis nem közvetlenül. A VPN titkosítja az internetes forgalmadat és elrejti az IP-címedet, de nem akadályozhat meg abban, hogy önként add meg az adataidat egy hamis weboldalon.
Ennek ellenére a VPN-felhasználók sem maradnak teljesen védelem nélkül:
- Egyes VPN-ek fenyegetésvédelmi funkciókat tartalmaznak, amelyek blokkolják az ismert phishing-doméneket, mielőtt a böngésző egyáltalán betöltené őket.
- A VPN képes megakadályozni a DNS-eltérítést, amelyet a támadók arra használnak, hogy csendben hamis weboldalakra irányítsanak át akkor is, ha a helyes címet gépeled be.
- Nyilvános Wi-Fi használatakor a VPN védelmet nyújt a közbeékelődéses (man-in-the-middle) támadások ellen, amelyeket néha phishinggel kombinálva alkalmaznak a bejelentkezési adatok megszerzésére.
Ugyanakkor kizárólag a VPN-re támaszkodni a phishing elleni védelemben hamis biztonságérzetet kelt. Erős digitális higiéniára is szükség van.
Valós példák
- Egy „Apple Support"-tól érkező e-mailt kapsz, amely szerint a fiókodat zárolták. A link az apple-support-login.com oldalra visz – egy meggyőző hamisítványra, amely ellopja az Apple ID-dat.
- Egy szöveges üzenet azt állítja, hogy a bankod csalást észlelt, és arra kér, hogy hívj egy adott telefonszámot. A vonal egy csaló személyt köt össze veled, aki bankos munkatársnak adja ki magát.
- Egy munkahelyi e-mail, amely látszólag a HR-osztálytól érkezik, arra kéri az alkalmazottakat, hogy jelentkezzenek be egy új juttatási portálra – ami valójában egy adathalász oldal.
Hogyan védekezz?
- Mindig ellenőrizd a feladó valódi e-mail-címét, ne csak a megjelenített nevet
- Kattintás előtt vidd az egérkurzort a linkek fölé, hogy lásd a tényleges cél-URL-t
- Engedélyezd a kétfaktoros hitelesítést minden fontos fiókon – még az ellopott jelszavak is használhatatlanok lesznek a második tényező nélkül
- Használj jelszókezelőt, amely nem tölti ki automatikusan az adataidat hamis oldalakon
- Kétség esetén közvetlenül a hivatalos weboldalra lépj be, ahelyett hogy bármilyen linkre kattintanál
A phishing azért működik, mert egyszerű és nagy léptékben alkalmazható. A működési elvének megértése az első védelmi vonalad.