31.07.2023

Фишинг

В соответствии с общепринятыми определениями, в качестве фишинга рассматривается вид интернет-мошенничества, основной целью которого является получение злоумышленниками доступа к различной конфиденциальной информации пользователей — учетные, платёжные, персональные и иные данные. Фишинг является разновидностью социальной инженерии, которая базируется на незнании пользователей основ кибербезопасности.

Согласно исследованиям многих профильных компаний и ассоциаций, количество фишинговых атак, проводимых на пользователей, растёт ежегодно. В новом отчете Perception Point сказано, что число продвинутых фишинговых атак выросло на 356% в 2022 году, а в «Лаборатории Касперского» указали на предотвращение свыше 1,3 млн. фишинговых атак на тему криптовалюты в первом полугодии 2023 г.

В последние месяцы злоумышленники начинают всё активнее пользоваться и ИИ-технологиями для проведения фишинговых атак. В частности, наблюдается рост интереса киберпреступников и мошенников к чат-ботам (например, WormGPT и FraudGPT), даже базовый функционал которых позволяет создавать действительно качественные фишинговые письма-приманки, причём на любом языке.

О росте фишинговых атак в России говорят и официальные лица. Например, в июне 2023 года профильные компании по ИБ заявляли о стремительном росте числа фишинговых сайтов, направленных на российских пользователей.

Редакция CISOCLUB решила поговорить с экспертами на тему фишинга. Мы спросили их о ключевых признаках таких атак, о наиболее распространенных ошибках пользователей, из-за которых они становятся жертвами подобного интернет-мошенничества, о помогающих в обнаружении фишинга технологиях, а также задали многие другие интересные вопросы.

Мы поговорили со следующими экспертами:

Максим Грязев, аналитик отдела анализа и оценки цифровых угроз Infosecurity a Softline сompany.
Иван Король, разработчик ПО Anwork.
Александр Котов, менеджер по развитию бизнеса компании Axoft.
Юрий Иванов, руководитель команды аналитики и машинного обучения, ООО «АВ Софт».
Виталия Демёхина, руководитель разработки материалов Start X.
Виктор Чащин, операционный директор «МУЛЬТИФАКТОР».
Владислав Михайлов, начальник отдела внедрения «Астрал.Безопасность».
Кай Михайлов, руководитель направления информационной безопасности iTPROTECT.

Какие ключевые признаки фишинговых атак являются наиболее распространенными и какие методы обычно используются злоумышленниками?

Иван Король, разработчик ПО Anwork:

«Фишинговые атаки – наиболее распространенный метод взлома телефонов и корпоративных переписок: чтобы получить доступ к нужной информации, злоумышленники позиционируют себя как доверенный источник. Для этого мошенники стали чаще использовать общедоступные бесплатные мессенджеры. Так за последний год количество атак в популярных приложениях для общения, звонков и переписок возросло в разы и к середине 2023 года составило больше половины от всех действий мошенников в отношении частных лиц, к концу года их число может увеличиться до 80%. По данным аналитиков, к концу 2022 года наиболее небезопасным стал Telegram — рост фишинга в данном мессенджере составил 800%. При этом с действиями мошенников здесь столкнулись не только обычные пользователи, но и бизнес-аккаунты — количество атак на них увеличилось вдвое.

Наиболее распространенные схемы, которыми пользуются злоумышленники, – рассылки с призывом перейти по какой-либо ссылке, оставить свои данные, приобрести и оплатить товар или услугу. Чаще всего выбираются самые животрепещущие темы, которые беспокоят абсолютно все категории людей.

При помощи общедоступных мессенджеров мошенники проникают и в IT-инфраструктуру бизнеса: в компанию приходят письма и сообщения с фишинговыми ссылками, пройдя по которым предлагается оставить свои персональные данные, или поступает предложение вступить в переписку с неким посредником или «контрагентом». Все эти фишинг-уловки открывают для мошенников доступ к любым, даже самым конфиденциальным данным».

Александр Котов, менеджер по развитию бизнеса компании Axoft:

«Основные признаки фишинговых атак:

Орфографические или грамматические ошибки.
Побуждение к немедленному действию (смена логина/пароля, срочная оплата и пр.).
Отклонения в адресе/домене.
Наличие гиперссылки в письме.

Методы, используемые злоумышленниками:

Целевой фишинг – наиболее подготовленный метод фишинга, который направлен на определенного человека, либо компанию. При подготовке такой атаки злоумышленник собирает максимальное количество информации об объекте. В результате фишинговое сообщение очень сложно отличить от легитимных запросов.
Голосовой фишинг (вишинг) – когда злоумышленники пытаются узнать конфиденциальную информацию по телефону: персональные данные, данные банковских карт и пр.
Китобойный фишинг (Whale Phishing) – тот же целевой фишинг, но направленный на ТОП-менеджеров компаний.
Клон-фишинг – один из самых распространенных методов. При таком методе злоумышленники копируют корпоративные письма – как внутрикорпоративные, так и из внешних источников (от банка, провайдера и пр.)».

Юрий Иванов, руководитель команды аналитики и машинного обучения, ООО «АВ Софт»:

«Как правило фишинговые атаки на личные аккаунты и корпоративные несколько отличаются по тематике атак, но в целом используют одинаковые методы.

Электронные письма имитирующие официальные рассылки и использующие дизайн и логотипы известных организаций, банков или онлайн-сервисов. В случае корпоративных атак это может быть письмо с требованием сменить пароль под угрозой блокировки аккаунта и содержащее логотипы атакуемой организации. В случае атаки на личный почтовый ящик, такое письмо мимикрирует под магазин или онлайн-сервис, предлагает войти в учетную запись или срочно оплатить заказ.
Социальная инженерия. При корпоративных атаках злоумышленники могут использовать социальную инженерию, чтобы убедить пользователей доверить им свою информацию, представляясь должностными лицами или использовать информацию из общедоступных источников для создания убедительной истории.
Запрос личной информации. Фишеры часто просят пользователей предоставить личные данные, такие как логин, пароль, номер кредитной карты под предлогом проверки аккаунта или другой важной информации.
Создание чувства срочности и страха. Фишеры, как и телефонные мошенники стараются подтолкнуть пользователей к немедленным действиям без должного размышления.
Несоответствие URL-адреса. Злоумышленники могут использовать URL-адреса, которые похожи на официальные, но имеют незначительные отличия, такие как опечатки или незаметные изменения, чтобы обмануть пользователей и заставить их думать, что они находятся на официальном сайте.
Вредоносные вложения и ссылки. Фишинговые письма могут содержать вредоносные вложения или ссылки, которые при переходе или скачивании могут заражать компьютеры и устройства вредоносными программами.
Фишинг через SMS или мессенджеры. Злоумышленники также могут использовать популярные мессенджеры, отправляя сообщения с поддельными ссылками или просьбами предоставить личные данные. Часто такие сообщения могут прийти от знакомых, которые были уже успешно атакованы, с предложением проголосовать или пройти опрос.

Для защиты от фишинговых атак рекомендуется быть бдительными, не доверять неожиданным запросам на предоставление личной информации, внимательно проверять URL-адреса, избегать нажатия на подозрительные ссылки и устанавливать антивирусное программное обеспечение».

Виталия Демёхина, руководитель разработки материалов Start X:

«Какой бы технический вектор не использовался в фишинговой атаке, первичная цель злоумышленника заставить человека сделать целевое действие, заложенное в письме: перейти по ссылке, ввести данные, скачать и запустить вложение, отправить данные в ответ на письмо. Сделать это можно с помощью социальной инженерии: если человек испытывает определенные эмоции достаточной силы, возникает состояние аффекта, и человек буквально не успеет подумать и уже сделать необходимое злоумышленнику действие. Например, в одной из имитированных атак на сотрудников IT-компании из 40 человек 70% совершили небезопасные действия (перешли по ссылке), а 50% разрешили фишинговому сайту доступ к своей камере и микрофону, при этом в письме была всего одна фраза: “почему тебя нет на видеозвонке”. Атака была направлена на страх и вызывала сильный эмоциональный всплеск.

Поэтому наравне с ключевыми техническими признаками фишинговых атак (поддельная ссылка, поддельный сайт, вложение, с которым требуется совершить дополнительное действие) стоит поставить и психологическую составляющую (именно она объединяет все фишинговые атаки): письмо вызывает эмоции и в письме заложено целевое действие».

Виктор Чащин, операционный директор «МУЛЬТИФАКТОР»:

«Наверное, самый важный вопрос. Фишинговые атаки — это атака на человека, то есть они эксплуатируют уязвимости в человеческой психике и поведении. В первую очередь — это жадность, невнимательность и страх.

При этом всегда атака комбинирует несколько уязвимостей, потому что в этом случае эффективность мероприятия возрастает кратно. Также мошенники стараются добавлять факторы, усиливающие основные векторы атаки. Например, ограничения по времени и спешка, усиливают невнимательность. Ссылки на влиятельных людей, руководителей компании, усиливают страх или жадность».

Владислав Михайлов, начальник отдела внедрения «Астрал.Безопасность»:

«Фишинговые атаки обычно имеют ряд ключевых признаков:

Подделка идентификации. Злоумышленники маскируются под известные компании, используя похожие доменные имена, логотипы, брендирование. Это придаёт доверия поддельным сообщениям.
Создание чувства срочности и необходимости быстрого реагирования. Фишеры могут угрожать блокировкой аккаунта, штрафами, отключением услуги если не предпринять немедленные действия.
Использование ссылок и вложений для переадресации на фишинговые сайты или распространения вредоносного ПО.
Персонализация и социальная инженерия. Использование имени, фамилии, номера телефона жертвы для повышения доверия. Манипуляция эмоциями.
Маскировка фишинговых URL-адресов под легитимные с помощью похожих доменов, опечаток, сокращений.
Использование поддельных сертификатов HTTPS для имитации защищённого соединения.

Знание этих признаков помогает распознать фишинг и избежать предоставления конфиденциальных данных мошенникам. Нужно всегда тщательно проверять источник и содержание подозрительных сообщений в сети».

Кай Михайлов, руководитель направления информационной безопасности iTPROTECT:

«Чтобы разобраться в вопросе, лучше всего классифицировать признаки фишингового сообщения (не обязательно электронного письма) на технические и логические.

К техническим относятся все характеристики сообщения, которые могут насторожить получателя, и по ним некачественно составленный фишинг отличить проще всего.

Рассмотрим на примере электронного письма, однако это хорошо применимо и к сообщениям в социальны сетях, мессенджерах, голосовых сообщениях и даже объявлениях в интернете.

Некорректный/подозрительный домен — первое, на что стоит обратить внимание. Иногда при первом взгляде на отправителя становится ясно, что Илон Маск из telsa.com вряд ли станет отправлять вам список вакансий.

Подозрительные вложения — один из способов доставить вредоносное содержимое (троян) на ваше устройство. Сейчас существуют сервисы, позволяющие, не запуская вложение, с большой вероятностью определить наличие вредоносного содержимого

Если злоумышленники пытаются прикинуться кем-то знакомым (коллегами, госучреждением, частным лицом), то часто можно обратить внимание на незнакомый формат, тон письма. Хорошо это видно в примерах личной переписки, если номером жертвы завладел злоумышленник — с таких устройств часто рассылают просьбы о переводе денег. Если подойти к анализу этих сообщений с холодной головой, то видно, насколько меняется речь и манера письма по сравнению с предыдущей перепиской.

К этой же категории, но уже со стороны корпоративной переписки, можно отнести неправильное оформление письма (подписи, шрифты, орфография) — этим грешат злоумышленники, «встраивающиеся» в переписку по проектам в ходе бизнес-деятельности компаний.

К счастью, современные почтовые сервисы научились распознавать большую часть фишинга по подобным маркерам, но 100% гарантии нет.

Нужно понимать, однако, что все данные характеристики информационных сообщений, так или иначе, можно сделать максимально похожими на настоящие.

Наличие подобных ошибок должно как минимум насторожить получателя и дать ему повод внимательно изучить послание, однако это работает и в обратную сторону — в конце концов каждый из нас может допустить орфографические ошибки во вполне безобидных посланиях.

Гораздо более важны логические признаки. Чтобы обман был успешным, злоумышленник зачастую играет на эмоциях и поведении жертвы, например:
Чувство срочности. Распространённые просьбы отправить деньги как можно скорее, иначе произойдёт беда — времени перепроверить или обдумать просьбу злоумышленник не предоставляет.
Ложная информация. Просто заведомо ложные утверждения.
Игра на чувствах. Жадность (победа в лотерее), страх (судебные предписания) и т.д.

Необходимо помнить — в абсолютно любой ситуации у вас есть время перепроверить информацию, содержащуюся в письме (голосовом сообщении, объявлении, смс). Это первоочередное и необходимое действие, которое нужно выполнить прежде, чем следовать инструкциям в письме».

Какие самые распространенные ошибки пользователей обычно приводят к успеху фишинговых атак?

Максим Грязев, аналитик отдела анализа и оценки цифровых угроз Infosecurity a Softline сompany:

«Самые распространенные ошибки пользователей, которые обычно приводят к успеху фишинговых атак, включают недостаточную осведомленность о методах злоумышленников. Это означает, что пользователи могут быть не в курсе мошеннических трендов, а также не знать, как распознавать подозрительные сообщения или веб-сайты.

Другая распространенная ошибка – небрежность при проверке адресов электронной почты или URL-адресов веб-сайтов. Злоумышленники могут создавать поддельные адреса или веб-сайты, которые очень похожи на оригинальные. Если пользователь не обращает внимание на детали и не проверяет подлинность URL-адреса, то рискует потерять персональные данные и деньги.

Легкомысленное отношение к предоставлению личной информации без проверки источника является еще одной распространенной ошибкой пользователей. Злоумышленники могут представляться официальными организациями и запрашивать личную информацию, такую как пароли или номера кредитных карт.

Использование слабых паролей или повторное использование одного и того же пароля для разных аккаунтов также является распространенной ошибкой. В этот же список можно добавить неиспользование средств защиты информации, таких как антивирусы и специального ПО».

По словам Кая Михайлова, ответ вытекает из приведенной в его ответе классификации выше —человек, поддающийся сиюминутным эмоциям от прочтения письма сразу делает необдуманное действие. Главное правило — перепроверка информации.

«Пришло сообщение в WhatsApp о том, что родственник попал в аварию? Необходимо позвонить, перепроверить, выехать на место. Если требуется отправка денег, можно переслать их на другую карту, а не ту, которая указана в сообщении. Выход есть из любой подобной ситуации. Вторым немаловажным фактором является невнимательность, которая не позволяет полноценно проверить технические признаки фишинга», — отметил эксперт.

Владислав Михайлов уверен, что в проблема недостаточной цифровой грамотности и невнимательного отношения пользователей к вопросам кибербезопасности является одним из ключевых факторов, способствующих успеху фишинговых атак и других методов социальной инженерии.

«Многие рядовые пользователи просто не обладают достаточным уровнем знаний, чтобы распознать типичные признаки фишинга в подозрительных письмах или на сайтах-двойниках. Отсутствие понимания распространенных схем и уловок кибермошенников не позволяет им отличить реальный запрос от маскировки злоумышленников.

Немаловажную роль играет и небрежное отношение к базовым правилам цифровой гигиены. Пользователи могут игнорировать важность использования сложных паролей, своевременного обновления ПО, осторожного подхода к открытию файлов из ненадежных источников. Подключение к открытым Wi-Fi сетям без должной осмотрительности также относится к типичным оплошностям. Зачастую людям не хватает бдительности при взаимодействии с электронными ресурсами.

Все эти факторы создают благоприятную почву для реализации злоумышленниками схем по завладению конфиденциальными данными и деньгами пользователей. Чтобы переломить ситуацию, необходимо активно повышать цифровую грамотность, прививать навыки критического мышления в киберпространстве и воспитывать культуру информационной безопасности среди широких масс населения. Это ключевой момент в сдерживании успешности фишинга и прочих манипулятивных техник», — подчеркнул начальник отдела внедрения «Астрал.Безопасность».

Виктор Чащин подметил, что самая распространённая ошибка — невнимательность. Менее образованные, уставшие и неопытные люди легче поддаются на уловки мошенников.

Как заявила Виталия Демёхина, успех фишинговых атак обусловлен несколькими ситуациями:

Первая – недостаточная осведомленность человека о том, что такое фишинг и как с ним бороться.
Вторая – человек знает о фишинге, даже обучался, но ему не хватает практики в распознавании фишинга и социальной инженерии, и когда он сталкивается с угрозой в реальности, не может ее распознать.

«Так или иначе, пользователи, оказавшиеся в таких ситуациях, совершают множество ошибок, навлекая на себя проблемы. Они переходят по вредоносным ссылкам, вводят свои данные на фишинговых страницах, скачивают вредоносные вложения, устанавливают вредоносное ПО и не обновляют свое программное обеспечение вовремя.

Все это можно было бы описать одним словом: невнимательность, будь то невнимательность по незнанию или же из-за большой загруженности. Чаще всего, когда люди вспоминают о том, как они совершили небезопасные действия с фишинговым письмом, они говорят фразы из разряда: “был как в тумане”, “сделал автоматически”. Все это доказывает большое влияние состояния аффекта на успешность атаки.

Бывают случаи, когда сотрудники намеренно нарушают правила безопасности, но не со зла, а потому что “неудобно”. В одной государственной организации (порядка 150 человек) сотрудники обходили блокировку сайтов ради того, чтобы заказать Wildberries (с телефона смотреть неудобно). А если безопасное действие сложно выполнить, сотрудники могут выбрать продуктивное выполнение работы вместо того, чтобы сделать что-то безопасно. Например, в одном банке был случай, при котором чтобы ускорить процесс подписания договора, сотрудник отдела продаж отправлял на WhatsApp клиенту фотографию договора с окончательной суммой, но тем самым он нарушал конфиденциальность данных», — уточнила руководитель разработки материалов Start X.

Александр Котов указал на то, что чаще всего к успеху злоумышленников приводят невнимательность и доверчивость пользователей. В первом случае злоумышленники используют схожие домены, адреса электронной почты и т. п. Если быть достаточно внимательным, то легко распознать фишинговое письмо. Во втором случае пользователи очень часто оставляют свои данные на различных ресурсах, считая их легитимными. Также пользователи переходят по ссылкам в письмах от доверенных отправителей писем, что не гарантирует безопасность.

Отмечаются ли в последнее время какие-либо изменения в стратегиях и методах, используемых в фишинговых атаках? Если да, то какие именно и почему?

Кай Михайлов отметил, что неизменным фактом в отношении любого мошенничества является его изменчивость и приспособление к обстановкам. Хакеры/злоумышленники виртуозно эксплуатируют резонансные темы, которые на слуху у людей, а также личную информацию — отсюда бесконечное разнообразие обманов на основании личных данных — отпуска, штрафы, медицинские справки, долги, обучение и т. д.

Александр Котов выразил мнение, что в последнее время фишинговые атаки так же, как и другие кибернападения злоумышленников, становятся более изощренными, поскольку все больше компаний уделяют внимание кибербезопасности: устанавливают дополнительные средства защиты, обучают сотрудников. Например, в настоящее время многие организации, а также простые пользователи применяют двухфакторную аутентификацию. Это значительно затрудняет развитие атак злоумышленников. Но даже такую защиту уже научились обходить, хоть и в меньшем количестве.

Юрий Иванов: «Как и в других областях кибербезопасности, методы и стратегии, используемые злоумышленниками в фишинговых атаках, постоянно эволюционируют. Они адаптируются к новым технологиям, обходят современные меры защиты и используют изменения в поведении пользователей для усиления своих атак. Некоторые из последних изменений в фишинговых атаках включают:

Мошенничество и автоматизация с использованием ИИ. Искусственный интеллект и автоматизация могут быть использованы для увеличения эффективности фишинговых атак. Это может включать автоматическое создание фишинговых писем или использование машинного обучения для подбора наиболее успешных тактик.
Применение децентрализованных технологий. Злоумышленники могут использовать технологии блокчейн и смарт-контракты для создания децентрализованных фишинговых сайтов и обхода традиционных методов блокировки
Правдоподобные фишинговые письма. Злоумышленники становятся все более искусными в создании поддельных писем, которые выглядят настолько реалистично, что пользователи могут трудно различить их от официальных писем. Это может включать точное копирование дизайна и контента, а также использование доменов, которые могут быть похожи на оригинальные.

В рамках защиты периметра заказчиков, компания АВ Софт достаточно часто обнаруживает различные атаки, проводимые через автоматическую систему для рассылки фишинговых писем. Такие системы позволяют адаптироваться под домен и почтовую систему атакуемой организации. Во входящих письмах автоматические подставляются логотипы организации, ссылки с тайпсквоттингом на атакуемый домен и призывы сменить пароль от корпоративной почты».

Виталия Демёхина: «К сожалению, о новых методах мы узнаем только тогда, когда кто-то уже был взломан или понес тем или иным образом ущерб. Поэтому главной задачей лучше назвать предопределение этих методов наперед.

С учетом хорошего развития технических средств защиты, основная задача злоумышленников — это дотянуться до жертвы и не вызвать подозрений, поэтому основными изменениями в стратегии можно будет называть атаки, которые не смогут распознать фильтры, такие как: QR-код, использование искусственного интеллекта и т. п.

Например, уже есть случаи успешного использования искусственного интеллекта в атаках. Например, мошенничество с листингом Binance, когда группа хакеров выдала себя за CCO Binance Патрика Хиллманна в серии видеозвонков с представителями криптовалютных проектов, которым пообещала за вознаграждение содействовать в листинге на бирже. Или мошенничество с гражданином Китая, когда хакер использовал искусственный интеллект для воссоздания визуального и голосового подобия друга, чтобы украсть у него более 620 тысяч долларов. Сейчас такие случаи всплывают редко и набирают оборот еще с 2020 года, но зато имеют большой успех.

Также, по словам коллег из Касперского, может возрасти количество атак на малый и средний бизнес, как на менее защищенных. Что вполне логично, ведь проще сменить цель, чем придумывать все новые обходы технических средств защиты».

Владислав Михайлов подтвердил, что в последнее время можно отметить определенные тенденции в эволюции фишинговых атак. Злоумышленники вынуждены постоянно совершенствовать свои методы, чтобы оставаться эффективными в условиях ужесточения защиты. В частности, все больший акцент делается на техниках социального инжиниринга — использовании психологических уловок для манипулирования жертвой. Фишинговые письма становятся более персонализированными и убедительными.

«Ещё одна тенденция — переход к более целевым, а не массовым атакам. Предварительно изучается цель, собирается информация из открытых источников для создания максимально правдоподобной имитации.

Активно используются возможности соцсетей и мессенджеров для распространения фишинговых ссылок. Внедряются вредоносные программы для перехвата данных.

Все эти изменения продиктованы желанием злоумышленников оставаться незаметными и эффективно обходить методы защиты для достижения своих целей».

Какие технологии и подходы являются наиболее эффективными для обнаружения и предотвращения фишинговых атак?

Виталия Демёхина: «Защита — это всегда гонка, со стартом на втором месте. Злоумышленники всегда придумывают как обойти, а защитники вынуждена придумывать как от этого огородиться. И тут, конечно, стоит говорить об эшелонированной защите, не всегда достаточно технических средств защиты, но и без них нельзя. И это ни для кого не секрет, что периодически всплывают кейсы, при которых не хватило технических средств защиты.

Например, известны случаи, когда фильтры пропускали опасные ссылки в письмах. Или один из вопросов на повестке от Лукацкого, а как сейчас компании защищаются от атак через QR: “Вроде как очевидный вектор атаки, но бороться с ним сегодня средства защиты не умеют”. Такие новые технологии будут постоянно эксплуатироваться злоумышленниками до того, как вендоры произведут защиту. Причем узнаем мы о них только тогда, когда кто-то уже понесет ущерб.

Поэтому хорошей стратегией будет техническая защита (почты, мессенджеров и компьютера) пользователя, плюс повышение осведомленности.

Например, отличным решением будет, когда одна система обогащает другую: фильтр ловит опасные письма, на их основе создаются тренировки для сотрудников, таким образом пользователи получают актуальные имитированные атаки и точно будут знать, как выглядят такие письма. Но, как и говорили раньше, стоит предвкушать новые стратегии и превращать инфоповоды в имитированные письма».

Владислав Михайлов рассказал, что для обнаружения и предотвращения фишинговых атак применяются различные технологии и подходы, и перечислил некоторые из наиболее эффективных:

Антивирусное программное обеспечение и антифишинговые инструменты. Использование надежного антивирусного ПО, которое включает функции обнаружения фишинговых атак, может помочь идентифицировать подозрительные веб-сайты или сообщения.
Фильтрация электронной почты и защита от спама. Решения по фильтрации электронной почты и борьбе со спамом могут помочь блокировать вредоносные сообщения и предупреждать пользователей о подозрительных ссылках или вложениях.
Обучение пользователей. Обучение пользователей о методах фишинга и признаках подозрительных сообщений может повысить их осведомленность и бдительность при работе с электронной почтой и интернет-ресурсами.
Многофакторная аутентификация (MFA). Использование многофакторной аутентификации, такой как коды подтверждения или биометрические данные, может значительно повысить безопасность и предотвратить несанкционированный доступ к учетным записям.
Мониторинг и обнаружение аномалий. Реализация систем мониторинга и обнаружения аномалий может помочь выявить подозрительную активность, связанную с фишинговыми атаками, например, необычные попытки входа или перенаправления на подозрительные веб-сайты.
Регулярные обновления и патчи. Важно регулярно обновлять программное обеспечение и применять патчи для устранения уязвимостей, которые могут быть использованы злоумышленниками для фишинга.
Веб-фильтры и блокировщики рекламы. Использование веб-фильтров и блокировщиков рекламы может помочь блокировать доступ к вредоносным или подозрительным веб-сайтам, а также уменьшить количество фишинговых объявлений.
Сетевая защита. Эффективные сетевые механизмы защиты, такие как брандмауэры и системы обнаружения вторжений (IDS/IPS), могут помочь в обнаружении и блокировке фишингового трафика.

Кай Михайлов подчеркнул, что если мы говорим о технической части вопроса, то многолетняя история средств защиты дала нам системы, определяющие фишинговые сообщения по самым разным алгоритмам. Это может быть контекстный анализ текста, выявляющий паттерны, например, сообщения о финансовой пирамиде.

«Также это может быть банальная техническая проверка отправителя (при этом сами легитимные отправители подписывают свои письма с помощью технологий DKIM, DMARC, SPF и т.п.), и отсутствие подобной подписи уже «минус в карму» для письма.

Для социальных сетей и, тем более, мессенджеров пока ещё не появилось подобных технологий, и модерация каналов и групп идёт, по большей части, в ручном режиме, а также с помощью механизма репутации».

Александр Котов: «В первую очередь, это обучение сотрудников, так как более 70% всех успешных атак – это результат неосведомленности пользователей.

Во вторую, это своевременное обновление ПО, установленного на компьютерах, а также использование антивирусных средств защиты, включающих в себя функции Антиспама».

С какими основными проблемами и трудностями сталкиваются специалисты при обнаружении и противодействии фишинговым атакам?

Кай Михайлов: «Изменчивость паттернов текста, домены-«однодневки». Также возникают ситуации, когда происходит хакерская атака и вполне легальный домен компрометируется, а с него рассылается вредоносная почта наряду с легитимной. Самым банальным же вариантом является ситуация, в которой один из доменов компании просто забывают продлить, и он попадает в руки злоумышленников за небольшую плату регистратору доменов».

Как обучение и повышение осведомленности пользователей могут помочь в борьбе с фишингом? Какие подходы в обучении наиболее эффективны?

Максим Грязев уверен, что обучение и повышение осведомленности пользователей являются важными факторами в борьбе с фишингом. Некоторые эффективные подходы в обучении включают:

проведение регулярных тренингов и семинаров по информационной безопасности для всех сотрудников;
разработку информационных материалов, которые объясняют основы фишинга и предоставляют рекомендации по защите;
организацию симуляций фишинговых атак, чтобы пользователи могли на практике узнать, как распознавать и предотвращать подобные атаки.
предоставление регулярных новостных обновлений о фишинге и текущих информационных угрозах.

Александр Котов отметил, что так как, в основном, атаки становятся успешными из-за неграмотности и невнимательности пользователей – риск от фишинга можно максимально снизить за счет повышения осведомленности пользователей.

«На сегодняшний день существует множество различных курсов и платформ обучения. Я считаю, что наиболее успешным является игровой подход, например, как у платформы ASAP от Kaspersky, автоматизированной платформы от Phishman, решений от компании Start X».

Виталия Демёхина считает, что тут же стоит говорить, а какие вообще угрозы человеческого фактора могут навредить? Ведь это не только фишинг, но и такие небезопасные действия как несвоевременное обновление ПО или слабый пароль и т. п.

«Для того, чтобы предотвратить подобные ошибки человеческого фактора, нужно сформировать привычку безопасного поведения, т.е. в большинстве случаев нужно прямо поменять мышление человека. Сделать это не так просто, нельзя пройти курс и изменить поведение, нужно работать по нескольким направлениям: пользователь должен обучиться на теоретических материалах (обучение), пройти практику (тестирование), выработать привычку на основе личного опыта (имитированные атаки), и должен иметь достаточную мотивацию и вовлеченность в обеспечение безопасности компании. Последнее сделать сложнее всего и чаще всего именно тут проблемы в компаниях. Могут быть самые лучшие курсы, самые крутые атаки, но, если человек не понимает зачем ему это нужно, поведение его не изменится.

Частично такое можно решать с помощью курсов, но лучше работают активности на вовлечение (презентации, игры, квесты, поощрения), когда сотрудники обучаются опосредованно и ассоциируют свое поведение с примерами из активностей.

Также важно делать имитированные атаки и курсы актуальными. Например, если качественно составлять фишинговые письма, можно заранее натренировать своих сотрудников на атаки, с помощью которых доставляется инфостиллер для Windows, и подобные им. Для этого нужно очень хорошо анализировать индустрию и все инфоповоды».

Виктор Чащин заявил, что просто обучение и повышение осведомленности не помогают, люди не любят учиться и зачастую пропускают информацию мимо сознания. Гораздо эффективнее работают «натурные испытания», когда сами ИБ-специалисты компании имитируют работу мошенника, после чего максимально индивидуально с каждым попавшимся в ловушки проводят разъяснительную работу.

«И да, перед такими испытаниями обязательно должно быть теоретическое обучение хотя бы в каком-то виде, потому что тогда сотрудник не сможет отвертеться от ответственности по причине незнания».

По словам Кая Михайлова, в нашу цифровую эпоху технологии развиваются быстрее, чем среднестатистический человек успевает осваивать их на приемлемом уровне. Зачастую люди осваивают базовый функционал, но распознавание характеристик фишинга к таким навыкам уже не относится.

«Выработка критического мышления важна для любой сферы жизни, и знание о том, «куда смотреть», резко повышает безопасность любого пользователя, делая его успешный обман для злоумышленника дороже той выгоды, которую он сможет извлечь — это и является главной целью Защиты Информации в широком смысле».

Какие последствия могут возникнуть в результате успешных фишинговых атак? Насколько велики масштабы ущерба?

Владислав Михайлов заметил, что последствия успешных фишинговых атак могут быть весьма серьезными как для отдельных пользователей, так и для организаций. Для рядовых пользователей это может означать кражу личных данных, финансовые потери из-за списания денег с банковских карт, компрометацию аккаунтов и репутационный ущерб. Для компаний фишинг чреват утечками конфиденциальной информации, нарушением работы инфраструктуры, мошенническими транзакциями от имени организации. Фишинг нередко используется для целевых атак на госструктуры и промышленный шпионаж.

Кай Михайлов: ««Мы много слышим о мелких преступлениях, связанных с обманом рядовых людей, в таких случаях ущерб может достигать нескольких миллионов рублей, что и является их сбережениями. К сожалению, крупные компании, которые стали жертвами злоумышленников, редко делятся подобной статистикой.

Причиной тому является боязнь потери репутации, уголовного преследования со стороны клиентов и государства и т.д. Легче всего оценить простейшие методы монетизации фишинга — доступ в сеть компании, к деловой переписке, банально подложная платёжка, которую оплатила компания-жертва.

Гораздо сложнее оценить ущерб от промышленного шпионажа. Каждый взлом, с помощью того же фишинга, может дать информацию конкурентам о планах компании, участии в тендерах, технологических секретах и тонкостях финансовой информации. Подсчитать подобный ущерб зачастую не представляется возможным».

Виктор Чащин уверен, что последствия могут быть совершенно разного масштаба. От нулевых до полного финансового или репутационного краха компании. Причём, по моим наблюдениям, пики вероятностей последствий смещены к краям шкал.

«Чаще всего на фишинг попадаются либо низкоквалифицированные сотрудники, использование данных которых не приносит никакой пользы, либо топ-менеджеры компании, которые ведут себя беспечно и безответственно, что в итоге выливается в значительные потери для компании».

Александр Котов: «В основном, целью фишинга является получение какой-либо чувствительной информации. Последствия для отдельных пользователей – это потеря контроля над аккаунтами, либо утечка данных по платежным картам, или потеря денежных средств, когда пользователь оплачивает какие-либо услуги на фишинговом сайте, принимая его за настоящий.

Что касается компаний, то при успешной атаке злоумышленники могут получить учетные данные руководителей. В результате возможна утечка финансовых средств со счетов организации. Также компания может понести репутационные потери».

Какие меры могут предпринять общество, бизнес и государственные структуры для эффективной подготовки к предотвращению фишинговых атак в будущем?

Кай Михайлов: «Мы пока только входим в сферу использования нейросетей в прикладных целях, но уже можем смотреть с осторожным оптимизмом на то, как ИИ анализирует медицинские данные и показывает результаты диагностики не хуже «живого» врача. Разумеется, идут эксперименты по обучению нейросетей на большом количестве данных. Думаю, что в ближайшее время мы узнаем о первых прикладных решениях в данной области».

Владислав Михайлов заметил, что для общества ключевым является повышение осведомленности рядовых пользователей о методах социальной инженерии и способах распознавания фишинговых атак. Этому могут поспособствовать информационные кампании в СМИ, обучающие онлайн-курсы, памятки от госорганов и т. д.

«Бизнес должен уделять приоритетное внимание внедрению современных технических средств защиты, таких как антифишинговые решения для мониторинга и фильтрации трафика, системы выявления вредоносной активности. А также проводить регулярный аудит ИБ и формировать у сотрудников культуру кибергигиены.

Госструктуры обязаны разрабатывать рекомендации и требования по защите от фишинга, стимулировать их внедрение как в бизнесе, так и в госсекторе. А также совершенствовать правовое регулирование в сфере ИБ и взаимодействие с правоохранительными органами для эффективного пресечения киберпреступлений.

Только комплексный подход, объединяющий усилия всех участников, позволит выработать действенную систему противодействия целенаправленным атакам, к которым относится и социальный инжиниринг в виде фишинга».

Какие методы борьбы с фишингом считаются наиболее перспективными?

Владислав Михайлов: «Когда речь идет о методах борьбы с фишингом, существует ряд технических мер, которые считаются перспективными и эффективными. Такие методы, как Brand Protection, антиспам-фильтры и песочницы, являются значимыми инструментами для защиты от фишинговых атак.

Brand Protection (защита бренда) — это меры, направленные на защиту и поддержку имиджа и репутации бренда. Это включает мониторинг и предотвращение фальшивых веб-сайтов, поддельных электронных писем и других мошеннических попыток использовать бренд для фишинга. Защита бренда важна для предотвращения ущерба для бренда и защиты пользователей от поддельных или фишинговых сайтов, которые пытаются выдать себя за легитимные организации.
Антиспам-фильтры являются эффективным средством защиты от фишинговых электронных писем. Они позволяют автоматически определять и блокировать подозрительные или вредоносные сообщения, которые могут содержать фишинговые ссылки или запросы на предоставление личной информации. Антиспам-фильтры помогают снизить риск того, что пользователи станут жертвами фишинга, и улучшают безопасность электронной почты.
Песочницы (sandbox) представляют собой изолированные среды, в которых можно запускать подозрительные или непроверенные файлы и приложения. Они позволяют изолировать потенциально вредоносный код от основной системы, что позволяет анализировать его поведение без риска заражения. Песочницы помогают выявлять и блокировать фишинговые атаки, основанные на вредоносном программном обеспечении или исполняемых файлах.

Эти технические меры в сочетании с другими методами, такими как обучение пользователей, многофакторная аутентификация и обмен информацией о фишинговых угрозах, создают более надежный и комплексный подход к борьбе с фишингом».

Кай Михайлов наиболее перспективными методами считает развитие критического мышления и понимание базовых технических механик о работе средств электронной переписки позволит защитить себя от большинства неприятностей в современной Сети.

Влияет ли прогрессивное развитие технологий (например, ИИ, машинное обучение) на эффективность борьбы с фишингом? Если да, то как?

Александр Котов: «Да, безусловно, влияет. Это касается применения средств защиты с искусственным интеллектом. При помощи ИИ, например, можно предотвратить попадания пользователей в «ловушки», а также анализировать содержимое электронных писем на предмет неправильных URL-адресов, некорректной грамматики. Также можно идентифицировать запросы о предоставлении конфиденциальной информации».

Юрий Иванов: «Технологии машинного обучения (ML) и искусственного интеллекта (ИИ) имеют все большее влияние на различные области нашей жизни и кибербезопасность не является исключением.

Фишинговые атаки становятся все более изощренными и сложными для обнаружения. Традиционные методы борьбы с фишингом, такие как списки известных мошеннических сайтов и спам-фильтры, имеют свои ограничения.

Системы, основанные на ИИ, могут анализировать содержимое электронных писем и идентифицировать подозрительные признаки, такие как неправильные URL-адреса, поддельные домены, некорректная грамматика и запросы о предоставлении конфиденциальной информации. Используя ИИ в системах электронной почты и браузерах, можно предотвратить попадание пользователей в ловушки фишинговых атак и сохранить их личные данные в безопасности.

Основные направления борьбы с фишингом, где используется ИИ:

Анализ контента. Технологии обработки естественного языка (Natural Language Processing, NLP) и МО используются для анализа содержания фишинговых сайтов и электронных писем. Это позволяет идентифицировать общие характеристики и паттерны, связанные с фишинговыми атаками, такие как поддельные адреса электронной почты, подозрительные ссылки или язык, направленные на создание чувства срочности.
Обнаружение аномалий в трафике, поведении и стилистике написания. Системы ИИ и МО способны анализировать огромные объемы данных и идентифицировать аномалии в поведении пользователей и трафике. Это позволяет выявлять подозрительные активности, которые могут свидетельствовать о фишинговых атаках. Также NLP методы могут использоваться для идентификации пользователей почты по стилю написания писем.
Дообучение и адаптация. Алгоритмы машинного обучения способны самостоятельно обучаться на основе исторических данных о фишинговых атаках и разрабатывать модели, которые могут распознавать новые методы фишинга.
Распознавание доменных имен. Технологии МО могут помочь идентифицировать фишинговые домены, которые могут быть очень похожи на доверенные сайты.
Компьютерное зрение. В контексте борьбы с фишингом, компьютерное зрение может использоваться для обнаружения поддельных веб-сайтов и логотипов, что сделает их выявление более эффективным.
Обучение пользователей. Машинное обучение может использоваться для обучения пользователей распознавать признаки фишинговых атак. С помощью симуляций и тренинговых программ пользователи могут повысить свою бдительность.

Однако, стоит отметить, что злоумышленники также могут использовать технологии ИИ для улучшения своих атак, что делает борьбу с фишингом бесконечной гонкой между кибербезопасностью и киберугрозами. Поэтому важно продолжать развивать и улучшать защитные механизмы, чтобы минимизировать угрозу фишинга и других видов кибератак».

Виталия Демёхина заявила, что развитие технологий всегда влияло на развитие как атак, так и защиты. Но злоумышленники всегда первыми начинают использовать новые технологии, и уже затем, когда становится известно как именно новые технологии используются в атаках, защита, начинает использовать это в своей работе.

«Недавно компания INKY поймала 545 писем с QR-кодом. Это подтверждает, что злоумышленники все чаще начинают использовать новые технологии в своих атаках.

Плюс известно, что QR-код можно использовать для атак на физических лиц. Например, эксперты все чаще публикуют, как злоумышленники могут взломать WhatsApp жертвы, отправив поддельный QR, после его сканирования жертва потеряет доступ к своему аккаунту. Также известны случаи, когда мошенники клеили поддельные QR на самокаты, которые могут перенаправлять пользователей на различные сайты, где они рискуют потерять личные данные или деньги.

С 2020 года набирают обороты атаки с помощью DeepFake. Например, мошенничество с листингом Binance, когда группа хакеров выдала себя за CCO Binance Патрика Хиллманна в серии видеозвонков с представителями криптовалютных проектов, которым пообещала за вознаграждение содействовать в листинге на бирже. Или мошенничество с гражданином Китая, когда хакер использовал искусственный интеллект для воссоздания визуального и голосового подобия друга, чтобы украсть у него более 620 тысяч долларов».

Владислав Михайлов подчеркнул, что развитие технологий, в частности методов искусственного интеллекта и машинного обучения, оказывает существенное влияние на возможности противодействия фишингу.

«Применение ИИ позволяет автоматизировать процесс анализа больших массивов данных о фишинговых атаках и на основе обнаруженных закономерностей создавать эффективные модели для выявления новых угроз. Системы машинного обучения способны оперативно переобучаться и адаптироваться к изменениям в методах социальной инженерии.

ИИ применяется как для улучшения технических средств защиты, таких как антивирусы и спам-фильтры, так и для анализа поведенческих и психологических аспектов социального инжиниринга.

Внедрение технологий искусственного интеллекта позволяет выявлять атаки на более ранних стадиях, автоматизировать рутинные операции по обработке данных о фишинговых угрозах и существенно повысить шансы на предотвращение или своевременное реагирование на инциденты».