Фишинг: тренды, угрозы и меры противодействия

Фишинг сам по себе привлекает мошенников экономической эффективностью, потому что создание и распространение некоторых схем не требует больших финансовых и трудовых затрат, а потенциальная прибыль может быть внушительной.

Так, во втором квартале 2024 года 72% фишинговых атак было запущено с использованием бесплатных почтовых сервисов, таких как Google - 72,4%, Microsoft - 16,3% и др. С таких почтовиков можно рассылать как массовые рассылки, так и целенаправленные, однако для последних могут потребоваться дополнительные затраты (создание фишингового сайта со страницей авторизации и т.д.).

При массовом фишинге помимо писем рассылаются также SMS, сообщения в мессенджерах и т.д., таким образом вредоносное ПО/ссылки распространяются в огромных количествах.

Так, согласно исследованиям Fortra's Terranova Security от 2023 года, каждый 10 человек переходит по фишинговым ссылкам.

Fortra's Terranova Security проводит Gone Phishing TournamentTM (GPT) – ежегодное мероприятие по имитации фишинговых атак на разного рода деятельности и объема компании по всему миру.

У испытуемых организаций с численностью сотрудников от 100 до 499 человек выявили самый высокий показатель отправки паролей в поддельных формах на сайтах из писем - 7,3%.

Однако встретить вредоносные ссылки можно не только в письмах, но и даже в откликах с резюме. Такие ссылки могут перенаправить пользователя на фишинговый веб-ресурс, который будет, например, копией настоящего сайта агентства по подбору персонала, где предлагается ввести корпоративные учетные данные.

Кроме того, выросло число мошенничеств, осуществляемых через легитимные сервисы и ресурсы, например, сбор данных через Google Forms или Yandex Forms. Под разными предлогами мошенники предлагают заполнить анкеты, вопросы в которых подразумевают в том числе передачу персональных, финансовых и других личных данных пользователя.

При целенаправленном фишинге злоумышленникам необходима дополнительная подготовка, чтобы использовать более убедительную схему. Необходимо знать, от кого и кому писать или какие фишинговые ресурсы создавать. Поэтому, злоумышленники создают письма со знакомыми темами, такими как чеки, счета, или замаскированные под рассылки от Microsoft. Письма прорабатываются очень детально: имитируются QR-коды и цифровые подписи. Не все сотрудники компаний настолько подкованы в сфере информационной безопасности, что смогли бы, например, сверить дату DKIM-подписи (Domain Keys Identified Mail) с датой отправки самого письма.

Некоторые общаются в Telegram из-за привычки или чувства фантомной безопасности, забывая отключить банально автозагрузку медиа, в котором может находится вредоносное ПО. Если сотрудники компании используют открытые чаты, то злоумышленники могут проникнуть в них и отправить фишинговую ссылку или вложение с вредоносным ПО. Вдобавок к этому открытые чаты можно использовать как основу для создания базы аккаунтов для дальнейшей рассылки.

Не все неспециализированные мессенджеры защищены end-to-end шифрованием, например, Telegram предоставляет возможность создать обычный чат без шифрования. При регистрации сохраняются сведения о номере телефона и могут собираться метаданные: время отправки и получения сообщений, его длинна и др. Используя их, злоумышленники могут отслеживать пользователей, изучать их поведение и интересы. Такая информация поможет лучше подготовиться к целевой атаке. Также неизвестно, останутся ли в безопасности данные, хранящиеся на облачном сервере, при взломе или перекупе чувствительной информации злоумышленниками.

Так как одна из целей фишинга — это кража учетных данных, то внедрение многофакторной аутентификации поможет снизить риск проникновения в инфраструктуру компании. Также важно объяснить сотрудникам опасность регистрации на сторонних сайтах с указанием корпоративной почты. При утечке данных с сайта и отсутствии второго фактора защиты злоумышленники смогут направить фишинговое письмо с «легитимного» почтового адреса. Это возможно осуществить, если пароли от почтового сервиса и стороннего сайта с утечкой совпадают. Для придания еще большей правдоподобности атакующие могут отправить ответ на уже существующую ветку писем. В таком случае вероятность перехода по ссылке и скачивания вложений с вредоносным ПО очень высока.

Внутри компании можно периодически проводить учения, например, используя готовые фреймворки для создания фишинговых рассылок (Gophish) или GPT.

При организации фишинговых учений в первую очередь нужно определить, с кем необходимо их согласовать, чтобы информация о фейковой атаке не дошла до сотрудников заранее.

Для большей правдоподобности лучше отправлять письма в алфавитном порядке всем сотрудникам компании или департамента, если проводится проверка конкретного пласта людей.

Причем необходимо разработать письма различные по наполнению: с фишинговой ссылкой, с небезопасным файлом, с поддельного домена отправителя, с ошибками в оформлении письма/подписи сотрудника и т.д. После проведенной рассылки и подсчета (не)успешности прохождения тестирования, рекомендуется проводить разбор писем на моменты-маркеры, которые помогут сотрудникам в следующий раз увидеть злоумышленника.