Jak uniknąć phishingu

Eksperci szacują, że 3% spamu zawiera pewne formy złośliwego oprogramowania. Jedną z najpopularniejszych form malware jest phishing, za pomocą którego hakerzy tworzą wiadomość e-mail, która wydaje się pochodzić z zaufanego źródła (np. z banków czy sklepów internetowych). Po kliknięciu w link, ofiara zostaje przekierowana na klon serwisu i proszona jest o podanie nazwy użytkownika i wprowadzenie danych dostępowych lub innych informacji osobistych.

Co zrobić, aby zmniejszyć zagrożenie phishingiem?

Krok 1: Pozbądź się spamu

Jeśli chcesz znacznie obniżyć zagrożenie, należy rozwiązać problem spamu. Phishing to produkt uboczny spamu, ale warto pamiętać, że to tylko jedno z wielu zagrożeń ze strony spamu, z którym codziennie się spotykamy. Prawdziwym problemem jest ilość spamu i fakt, że duża jego część wiąże się z potencjalnym niebezpieczeństwem.

Firma Microsoft opisała te zagrożenia w raporcie Security Intelligence Report: „Ponad 75 proc. e-maili wysyłanych w sieci Internet stanowią wiadomości niepożądane. Niechciane wiadomości nie tylko obciążają skrzynki pocztowe, ale również stwarzają warunki do zwiększonej ilości ataków i prób wyłudzania informacji.”

Usuwaj spam i zmniejsz ryzyko phishingu. Najpewniejszym sposobem zapobiegania wyłudzaniu danych jest niepoddawanie użytkowników zagrożeniu – czyli zatrzymywanie spamu zanim wedrze się do sieci. Należy zacząć od filtrowania na bramie.

Krok 2: Ćwicz

Po uruchomieniu środków do antyspamu możesz teraz przejść do następnego zadania: treningu!

Administratorzy IT muszą pamiętać jak ważne jest szkolenie użytkowników i jak dużo można na tym zaoszczędzić.

Sławny haker, Kevin Mitnick, który zamiast szkodzić, uczy w swojej firmie szkoleniowej jak unikać hakerów, potwierdził znaczenie anty-phishingu.

Jego firma przeanalizowała 372 organizacje, które razem mają prawie 300 tys. punktów końcowych. Ataki phishingowe były bardzo często skuteczne przed szkoleniem, z blisko 16% podatnych użytkowników. Po szkoleniu, tylko 1,2% zostało w kręgu ryzyka. Ci przeszkoleni pracownicy stają się „żywym firewallem” – powiedział Mitnick. Nadal uważasz, że świadomość bezpieczeństwa w sieci jest stratą czasu?

Krok 3: Przeszkol swoich użytkowników

Następny etap to przeszkolenie użytkowników. Istnieją firmy, które oferują szkolenia w zakresie phishingu, ale można to również zrobić samodzielnie. Oto kilka rzeczy, których powinieneś nauczyć swoich użytkowników:

• Dowiedz się, w jaki sposób rozpoznać phishing (więcej o tym poniżej),
• Klikaj łącza w wiadomościach, co do których masz pewność, że są oryginalne,
• Nie otwieraj lub nie odpowiadaj na e-maile od firm, o ile się ich nie spodziewasz. Zignoruj wiadomość i przejdź bezpośrednio do strony internetowej, jeżeli zawartość wzbudziła Twoje podejrzenia,
• Nigdy (!) nie wprowadzaj swoich danych lub informacji o kontach bankowych lub kartach internetowych przez email. Upewnij się także, że poufne dane wprowadzasz tylko na zabezpieczonych witrynach,
• Jeśli przez przypadek klikniesz w podejrzany link lub w inny sposób zostałeś narażony na złośliwe oprogramowanie, należy wyłączyć urządzenie lub natychmiast rozpocząć skanowanie za pomocą programu antywirusowego oraz skontaktować się z administratorem.

Inną techniką, którą wykorzystuje się do wyłudzenia danych, jest wysyłanie tego samego maila kilkukrotnie, z nadzieją, że odbiorca ostatecznie go otworzy. Niestety, technika ta okazuje się skuteczna. W ostatnim raporcie przygotowanym przez Verizon ujawniono, że „prowadzenie kampanii z zaledwie trzema e-mailami daje osobie atakującej większą niż 50 procentową szansę na co najmniej jedno kliknięcie. Wysyłając taką kampanię dwukrotnie prawdopodobieństwo to rośnie do 80%”. „Wysyłanie 10 e-mail wyłudzających informacje zbliża się do punktu, gdzie większość atakujących jest pewna, że odnotuje kliknięcia.”

Jak wygląda przynęta

Jeden ze sposobów rozpoznania phishingu to świadomość czym się cechuje. Fałszywy e-mail będzie zawierał podobne cechy do naśladowanych serwisów, ale są pewne rzeczy, których można wypatrywać.

Jedną z cech są błędnie zapisane słowa i niepoprawne formy gramatyczne. Niebezpieczne e-maile czasami zawierają linki, które wyglądają jak autentyczne, ale tak naprawdę kierują do niebezpiecznych stron, lub stron oferujących darmowe nagrody.

Są jeszcze inne wskazówki, które wyszkolone oko dostrzeże z łatwością. Sprawdź adres e-mail nadawcy: umieść kursor (NIE KLIKAJ) na adresie e-mail i sprawdzić w dolnym lewym rogu przeglądarki, gdzie link jest skierowany. To samo możesz zrobić dla linków w tekście.

Banki i witryny ecommerce jasno określają, w jaki sposób kontaktują się z i żądają informacji od klientów. Nigdy nie pytają o dane przez email. Jeśli na przykład, korzystasz z bankowości elektronicznej, wszelkie wiadomości są wysyłane do klientów wewnątrz systemu, który często wykorzystuje dwuskładnikowe uwierzytelnianie.

Ostateczną radę jakiej możesz udzielić użytkownikom to „pomyśl zanim klikniesz”. Warto poświęcić kilka dodatkowych sekund przed otwarciem załączników lub kliknięciem łącza. Mając wątpliwości, warto skontaktować się z administratorem i przekazać mu podejrzanego e-maila. Jeśli to niebezpieczny spam, można poddać go kwarantannie i dodać do listy blokowanych nadawców.

 Narzędzia z dziedziny anti-phishingu

Pamiętaj, nie jesteś sam w tej walce. Istnieje wiele narzędzi zaprojektowanych tak, aby pomóc Ci pozbyć się plagi niechcianych wiadomości e-mail oraz ochronić przed atakami. GFI MailEssentials zapewnia ochronę poprzez pozbywanie się 99% spamu, i specjalne wbudowane funkcje zabezpieczania przed wyłudzaniem informacji.

Dowiedz się więcej na temat GFI MailEssentials – skontaktuj się z Sun Capital – pozbądź się problemu malware i śpij spokojnie!

Źródło: