This page has been robot translated, sorry for typos if any. Original content here.

Internet Phishing und Methoden zum Schutz dagegen

Фишинг (Phishing)

Die beliebteste Betrugsform im Internet ist derzeit Phishing . Cyberkriminelle nutzen betrügerische Websites, Tastaturabfangprogramme, E-Mail-Nachrichten, die nach den Regeln des Social Engineering erstellt werden, usw. Diese Methoden werden jeden Tag vielfältiger und gefährlicher.

Phishing , wie von Dr. Web, ist eine Technologie des Betrugs im Internet, die den Diebstahl von persönlichen Informationen wie Identifikation und Bankkarten, Zugangspasswörtern usw. beinhaltet. Mit Hilfe von E-Mail-Würmern und Spam-E-Mails werden potenziellen Opfern Briefe aus angeblich legalen Quellen zugesandt Organisationen. In diesen Briefen werden sie gebeten, eine gefälschte Website zu besuchen und PIN-Codes, Passwörter und andere persönliche Informationen zu bestätigen, die in Zukunft von Betrügern benutzt werden, um von dem Konto eines Opfers von Geld oder anderen Verbrechen zu stehlen.

Phishing (Phishing). Nicht zu verwechseln mit Fischen oder Fischen

Phishing (durch Phishing, von Fischen, Fischen, Fischen) - eine Art von Internetbetrug, der den Zugang zu vertraulichen Benutzerdaten - Logins und Passwörter - ermöglicht. Dies geschieht durch Massenmailings von E-Mails im Auftrag bekannter Marken sowie durch persönliche Nachrichten innerhalb verschiedener Dienste, beispielsweise im Auftrag von Banken oder in sozialen Netzwerken. Der Brief enthält oft einen direkten Link zu einer Website, die offensichtlich nicht von der Gegenwart zu unterscheiden ist, oder zu einer Site mit einer Weiterleitung. Nachdem ein Benutzer auf eine gefälschte Seite gelangt ist, versuchen Betrüger mit verschiedenen psychologischen Methoden den Benutzer dazu zu ermutigen, seinen Benutzernamen und sein Passwort auf der gefälschten Seite einzugeben, die er benutzt, um auf eine bestimmte Seite zuzugreifen, wodurch Betrüger Zugang zu Konten und Bankkonten erhalten.

Phishing ist eine der Varianten von Social Engineering, die auf der Unkenntnis der Benutzer über die Grundlagen der Netzwerksicherheit beruht: Insbesondere wissen viele nichts über eine einfache Tatsache: Dienste senden keine Briefe, in denen sie aufgefordert werden, ihre Anmeldeinformationen, ihr Passwort usw. anzugeben.

Einfach gesagt locken die Angreifer die Nutzer an, damit sie ihre persönlichen Informationen wie Telefonnummern, Nummern und Geheimcodes von Bankkarten, Logins und Passwörtern von E-Mails und Konten in sozialen Netzwerken selbst preisgeben.

Um sich gegen Phishing zu schützen, haben sich Hersteller großer Internet-Browser darauf geeinigt, die Benutzer auf die gleiche Weise zu informieren, dass sie eine verdächtige Website geöffnet haben, die möglicherweise Betrügern gehört. Neue Versionen von Browsern verfügen bereits über diese Funktion, die entsprechend als "Anti-Phishing" bezeichnet wird.

Laut der Firma Websense ist das beliebteste Tool zum Erstellen von Phishing- Ressourcen das Rock Phish Kit . Im Moment ist die Situation mit Phishing Om sehr ähnlich der Situation, die vor einigen Jahren beim Schreiben von bösartigen Codes bei ihren Entwicklern herrschte.

Das Wesen des Phishing ist wie folgt: Der Angreifer, der den Benutzer täuscht, zwingt ihn, persönliche Informationen zu liefern (Informationen über Bankkarten, Namen und Passwörter für verschiedene Ressourcen usw.). Der Hauptunterschied dieser Art von Betrug ist die freiwillige Übermittlung von Informationen durch den Benutzer. Um dies zu erreichen, nutzen Betrüger aktiv die Technik des Social Engineering.

Modernes Phishing kann in 3 Arten unterteilt werden: Online , Mail und Combo .

Das älteste ist das Mail-Phishing : Ein Brief wird an die Adresse des Empfängers gesendet, in der er gebeten wird, einige Informationen zu senden.

Online-Phishing umfasst das folgende Schema: Betrüger kopieren offizielle Ressourcen mithilfe ähnlicher Domänennamen und -designs. Dann ist alles einfach. Ein Benutzer, der eine solche Ressource besucht hat, kann seine Daten hier in voller Sicherheit hinterlassen, damit sie in sichere Hände fallen. Tatsächlich liegen diese Informationen in den Händen von Cyberkriminellen. Glücklicherweise gibt es jetzt eine Tendenz, das Wissen der Benutzer über elementare Maßnahmen der Informationssicherheit zu erhöhen, daher verliert dieses Betrugsschema allmählich seine Relevanz

Der dritte Typ ist kombiniert . Seine Essenz liegt in der Schaffung einer gefälschten Website einer echten Organisation, zu der Betrüger versuchen, potenzielle Opfer zu locken. In diesem Fall bieten die Angreifer Benutzern an, einige Operationen unabhängig auszuführen. Im Internet gibt es fast jeden Tag Warnungen vor solchen Ressourcen, die diese Betrugsmethoden bekannt machen. In dieser Hinsicht begannen Betrüger, Keylogger häufiger zu verwenden - dies sind spezielle Programme, die Benutzeranschläge verfolgen und diese Informationen an vorbestimmte Adressen senden.

Wie funktioniert Internet-Phishing?

Besonderheit des Phishing ist, dass das Opfer von Betrug seine vertraulichen Daten freiwillig zur Verfügung stellt.

Angreifer arbeiten mit Tools wie Phishing-Websites, E-Mail-Verteilung, Phishing-Landing Page, Popup-Fenstern und zielgerichteten Anzeigen.

Der Nutzer erhält ein Angebot, sich für irgendwelche Vorteile zu registrieren oder seine persönlichen Daten auf den Webseiten von Unternehmen und Institutionen zu bestätigen, deren vermeintlicher Kunde er ist.

In der Regel tarnen sich Betrüger als bekannte Unternehmen, Social-Networking-Anwendungen und E-Mail-Dienste.

Die E-Mail-Adresse des Absenders ist der Adresse eines vertrauten Firmenbenutzers sehr ähnlich.

Wie man nicht von den Gaunern erwischt wird?

1

Denken Sie daran, dass unter keinen Umständen vertrauliche Daten wie der PIN-Code einer Bankkarte, das Passwort einer E-Mail oder andere persönliche Konten übertragen werden sollten. Weder die Bank noch das soziale Netzwerk werden diese Daten per E-Mail anfordern. Wenn Ihnen der Anrufer als Ihr Provider erscheint und Fragen zu vertraulichen Daten stellt, ist er höchstwahrscheinlich ein Betrüger.

2

Achten Sie immer auf das Design der Website. Wenn eine Website oder eine Zielseite seltsam, unvollständig, beschleunigt oder verdächtig erscheint, kann es sich durchaus um eine Phishing-Website handeln.

3

Beachten Sie die Adressleiste im Link Link. Geringfügige Änderungen der E-Mail-Adresse können dazu führen, dass Sie auf eine komplett andere Website wechseln (z. B. anstelle von ukr.net könnte dies ukl.net sein).

4

Briefe von unbekannten Adressen, die "Druck auf Emotionen ausüben" oder Notfallsituationen sind, sollten vor allem verdächtig sein. Alle Kreditorganisationen, per E-Mail oder Telefon, kontaktieren den Kunden mit Vor- und Nachnamen. Wenn dies in der Beschwerde nicht angegeben ist, wird höchstwahrscheinlich Betrug begangen. E-Mails, die mit Statements wie "Dein Account wurde gehackt!" Oder "Dein Profil wird blockiert!" Beginnen, oder im Gegenteil, einen großen Gewinn erklären, sind in den meisten Fällen betrügerisch.

5

Rufen Sie nicht die Sicherheit Ihres Bankkontos oder Ihrer Kreditkarte unter einer bestimmten Telefonnummer an. Alle Zahlungskarten enthalten eine spezielle Telefonnummer, zu der Sie anrufen müssen.

Visieren

Visen ist eine der Methoden des Social-Engineering-Betrugs, nämlich dass Angreifer, die Telefonkommunikation benutzen und eine bestimmte Rolle spielen (Bankangestellter, Kunde, etc.), unter verschiedenen Vorwänden vertrauliche Informationen vom Karteninhaber locken stimulieren Sie bestimmte Aktionen mit Ihrem Kartenkonto / Ihrer Zahlungskarte auszuführen.

Der erste Fall dieses Online-Betrugs wurde 2006 registriert. Es ist eine Art von Phishing und wird mit War Dialern (Auto-Dialer) sowie Internettelefonie (VoIP) implementiert. Bei dieser Art von Betrug erhalten Angreifer Zugriff auf persönliche Informationen wie Passwörter, Identifikation und Bankkarten usw. Das Täuschungsschema unterscheidet sich nicht wesentlich von Phishing : Nutzer des Zahlungssystems erhalten Nachrichten von der Verwaltung per Post, in denen sie aufgefordert werden, ihre Passwörter zu senden und Konten. Wenn jedoch im Falle von Phishing ein Link zur gefälschten Website angehängt ist, wird der Benutzer beim Phishing aufgefordert, die Stadtnummer anzurufen. Beim Anruf wird eine Nachricht gelesen, in der eine Person aufgefordert wird, ihre vertraulichen Daten preiszugeben. Die Schwierigkeit bei der Offenlegung dieser Art von Betrug besteht darin, dass die Entwicklung der Internettelefonie es Ihnen ermöglicht, Anrufe an eine beliebige Stadt in der ganzen Welt umzuleiten, und der Anrufer wird dies nicht einmal vermuten.

Secure Computing berichtete über die ausgeklügeltste Methode des Betrugs unter dem Visierschema - E-Mail wurde überhaupt nicht verwendet, da die Angreifer einen PC programmierten, um Telefonnummern aus der Datenbank zu wählen und eine aufgezeichnete Nachricht abzuspielen, auf die der Abonnent die Information über sein Guthaben hinwies Die Karte war in den Händen von Betrügern, also muss er eine Nummer über die Telefontastatur eingeben.

Die Verwendung des VoIP-Protokolls kann die Kosten für die Telefonkommunikation erheblich reduzieren, macht aber auch Unternehmen anfälliger für Angriffe. Banken und andere Organisationen, die IP-Telefonie für Sprachkommunikation betreiben, können einem Virenangriff ausgesetzt sein, der noch keinen Schutz gegen sie bietet. Insbesondere The Grugq, ein Informationssicherheitsexperte, der auf der Hack-in-the-Box-Sicherheitskonferenz (HITB) in Malaysia über Betrug sprach, sprach darüber. "Die Angreifer werden ungehindert in Bankennetzwerke eindringen und die Kontrolle über Bank-Telefonkanäle ausüben können", sagt Grugq. Laut ihm sollen Vising-Attacken via VoIP noch vor Ende 2009 stattfinden. Betrüger erhalten vollständigen Zugang zu vertraulichen Informationen, einschließlich Bankkontodaten und Kreditkartennummern. Verhindern sie dies, können nur Profis auf dem Gebiet der Informationssicherheit. "Theoretisch ruft ein Kunde die Bank an, und die Telefonleitung steht bereits unter der Kontrolle von Hackern", sagt The Grugq. In diesem Fall fordert der Betrüger den Anrufer auf, einige Kontoinformationen anzugeben, um den Bankunterstützungsdienst zu kontaktieren.

"Es gibt keine Technologie, die Unternehmen vor diesem Problem schützen kann", ist sich der Experte sicher und stellt fest, dass die aktuellen Systeme den VoIP-Angriff nicht feststellen können. Um es zu organisieren, benötigen Angreifer Standardsoftware, um die Abrechnung von Telefongesprächen und IP-Telefonie zu unterstützen.

Laut Secure Computing konfigurieren Betrüger das War Dialer und wählen Nummern in einer bestimmten Region. Zum Zeitpunkt der Antwort geschieht Folgendes:

  • Der Anrufbeantworter informiert den Benutzer, dass betrügerische Aktivitäten mit seiner Kreditkarte ausgeführt werden und empfiehlt, schnell zu einer bestimmten Nummer zurückzurufen;
  • Nachdem das Opfer zu der Nummer zurückgerufen hat, antwortet die "Computerstimme" dort und sagt, dass der Benutzer die Verifizierung durchlaufen muss und die Kartennummer über die Telefontastatur eingeben muss;
  • Sobald die Kartennummer eingegeben ist, erhält der Betrüger alle Informationen (Adresse, Telefonnummer, vollständiger Name);
  • Mit diesem Anruf kann der Prüfer auch weitere Zusatzinformationen wie das Ablaufdatum, den PIN-Code, die Kontonummer und das Geburtsdatum der Karte erfassen.

Grundlegende Vishing-Trigger

  • Sie werden nach Kartendetails gefragt ... any;
  • Sie sind ständig gezwungen, eine Aktion auszuführen, die Sie vor einer Minute nicht ausführen würden.

Zusätzliche Visting Trigger

  1. Bankangestellte werden auf keinen Fall den Sicherheitscode auf der Rückseite der Karte und den Code aus der Bank-SMS-Nachricht anfordern.
  2. Beunruhigendes Thema der Behandlung. Um das Opfer zu erschrecken und die gewünschte Aktion wahrscheinlicher zu machen, erfinden Betrüger erschreckende Szenarien. Es wird berichtet, dass die Karte gesperrt ist, der Account gehackt ist, der Angehörige in Schwierigkeiten steckt usw.
  3. Ein Versprechen, leicht Geld zu bekommen, das Sie entweder nicht erwartet haben oder nicht so leicht erhalten haben. Um das Opfer zu locken, versprechen die Betrüger, Geld einfach und schnell auf Ihr Konto zu überweisen: zum Beispiel wurde dem Rentner ein unerwarteter Rentenzuschlag ausgezahlt.
  4. Sie haben es eilig und versuchen sehr beharrlich zu überzeugen.
  5. Der Anruf kommt von einer unbekannten Nummer oder einem Handy.
  6. Sie können sicher sein, dass Sie mit Hilfe eines Geldautomaten Geld von der Karte eines anderen auf Ihr Konto überweisen können.

Der hauptsächliche "Weg", wie man sich vor dem Visieren schützt

  1. Beende die Konversation. Um fortzufahren, rufen Sie die Bank unter der Telefonnummer auf der Rückseite der Karte oder auf der offiziellen Website, Firma / Staat. Struktur - durch die Nummer auf der offiziellen Website aufgeführt.

Zusätzliche "Wege" zum Schutz vor Visionen

  • Denken Sie daran, dass Mitarbeiter von Banken und Regierungsbehörden unter keinen Umständen (einschließlich höherer Gewalt) Karteninhaber anrufen, die eine Kreditkartennummer, Gültigkeitsdauer und CVC2 / CVV2-Code angeben müssen.
  • Denken Sie daran, dass eine Übertragung auf die Karte beim Verkauf von Waren oder beim Gewinnen ausreicht, um nur die Kartennummer anzugeben.
  • Informieren Sie auf keinen Fall den dreistelligen Sicherheitscode auf der Kartenrückseite (CVV2 / CVC2) sowie die Codes der Bank-SMS-Nachrichten.
  • Keine Panik, wenn sie dich anrufen, um eine Karte zu blockieren oder einen Account zu hacken. Stattdessen müssen Sie unter der auf der offiziellen Website der Bank oder auf Ihrer Plastikkarte angegebenen Telefonnummer an die Bank zurückrufen.
  • Rational und vernünftig sein - nicht an die Versprechen von Geld glauben, deren Erhalt Sie nicht erwartet haben.
  • Überprüfen Sie die Telefonnummer, von der der Anruf kam: es ist wirklich eine vertraute Telefonnummer der Bank oder es sieht einfach so aus, und überprüfen Sie auch die Telefonnummer durch die Suchmaschinen, vielleicht ist diese Telefonnummer bereits von Betrügern "beleuchtet".
  • Beeile dich nicht. Nehmen Sie sich die Zeit, die Bank / staatliche Institution unter der auf der Website oder Karte angegebenen Telefonnummer zu überprüfen und anzurufen, und bitten Sie, zu der Person zu wechseln, die Sie angerufen hat.

Was tun, wenn Sie Opfer werden?

Sperren Sie die Karte sofort, schreiben Sie eine Erklärung an die Bank und die Cyber-Polizei

Endlich! Wenn Sie einen Phishing-Brief von einer Ihnen bekannten Firma oder Dienstleistung finden, melden Sie dies bei Ihrer Arbeit oder bei Ihrem Provider der Abteilung für Informationssicherheit.

Über facebook.com & wiki