Фишинг в интернете: как не попасть в сети мошенников

Отзывы о дебетовых картах в банке «ВТБ 24»

Обучение

Как мы будем учить? А учить мы будем, устраивая социальный пентест своей компании. Можно пойти несколькими способами.

Пентест на заказ

Побродив по просторам интернета можно достаточно легко найти несколько компаний, которые с радостью выпустят вашими социальными пентестерами:

Например, www.infosec.ru — phishman.ru — http://www.antiphish.ru

Можно пойти этим путем, но нужно понимать, что бюджет данного мероприятия будет зависеть от размеров организации и составлять несколько сотен тысяч рублей в минимальном варианте. По желанию заказчика, представители пентесторов даже могут провести полноценный социальный поиск и добыть адреса почты сами, а могут работать и уже с готовыми данными. Обучение по результатам пениста будет стоить отдельных денег. Из интересного в интернете мы нашли еще пару SaS сервисов:

• phishme.com
• infosecinstitute.com/phishsim

Стоить подобные сервисы будут около 20$ в год за почтовый адрес, но нужно учитывать, что готовые базы шаблонов, которые содержатся в них, будут англоязычными (хотя можно всегда загрузить свои шаблоны) + все международные сервисы (видимо для того, чтобы избежать юридических претензий) в обязательном порядке пишут маленькими буквами внизу письма, что это проверка на фишинг, что, по моему мнению, несколько снижает чистоту эксперимента.

Игровые варианты

Одной из лучших методик обучения является игровая. К примеру, недавно так поступил Сбербанк. Метод, без сомнения, эффективный, но содержит пару недостатков. К сожалению, данный метод действует по факту один раз, а учитывая развитие средств и возможностей, фишингу обучаться нужно на регулярной основе. Но что самое главное, игру нужно делать самому и под себя. В открытом доступе готовых решений найти не удалось.

GoPhish

Теперь давайте я расскажу о решении, которое в конечном счете выбрали для себя мы: GoPhish — OpenSource фреймворк для фишинга

GoPhish, пожалуй, незаслуженно обойден вниманием на Хабре. Поиском удалось найти всего одну статью по данному продукту, а продукт стоит того

Установка GoPhish

Продукт написан на Go и в скомпилированном виде представляет собой один бинарник. Установка проста и не вызывает проблем, есть хороший и простой мануал. Вся процедура установки сводится к генерации ssl сертификат и созданию простого и понятно config.json файла.

Если отметить флажок «Add tracking image», в письмо будет добавлена «следящая картинка» размером 1х1 пиксель. Картинка используется для отслеживания факта открытия письма пользователем. В тексте письма можно использовать следующие ссылочные значения:

Значение	Описание
«.`FirstName`	Имя
«.`LastName`	Фамилия
«.`Position`	Должность
«.`From`	Отправитель
«.`TrackingURL`	url для отслеживания
«.`Tracker`	Картинка для отслеживания
«.`URL`	url страницы перехода

Далее создаем «фишинговые» страницы (вкладка «Landing Pages»), HTML -код страницы нужно ввести в соответствующее окно интерфейса. Поскольку мы не собираемся заниматься реальным фишингом среди своих сотрудников, а хотим их обучать, в качестве фишинговый страницы мы использовали страницу с обучающим материалом, рассказывающим сотрудникам, что такое фишинг и как не попасться на его удочку. (Шаблон страницы выложим во второй части статьи).

Можно также создавать страницы с полями ввода. Причем есть опции, которые сохраняют в том числи и пароли, введенные пользователями, но лучше пользоваться этим очень аккуратно. Теперь создаем профили отправки (вкладка «Sending Profiles»), т.е. по сути некие почтовые данные от имени кого, сотрудник получит письмо и какой почтовый сервер мы будем использовать для рассылки. На последнем шаге создаем кампанию (вкладка Campaigns). «Компания» объединяет все ранее описанное. После ввода всех параметров нужно нажать кнопку «Launch campaign», и компания запустится автоматически.

За результатами компании можно следить на вкладке «Dashboard».

Личный кабинет Konga — получить займ в декабре 2020 через личный кабинет МФО

Рефинансирование от МТС Банк

Статьи об ипотеке

Разница между аннуитетными и дифференцированными платежами

Условия ипотеки на строительство жилья

Как оплатить ипотечный кредит?

Как получить господдержку по ипотеке

Как определить фишинговый сайт

Современные браузеры, почтовые клиенты и антивирусные программы имеют встроенные системы защиты пользователей от мошеннических схем, информирующие о переходе на небезопасный сайт. Согласно статистике «Лаборатории Касперского» за 2018 год, с помощью системы «Антифишинг» было предотвращено более 90 миллиона попыток переходов пользователей на мошеннические сайты. 

Самостоятельная проверка сайта

URL не должен быть слишком длинным, содержать непонятные символы или искажения названия домена известного ресурса. Корректный адрес содержит название сайта, категории и страницы:

Если переход на сайт осуществлен, обращайте внимание на итоговый адрес, поскольку мошенники часто используют редиректы на другие ресурсы. Наличие орфографических ошибок, неправильной верстки и непрофессионального дизайна — также один из признаков фишингового сайта

Настоящие проекты крупных компаний отличаются профессиональным исполнением, качественным дизайном и грамотными текстами.
Платежные данные официальные компании требуют только на сайтах с защищенным протоколом https, если используется небезопасный протокол http и предлагают ввести номер карточки, то сайт фишинговый и его следует покинуть.
При вводе номеров карточек и паролей данные в целях безопасности должны маркироваться точками или звездочками:

Отсутствие подобной защиты тоже свидетельствует о том, что сайт сделан мошенниками.

1. Также помните, что сайты злоумышленников часто содержат вирусное программное обеспечение, которое попадает на компьютер или телефон пользователя. Чтобы обезопасить свои конфиденциальные данные и личный контент от вирусных атак, необходимо устанавливать и своевременно обновлять антивирусные программы. 

Проверка сайта с помощью онлайн-сервисов

Если возникли сомнения в безопасности сайта, на котором требуется ввести личную информацию, воспользуйтесь онлайн-сервисами, проверяющими проект на наличие вредоносных программ и фишинга:

Unshorten.It!

При получении в мессенджере или соцсети сокращенной ссылки расшифруйте ее перед переходом. Скопируйте короткий линк и нажмите Unshorten.It.

После этого отображается скриншот сайта, на который ведется ссылка, а также дается оценка его трастовости и безопасности для детей:

Выберите дебетовую карту

Отзывы о дебетовых картах в банке «ВТБ»

Prevent Phishing Attacks:

Though hackers are constantly coming up with new techniques, there are some things that  you can do to protect yourself and your organization:

• To protect against spam mails, spam filters can be used. Generally, the filters assess the origin of the message, the software used to send the message, and the appearance of the message to determine if it’s spam. Occasionally, spam filters may even block emails from legitimate sources, so it isn’t always 100% accurate.
• The browser settings should be changed to prevent fraudulent websites from opening. Browsers keep a list of fake websites and when you try to access the website, the address is blocked or an alert message is shown. The settings of the browser should only allow reliable websites to open up.
• Many websites require users to enter login information while the user image is displayed. This type of system may be open to security attacks. One way to ensure security is to change passwords on a regular basis, and never use the same password for multiple accounts. It’s also a good idea for websites to use a CAPTCHA system for added security.
• Banks and financial organizations use monitoring systems to prevent phishing. Individuals can report phishing to industry groups where legal actions can be taken against these fraudulent websites. Organizations should provide security awareness training to employees to recognize the risks.
• Changes in browsing habits are required to prevent phishing. If verification is required, always contact the company personally before entering any details online.
• If there is a link in an email, hover over the URL first. Secure websites with a valid Secure Socket Layer (SSL) certificate begin with “https”. Eventually all sites will be required to have a valid SSL. 

Related Pages: History of Phishing, Phishing Techniques, 10 Ways To Avoid Phishing Scams

Где оформить и погасить ипотеку Газпромбанка

Защита от фишинга — основные правила

1. Обязательно проверить URL-адрес, по которому рекомендуется перейти, на наличие незначительных ошибок в написании.
2. Использовать лишь безопасные https-соединения. Отсутствие всего одной буквы “s” в адресе сайта обязано насторожить.
3. С подозрением относиться к любым письмам с вложениями и ссылками. Даже если они пришли со знакомого адреса, это не дает гарантии безопасности: он мог быть взломан.
4. Получив неожиданное подозрительное сообщение, стоит связаться с отправителем каким-либо альтернативным способом и уточнить, он ли его послал.
5. Если все же необходимо посетить ресурс, лучше ввести его адрес вручную или воспользоваться ранее сохраненными закладками (увы, от фарминга это не убережет).
6. Не использовать для доступа к онлайн-банкингу и другим финансовым сервисам открытые Wi-Fi сети: часто их создают злоумышленники. Даже если это не так, подключиться к незащищенному соединению не составляет сложности для хакеров.
7. На всех аккаунтах, где это возможно, подключить двухфакторную аутентификацию. Эта мера может спасти положение, если основной пароль стал известен взломщикам.

Как распознать фишинг в социальных сетях

Если вы узнали в полученном сообщении
какие-либо признаки из данного списка, ни в коем случае не переходите по
ссылкам, не контактируйте с мошенниками и игнорируйте запросы в друзья.

История

Техника фишинга была подробно описана в 1987 году, а сам термин появился 2 января 1996 года в новостной группе alt.online-service.America-Online сети Usenet, хотя возможно его более раннее упоминание в хакерском журнале .

Ранний фишинг на AOL

Фишинг на AOL тесно связан с варез-сообществом, занимавшимся распространением программного обеспечения с нарушением авторского права, мошенничеством с кредитными картами и другими сетевыми преступлениями. После того, как в 1995 году AOL приняла меры по предотвращению использования поддельных номеров кредитных карт, злоумышленники занялись фишингом для получения доступа к чужим аккаунтам.

Фишеры представлялись сотрудниками AOL и через программы мгновенного обмена сообщениями обращались к потенциальной жертве, пытаясь узнать её пароль. Для того, чтобы убедить жертву, использовались такие фразы, как «подтверждение аккаунта», «подтверждение платёжной информации». Когда жертва говорила пароль, злоумышленник получал доступ к данным жертвы и использовал её аккаунт в мошеннических целях и при рассылке спама. Фишинг достиг таких масштабов, что AOL добавила ко всем своим сообщениям фразу: «Никто из работников AOL не спросит Ваш пароль или платёжную информацию».

После 1997 года AOL ужесточила свою политику в отношении фишинга и вареза и разработала систему оперативного отключения мошеннических аккаунтов. В то же время многие фишеры, по большей части подростки, уже переросли свою привычку, и фишинг на серверах AOL постепенно сошёл на нет.

Переход к финансовым учреждениям

Захват учётных записей AOL, позволявший получить доступ к данным кредитной карты, показал, что платёжные системы и их пользователи также уязвимы. Первой известной попыткой стала атака на платёжную систему e-gold в июне 2001 года, второй стала атака, прошедшая вскоре после теракта 11 сентября. Эти первые попытки были лишь экспериментом, проверкой возможностей. А уже в 2004 году фишинг стал наибольшей опасностью для компаний, и с тех пор он постоянно развивается и наращивает потенциал.

Фишинг сегодня

Диаграмма роста числа зафиксированных случаев фишинга

Целью фишеров сегодня являются клиенты банков и электронных платёжных систем. В США, маскируясь под Службу внутренних доходов, фишеры собрали значительные данные о налогоплательщиках. И если первые письма отправлялись случайно, в надежде на то, что они дойдут до клиентов нужного банка или сервиса, то сейчас фишеры могут определить, какими услугами пользуется жертва, и применять целенаправленную рассылку. Часть последних фишинговых атак была направлена непосредственно на руководителей и иных людей, занимающих высокие посты в компаниях.

Фишинг стремительно набирает свои обороты, но оценки ущерба сильно разнятся: по данным компании Gartner, в 2004 году жертвы фишеров потеряли 2,4 млрд долларов США, в 2006 году ущерб составил 2,8 млрд долларов, в 2007 — 3,2 миллиарда; в одних лишь Соединённых Штатах в 2004 году жертвами фишинга стали 3,5 миллиона человек, к 2008 году число пострадавших от фишинга в США возросло до 5 миллионов.

Отзывы о кредитах в Газпромбанке

Создание фишинг сайта

И так приведу пример создания фишингового сайта для социальной сети вконтакте.

Открываем любой браузер, заходим по адресу vk.com,

жмем файл => сохранить как =>

Имя файла: index.html

Тип файла: Веб – страница, полностью с картинками. Жмем кнопку, Сохранить.

Теперь нужно создать скрипт, который будет передавать данные введенные в поле логин и пароль. Назовем его icq.php

Открываем блокнот и вставляем туда этот код.

Закрываем и сохраняем как icq.php

Открываем в блокноте файл, index.html. Открываем поиск (ctrl+f) и вводим <form жмем enter.

Он найдет строчку:

Меняем её на это:

Дальше, смотрим чуть ниже и находим строчку:

Меняем на это:

Смотрим еще чуть ниже и находим строчку:

Меняем на это:

Дальше необходимо кнопку «Войти» включить в форму, чтобы она работала, для этого, находим чуть ниже закрывающийся тег </form>, вырезаем его и вставляем его вот тут.

Когда жертва зайдет на вашу страничку фишинговую, введет «логин» и «пароль», у вас создаться на хостинге еще один файл, ups.php в нем и будут храниться учетные записи.

Вы обмениваетесь только текстовыми сообщениями

Если вы общаетесь только с помощью текстовых сообщений, тогда стоит задуматься о кэтфишинги. Социальные сети сделали общение намного проще. Ты можешь поговорить с любым человеком в любой точке мира. И нет причин обмениваться только текстовыми сообщениями. Сегодня у каждого человека есть Скайп и FaceTime. И конечно, вы всегда можешь поговорить по телефону. Нет причины, чтобы не воспользоваться этой возможностью. Но любители кэтфишинга стараются скрыть свою личность. И если спустя несколько недель вы еще не общались по Скайпу или телефону, тогда вероятно, что ты стала объектом кэтфишинга. Не забывай, серьезные отношения требуют личного общения. Я советую расширить границы общения и поговорить по телефону. Это поможет тебе убедиться, что твой избранник не мошенник.

Происхождение термина “фишинг”

Интересным является происхождение термина фишинг (phishing). Большая часть источников ссылаются на корни английского слова fishing, которое можно перевести как ловить рыбу, или выуживать, что и правда очень точно описывает интернет мошенничество. Единственно, что является непонятным, почему вместо первой буквы f стоит буквосочетание ph. Кстати не в каждом англо-русском словаре можно отыскать слово phishing, только достаточно новые современные словари имеют его в наличии, такой термин присутствует и переводят его просто как фишинг. Понятно, что когда речь идет о рыбной ловле, используют слово fishing, а когда подразумевают мошенничество в интернете в интернете, то применяется термин phishing.

Популярная интернет энциклопедия  «Википедия» этот факт объясняет это тем, что будто термин phishing ведет происхождение “от двух английских слов: password – пароль и fishing –выуживание, то есть выуживание паролей”. Выглядит достаточно логичным такое объяснение происхождения этого слово, если бы не одно “но”. Рasswоrd не имеет буквы «h», отсюда  становится неясно откуда она взялась в слове phishing.

Поэтому более правдоподобным кажется утверждение, что составными частями нового термина phishing, который используют чтобы определить шпионские действия по выуживанию личных финансовых данных, есть два английских слова:  phreaker и fishing.

Слово “phreaker” тоже сложно найти в словарях, потому, что  это специализированный термин, сленг, который применяют чтобы определить людей, досконально изучивших структуру телефонных линий связи и которые пользуются этими знаниями в незаконных операциях. Говоря на современном языке фрикеры это телефонные хакеры.

Еще чаще фишинг происходит в ходе атак, применяя методы социальной разработки. Фишеры могут попытаться напугать клиента, продумав критическую причину, чтобы он сообщил персональные данные. Содержание угроз передает сообщения. Например, заблокировать учетную запись в случае отказа выполнить получателем требований указанных в сообщении (если Вы не сообщите о своих данных в течение недели, Ваша учетная запись будет заблокирована). Часто,  причина, по которой пользователь предположительно должен выпустить конфиденциальную информацию по вызову Фишера, является улучшение системы антифишинга (если Вы хотите защитить себя от фишинга, перейти по этой ссылке и ввести вход в систему и пароль).

Веб-сайты фишинга, в среднем, существуют около 5 дней. Поскольку антифишинг фильтрует достаточно быстро полученную информацию о новых угрозах, Фишер должен регистрировать все новые и новые веб-сайты. Их появление постоянно, т.е. оно соответствует официальному сайту, под которым жулики пытаются подделать веб-сайт.

Посетив поддельный веб-сайт и произведя вход в систему с помощью логина и пароля в соответствующих строках – пользователи предоставляют данные спекулянтам, которые получают доступ в лучшем случае к его почтовому ящику в худшем — в электронную учетную запись. Кассовые счета жертв фишера, фишер обналичивает не самостоятельно так как практически трудно выполнить его не привлекая внимания к человеку, который занят обналичиванием их. Поэтому имея персональные данные, большинство фишеров перепродают их другим жуликам, занятым схемами денежных переводов из учетных записей.

Самые частые жертвы фишинга — банки, поставщики услуг электронного платежа, аукционы. Значит мошенников интересуют те самые персональные данные, которые предоставляют доступ к деньгам. Однако, кража персональных данных из электронной почты также популярна — эти данные могут быть полезны для тех, кто создает вирусы или создает сеть зомби.

Выберите кредит

Отзывы клиентов

Отзывы о Konga (Конга)

Отзывы об ипотеке в Газпромбанке

Что такое фут фишинг

Краткая история фишинга

Появившись еще в первые годы существования интернета, фишинговая атака как вид мошенничества набрала популярность не сразу. Этому способствовали объективные и психологические факторы:

• Хакеры и злоумышленники рубежа тысячелетий позиционировали себя, как людей с принципами и мессианскими идеями. Они часто считали ниже своего достоинства использование таких методов, как фишинговая атака;
• Первый интернет состоял преимущественно из пользователей, которые в среднем были неплохо продвинуты во владении компьютером. По меньшей мере, в эпоху коммутируемого соединения по телефонной линии через модем со скоростью 14 400 кбит/сек они представляли собой основную часть аудитории;
• Интернет еще не стал местом, где вращались миллионы долларов. Пока не существовало ни онлайн-банкинга, ни массового хранения средств пользователей даже в самых заметных платежных сервисах.

Появление криптовалют еще больше подлило масла в огонь. Безопасность площадок торговли цифровыми активами первоначально основывалась на той же паре «логин — пароль», взлом которой обещал одномоментное получение значительной суммы денег.

Сегодня фишингом занимаются уже не одиночки, как это было раньше, а целые сообщества с четким распределением ролей. Часто это интернациональные группировки, где одни занимаются сбором данных, другие — рассылками, а третьим достается изготовление фальшивого веб-контента.

Ежедневно в интернете создаются десятки тысяч новых фишинговых сайтов, и эта цифра постоянно увеличивается.

Контактная информация

Как защитить себя от фишинга?

К сожалению, нет такого инструмента, который бы гарантировал высокий уровень защиты от такого рода мошенников. Чтобы их избежать, нужно использовать несколько элементов. Наиболее важными из них являются здравый смысл и ограниченная уверенность в каждом сообщении. Помните, мы на переднем крае борьбы с преступниками и только от вас зависит, насколько эффективно вы сможете им противостоять.

Также рекомендуется использовать антивирусные программы, несмотря на то, что они не смогут указать, что просматриваемая электронная почта является фишинговой, но они смогут заблокировать некоторые небезопасные сайты и вложения. Уверен, что антивирусное ПО обязательно поможет вам защитить компьютеры и персональные данные.

Также важно использовать актуальное программное обеспечение, в частности операционные системы, потому что новые уязвимости и проблемы безопасности постоянно обнаруживаются разработчиками и обезвреживаются. Помните, что только использование самых последних версий ОС гарантирует получение своевременных обновлений безопасности

Хорошей практикой также является использование двухэтапной проверки личности пользователя в web-сервисах. Она широко используется в электронном банкинге, но доступна во все большем количестве сервисов и веб-сайтов. Двухэтапная (или двухкомпонентная) проверка состоит в вводе дополнительного кода в дополнение к традиционному паролю и логину

Код для входа может быть отправлен вам по электронной почте, в SMS или сгенерирован приложением, предоставленным поставщиком услуг. Существуют также сторонние программы, которые позволяют связывать учетные записи со многими веб-сайтами и создавать коды в одном месте, например, на вашем смартфоне.

Однако наиболее удобной формой двухэтапной проверки являются физические ключи безопасности U2F, которые устраняют необходимость переписывать пароли и коды в блокнот. Просто вставляете ключ в USB-порт компьютера, тем самым связываясь с поддерживаемыми службами для авторизации.

Фишинг представляет собой огромную угрозу, поскольку, согласно некоторым исследованиям, он является не только причиной потери денег многими пользователями, но и основной причиной утечки данных компаний. Однако, как мы показали в этой статье, в большинстве случаев намерения киберпреступников легко распознать и предотвратить их.

КАК РАБОТАЕТ ФИШИНГ

Теперь, когда мы узнали, что такое фишинг в интернете, можно рассмотреть вопрос, а как работает фишинг, какие методы и приемы применяются для обмана доверчивых пользователей интернета.

Фишинговые атаки зависят не только от отправки электронного письма жертвам, но и от того, нажмет ли человек на вредоносную ссылку или откроет ли вредоносное вложение.

Разведка при фишинг-атаке может раскрыть имена, должности и адреса электронной почты потенциальных жертв, а также информацию об их коллегах и имена ключевых сотрудников в их организациях.

Эта информация может быть использована для создания правдоподобной электронной почты. Целевые атаки обычно начинаются с фишинга, содержащего вредоносную ссылку или вложение.

Фишинговые кампании часто строятся вокруг крупных событий, праздников и юбилеев или используют в своих интересах последние новости, как правдивые, так и вымышленные. Как правило, жертва получает сообщение, которое, как представляется, было отправлено известным контактным лицом или организацией.

Использование JavaScript

Некоторые фишинговые мошенники используют JavaScript для размещения изображения допустимого URL-адреса над адресной строкой браузера. URL, отображаемый при наведении курсора на встроенную ссылку, также можно изменить с помощью JavaScript.

Управление ссылками

Фишинговые кампании, как правило, используют один или несколько методов манипулирования ссылками, чтобы обманным путем заставить жертву щелкать мышью, используя разные имена.

Управление ссылками также часто называют скрытием URL-адреса, этот метод присутствует во многих распространенных типах фишинга и используется по-разному в зависимости от злоумышленника и цели.

Простейший подход к манипулированию ссылками заключается в создании вредоносного URL-адреса, который отображается так, как если бы он ссылался на законный сайт или веб-страницу, но при этом фактическая ссылка указывала на вредоносный веб-ресурс.

Пользователи, обладающие достаточными знаниями, чтобы навести курсор на ссылку, чтобы увидеть, куда она направляется, могут избежать доступа к вредоносным страницам.

Сервисы сокращения ссылок

Другая фишинговая тактика – использовать сервисы сокращения ссылок, чтобы скрыть место назначения ссылки. Жертвы не могут знать, указывают ли сокращенные URL-адреса на законные веб-ресурсы или на вредоносные ресурсы.

Подмена в слове зависит от URL-адресов, которые были созданы с использованием различных логических символов для чтения в точности, как доверенный домен. Например, злоумышленники могут зарегистрировать домены, которые используют разные наборы символов, которые отображаются достаточно близко к известным доменам. Один из примеров подмены в слове: включают использование цифр 0 или 1 для замены букв O или l.

Другой пример: злоумышленники могут попытаться подделать домен microsoft.com с помощью m! Crosoft.com, заменив букву i восклицательным знаком. Вредоносные домены могут также заменять латинские символы кириллическими, греческими или другими наборами символов, которые отображаются аналогично.

Метод уклонения от фильтра

Защита от фишинга, которую обходят злоумышленники, – это использование методов уклонения от фильтров. Например, большинство средств защиты от фишинга сканируют электронные письма на предмет определенных фраз или терминов, которые обычно используются в фишинговых письмах. Но, представляя все или часть сообщения в виде графического изображения, злоумышленники иногда могут доставлять свои фишинговые электронные письма.

Другая фишинговая тактика основана на скрытом перенаправлении, когда уязвимость открытого перенаправления не может проверить, что переадресованный URL-адрес указывает на доверенный ресурс.

В этом случае перенаправленный URL-адрес представляет собой промежуточную фишинговую страницу, которая запрашивает у жертвы аутентификационную информацию, прежде чем перенаправить браузер жертвы на законный сайт.

Что такое фишинговый сайт?

Фишинговый сайт — это такой сайт, где либо расположен вирус, который активируется при открытии страницы в браузере, либо внешний дизайн напоминает или полностью копирует оригинальные сайты, либо пользователям якобы предоставляется услуга, для которой требуется ввод данных.

Второй же тип фишинга чаще распространен, так как распознать их в автоматическом режиме сложнее. В таких сайтах обычно полностью копируется дизайн оригинала, к примеру, почтового сервиса или социальной сети. Отличие лишь в том, что адрес у этого сайта немного иной, чем у оригинального. К примеру, повторяются буквы в названии (к примеру, вместо Ida-Freewares,ru могло быть Idda-Freewares). Соответственно, когда пользователь вводит свои логин и пароль, то они просто сохраняются в базе данных негодяев, а сайт выдает какие-либо правдоподобные ошибки в стиле «сервис временно недоступен» или «введен неправильный пароль».

Третий тип фишингово сайта обнаружить сложнее всего, так как сайт может быть сделан весьма качественно. Отличием от предыдущего типа является то, что сайт не требует ввода пароля или логина от чужих сайтов, он просит вас зарегистрироваться или совершить нечто подобное, с целью обязательного ввода ваших личных данных. Стоит отметить, что обещанные в сайте услуги могут даже оказываться, однако введенная вами информация будет сохранена у негодяев. К примеру, так собираются базы данных для спама по электронной почте.

Обучение и повышение осведомлённости

Проведите обучение неИБ-сотрудников по вопросам фишинга и социального инжиниринга и научите их обращать внимание на признаки фишинговых сообщений и сайтов (например, можно воспользоваться простым тестом на внимательность на сайте Cisco Umbrella).
Проведите обучение сотрудников службы ИБ по методам, используемым для организации фишинговых компаний (например, посмотрите запись Cisco Phishing Defense Virtual Summit).
Научите рядовых пользователей перенаправлять в службу ИБ все подозрительные или явно вредоносные сообщения, пропущенные системой защиты.
Внедрите систему компьютерного обучения сотрудников.
Проводите регулярные фишинговые симуляции с помощью приобретенного или бесплатного ПО (например, Gophish) или аутсорсинга данной услуги.
Включите тему защиты от фишинга в программу повышения осведомленности сотрудников (например, путем использования плакатов, хранителей экрана, геймификации, канцтоваров и т.п.).
При необходимости уведомляйте клиентов и партнеров о фишинговых атаках и основных способах борьбы с ними (особенно если того требует от вас законодательство, как это необходимо финансовым организациям в России).

Что делать, если вы все же отправили пароль или данные карточки

Существуют ситуации, когда не удалось вовремя
распознать вредоносный сайт или ссылку. Как быть, когда уже введены данные
банковской карты или пароли от платежных систем:

• в максимально короткие сроки заменить пароли;
• сообщить об инциденте в службу безопасности банка,которая временно заблокирует все платежи по вашему счету.

Защита от мошенников – задача не из простых, и зачастую на «удочку» попадаются даже опытные пользователи. Один из самых главных принципов защиты – всегда поддерживать настороженность при активном веб-общении.

Требования к заемщикам

Как привязать карту?

Привязывать банковскую карту к личному кабинету требуется обязательно

При этом неважно, будете вы получать деньги картой в дальнейшем или нет. Привязка необходима для подтверждения вашей личности

Она осуществляется ещё при подаче заявки на займ после выбора способа получения денег. Откроется форма, которую вам следует заполнить, после чего нажать на кнопку «Зарегистрировать карту».

С вашего счёта спишут небольшую сумму. Вы увидите её в СМС-сообщении. Размер этого платежа введите в соответствующее поле. На этом привязка карты завершится. Сумма, снятая со счёта, возвратится к вам в полном объёме.

Рекомендуемые кредитные карты других банков

Как распознать фишинговое сообщение?

Предугадать действия мошенников не всегда просто, но если мы не позволяем себе увлечься и спокойно подходим к каждому и особенно подозрительному сообщению, проверяем его несколько элементов, то у нас есть хороший шанс не стать жертвой фишинга. Ниже приведены некоторые примеры вредоносных сообщений. В них будут указаны основные элементы фишинговых атак, которые должны помочь вам их распознать.

Обратите внимание на отправителя сообщения

В большинстве случаев мошенники не пытаются скрыть адрес, откуда поступают опасные сообщения, или неумело выдают себя за доверенного поставщика услуг. Приведенный пример ясно показывает, что в поле «От» отсутствует адрес из домена банка, как утверждают киберпреступники. Вместо этого вы можете найти домен *.com.ua или *.org.ua вместо *.ua, который используется финансовыми учреждениями, действующими в Украине. Иногда мошенники более хитры и используют адреса, похожие на службы, которые они олицетворяют, но отличаются от оригинала небольшими деталями, такими как содержание письма или аннотации к ним.

Проверьте адрес страницы, на которую ведет ссылка

Особое внимание в сообщениях электронной почты следует уделять адресам страниц, на которые они ссылаются. Вопреки внешнему виду, вам не нужно нажимать на них, чтобы увидеть, куда они вас перенесут

Просто наведите указатель мыши на ссылку и подождите, пока браузер или программа электронной почты не покажет URL, скрытый под текстом. Особое внимание следует уделять сайтам, не имеющим отношения к предоставляемой услуге.

Не увлекайтесь

Спешка никогда не бывает хорошим помощником. Тоже самое касается анализа полученных сообщений, которые приходят на нашу почту. Преступники часто пытаются заставить потенциальных жертв поторопиться и, конечно же, для того, чтобы спровоцировать ошибку. Они всячески стараются ограничить промежуток действия акции или розыгрыша, когда вы получите свой приз или денежное вознаграждение.

В некоторых случаях мошенники даже угрожают блокировкой учетной записи в каком-либо сервисе. Не обманывайтесь этим и всегда тщательно проверяйте подозрительные сообщения. Помните, что бесплатный сыр бывает только в мышеловке. К тому же организаторы розыгрышей и акций вряд ли будут блокировать вашу учетную запись. Им нужны подписчики и поклонники для других подобных акций.

Запрос конфиденциальных данных – это всегда афера

Основной принцип безопасности при электронной связи поставщиков услуг и их клиентов состоит в том, чтобы не отправлять конфиденциальные данные в переписке. Если вас попросят ввести логин и пароль для службы, потому что ваша учетная запись заблокирована или нечто подобное, вы можете быть уверены, что сообщение было отправлено преступниками. Однако, если у вас есть сомнения, пожалуйста, свяжитесь с поставщиком, к примеру, услуг телефонной связи, который рассеет любые ваши сомнения. Помните, ни банки, ни мобильные операторы или иные службы не имеют права заставлять вас отправлять им персональные данные.

Читать также: Почему в наше время без VPN в Интернет лучше не заходить

Трудности перевода

Значительная часть фишинговых кампаний подготовлена ​​иностранными преступниками, которые не имеют представления о нашем языке. Они используют онлайн-сервисы для перевода содержимого электронных писем на русский или украинский языки, что часто оказывается довольно забавным. Такие сообщения не лишены грамматических ошибок, в них отсутствуют знаки препинания и куча неправильно написанных слов. Если вы заметили что-то подобное, можете без сомнений удалить сообщение.

Остерегайтесь вложений

Преступники также используют вредоносные программы для захвата конфиденциальных данных или взлома компьютеров и целых сетей. Механизм действия тот же и ограничен попыткой убеждения жертвы открыть вредоносное вложение. Чаще всего они скрыты в архивах ZIP или RAR и имеют форму исполняемых файлов EXE или BAT

Однако они также могут скрыть вредоносный код в макросах документов программ Microsoft Office или Google Docs, поэтому вам следует обратить на них внимание и выполнить сканирование с помощью антивирусной программы перед запуском

Если вы обращаете внимание на эти элементы при анализе подозрительных сообщений, скорее всего вас не одурачат преступники