Как интернет-магазины подпитывают фишинговое безумие

Карантин из-за COVID-19, работа из дома и подготовка к праздничному сезону привели к беспрецедентному росту онлайн-покупок и создали прекрасную возможность для фишинговых атак.

Рост онлайн-покупок

Благодаря COVID-19 и карантину 2020 год стал лучшим годом для покупок в Интернете. Мы уже любили онлайн-покупки — без толпы, без поездок, без хлопот, — но в этом году удобство уступило место практичности как главному преимуществу. Живя в изоляции и переживая периоды самоизоляции, отсутствие второстепенных покупок и многие магазины закрыты из-за проблем с персоналом, онлайн-покупки стали для многих спасательным кругом.

Amazon сообщила, что их выручка за третий квартал составила 96,15 млрд долларов США, увеличившись на 37 процентов. Компания прогнозирует выручку в размере от 112 до 121 млрд долларов США в четвертом квартале. По мере приближения праздничного сезона онлайн-продажи снова вырастут. Amazon сообщает, что праздничные закупки уже начались в ноябре.

Конечно, онлайн-покупки — это гораздо больше, чем просто Amazon, но они являются полезным критерием для демонстрации тенденций. Многие потребители все еще слишком напуганы, чтобы делать покупки в магазине. Они встревожены мыслью о скоплении людей, не верят, что правила социального дистанцирования будут соблюдаться, и подозревают, что многие не будут носить маски. Гораздо проще делать покупки из дома.

Если вы один из тех, кто не работает из дома, вы можете сделать заказ онлайн, и ваши товары будут доставлены на ваше место работы. Если вас нет рядом, чтобы расписаться, один из ваших коллег распишется и позаботится о доставке вместо вас.

Это единственный недостаток онлайн-покупок. Доставка.

Беспокойство о доставке

В какой-то момент миллионы и миллионы онлайн-покупок должны покинуть цифровые миры и материализоваться в физическом мире. Это происходит только тогда, когда ваш заказ прибывает. Ожидание доставки может быть стрессовым. Особенно, если это важная посылка. Это может быть не потому, что предмет дорогой, а может быть, вы просто рассчитываете на то, что этот предмет будет доставлен вам вовремя, чтобы вы могли упаковать его и подарить получателю на его день рождения, годовщину или какое-то другое недвижимое событие. крайний срок.

Легко испытывать ползучее беспокойство, когда ждешь доставки. Будет ли поздно? Доставили не по тому адресу или перепутали и еще даже не отправили? Были ли какие-то задержки из-за оформления платежа?

И вот здесь на сцену выходят наши оппортунистические и сезонные субъекты угроз. Миллионы онлайн-продаж означают миллионы доставок. Это много людей, которые не были бы слишком удивлены, получив электронное письмо об их доставке. Таким образом, злоумышленники используют это ожидание и отправляют как можно большему количеству людей электронное письмо, которое является волком в овечьей шкуре.

Фишинговые письма

Фишинговые электронные письма — это мошеннические электронные письма, которые выглядят так, как будто они были отправлены признанным или доверенным лицом, таким как банк, компания или платформа онлайн-платежей. Более изощренные атаки требуют больших усилий, чтобы создать электронное письмо с тем же внешним видом, что и настоящее электронное письмо. Они хотят, чтобы он имел правильный тон, правильную окраску и был убедительным. Они хотят, чтобы получатель поверил в подлинность письма и щелкнул ссылку или открыл вложение.

Ссылка ведет на поддельный веб-сайт, который попытается получить учетные данные для входа или заразить ваш компьютер вредоносным ПО. Если есть вложение, оно будет содержать вредоносное ПО, обычно в виде небольшой программы-дроппера или программы-загрузчика. Он установится в фоновом режиме, а затем загрузит более крупную и опасную вредоносную программу, возможно, троян удаленного доступа (RAT) или одну из многих угроз программ-вымогателей.

Злоумышленники очень быстро реагируют на тенденции. Они могут мгновенно изменить существующую аферу и представить ее в цветах этого сезона. Самый простой способ замаскировать их — сделать так, чтобы они выглядели так, будто их прислал курьер, потому что они знают, что миллионы людей ждут доставки. Они также могут выглядеть так, как будто они принадлежат платежной службе, такой как PayPal, и утверждают, что с вашим платежом возникла проблема. Но не все используют PayPal. А если нет, то сразу понимаешь, что это мошенничество. Но если вы ждете доставку, вы знаете, что будет задействован курьер.

Воспользовавшись феноменом широко распространенной тревоги по поводу доставки, злоумышленники надеются, что средний получатель увидит электронное письмо об их доставке, мысленно вздохнет «О нет!», а затем, не останавливаясь, перейдет по ссылке или откроет вложение. чтобы проверить — или даже предположить, — что электронное письмо может быть ненастоящим. Таким образом, беспокойство о доставке перевешивает базовую кибергигиену.

С фишингом связан смишинг, то есть фишинг с помощью текстового SMS-сообщения. Поскольку текстовые сообщения являются короткими и лаконичными средствами, нет необходимости учитывать внешний вид сообщения. SMS выглядит как SMS независимо от того, кто его отправляет. Злоумышленникам не нужно беспокоиться о поиске правильного шрифта, логотипа, голоса и тона. А низкий лимит символов означает, что сокращенные URL-адреса являются нормой в текстовых сообщениях, поэтому они не вызывают подозрений.

Каждый является целью

Используя адреса электронной почты, взятые из огромных баз данных, содержащих взломанные личные данные, которые можно найти в даркнете, злоумышленники могут рассылать свои поддельные электронные письма буквально миллионам получателей. Вас не выделяют. Вы стали мишенью просто потому, что ваши данные в какой-то момент в прошлом были включены в утечку данных. Это не снайпинг. Это слепая стрельба из пулемета, а затем поиск раненых.

Вы можете легко проверить, была ли ваша электронная почта раскрыта из-за утечки данных. Веб-сайт have I Been Pwned собирает все утечки данных и помещает их в доступную для поиска онлайн-базу данных, содержащую более 10 миллиардов записей. Если ваш адрес электронной почты будет найден в базе данных, вам сообщат, в какой компании или на каком веб-сайте произошло нарушение. Затем вы можете изменить свой пароль на этом сайте или закрыть свою учетную запись.

Однако вы мало что можете сделать со своим адресом электронной почты. Как только это там, это там. И, вероятно, он будет подметен как часть боеприпасов, которые субъекты угроз загружают в свое программное обеспечение для фишинговых кампаний.

Тот же принцип работает и с номерами мобильных телефонов. Утечки данных, которые приводят к утечке личных данных, часто включают данные мобильного телефона. Затем они используются в качестве целевых номеров для автоматизированного программного обеспечения SMS, используемого злоумышленниками.

Почему организациям нужно быть осторожными

Происходит размытие между домашней цифровой жизнью людей и их деловой цифровой жизнью. Люди приносят на работу свои собственные устройства, такие как мобильные телефоны, и подключаются к Wi-Fi. Они делают свои онлайн-покупки дома, но часто предпочитают доставку на место работы, если они собираются быть там в течение дня.

Это означает, что если фишинговое письмо, замаскированное под письмо от курьера, попадет в их рабочий почтовый ящик, они не удивятся. Их интерес к доставке, скорее всего, превзойдет обучение персонала тому, как обнаружить фишинговое письмо.

Они могут получить фишинговое электронное письмо на свой мобильный телефон и переслать его на свою рабочую электронную почту, чтобы распечатать его или работать с ним на большом экране и с настоящей клавиатурой. Они могут использовать свой корпоративный компьютер, чтобы зайти в свою личную веб-почту в обеденное время. Независимо от маршрута, по которому фишинговое электронное письмо попадает в чей-либо рабочий почтовый ящик или на корпоративный компьютер, именно сеть вашей организации подвергается риску заражения и взлома.

Как обнаружить атаки

Эти действия помогут обезопасить ваших сотрудников и вашу сеть от фишинговых и смишинговых атак.

Вы действительно ожидаете доставку? Можете ли вы уже отчитаться за все, что заказали?
Внимательно проверьте адрес электронной почты отправителя. Есть ли у него домен, который вы ожидаете? Если нет, будьте подозрительны. Часто может быть разница в одной букве. Тому есть несколько известных примеров. На одном из них было написано «microsoft.com», но начальная буква «m» была заменена двумя буквами «r» и «n». На первый взгляд «rn» выглядит как «m». Вторым примером был «apple.com», в котором строчная буква «l» ell была заменена заглавной «I» да. В некоторых шрифтах они выглядят совершенно одинаково. Так что смотрите внимательно на каждую букву адреса электронной почты. Не просматривайте и не просматривайте его.
Относитесь к ссылкам как к потенциальным ловушкам. Наведите указатель мыши на них и проверьте всплывающую подсказку, чтобы увидеть, куда они пытаются вас завести. Вы можете сделать так, чтобы текст ссылки говорил что угодно. Это не значит, что ссылка на самом деле указывает именно на это. Если у вас есть какие-либо сомнения, не используйте ссылку. Выполните поиск в Интернете и перейдите на сайт вручную.
Несмотря на все усилия, злоумышленники все еще могут совершать грамматические и орфографические ошибки. В настоящих электронных письмах таких ошибок нет, особенно если они исходят от автоматических систем. Если это выглядит неправильно, это неправильно.
Выглядят ли графика и ливрея профессиональными или они выглядят так, будто кто-то использовал вырезание и вставку, чтобы вставить изображения, и они не совсем соответствуют версии белого цвета на заднем плане?
Ни одна заслуживающая доверия организация не попросит вас предоставить пароли, данные учетной записи или другую конфиденциальную информацию.
Помните, что утечки данных, которые злоумышленники используют в качестве источника адресов электронной почты и номеров мобильных телефонов, также содержат другие личные данные. Так что легко использовать свое имя в тексте электронной почты или SMS. Тот факт, что он упоминает вас по имени, не означает, что электронное письмо или SMS являются подлинными. Вы по-прежнему должны быть осторожны и проявлять осторожность.