Hvad er Spear Phishing, og hvordan tager det store virksomheder op?

Nyheden er fuld af rapporter om "spydsfiskangreb", der bruges mod regeringer, store virksomheder og politiske aktivister. Spyd-phishing-angreb er nu den mest almindelige måde, hvorpå virksomhedens netværk er kompromitteret, ifølge mange rapporter.

Spyd-phishing er en nyere og mere farlig form for phishing. I stedet for at kaste et bredt net i håb om at fange noget overhovedet, håndterer spejfiskeren et forsigtigt angreb og retter sig mod enkeltpersoner eller en bestemt afdeling.

Phishing forklaret

Phishing er praksis for at udgive nogen troværdige til at forsøge at erhverve dine oplysninger. For eksempel kan en phisher sende spam-e-mails, som foregiver at være fra Bank of America, og bede dig om at klikke på et link, besøge en falsk Bank of America-hjemmeside (et phishing-websted) og indtaste dine bankoplysninger.

Phishing er dog ikke kun begrænset til e-mail. En phisher kunne registrere et chatnavn som "Skype Support" på Skype og kontakte dig via Skype-meddelelser, idet du siger, at din konto er blevet kompromitteret, og de har brug for dit kodeord eller kreditkortnummer for at bekræfte din identitet. Dette er også sket i onlinespil, hvor svindlere efterligner spiladministratorer og sender beskeder og beder om dit kodeord, som de ville bruge til at stjæle din konto. Phishing kan også ske via telefonen. Tidligere har du muligvis modtaget telefonopkald, der hævder at være fra Microsoft og siger, at du har en virus, du skal betale for at fjerne.

Phishers kastede generelt et meget bredt net. En phishing-mail fra Bank of America kan sendes til millioner af mennesker, selv personer, der ikke har bank of America-konti. På grund af dette er phishing ofte ret let at få øje på. Hvis du ikke har et forhold til Bank of America og får en email, der hævder at være fra dem, bør det være meget klart, at e-mailen er en fupnummer. Phishers er afhængige af det faktum, at hvis de kontakter nok mennesker, vil nogen til sidst falde for deres fupnummer. Det er den samme grund, at vi stadig har spam e-mails - nogen derude skal falde for dem, eller de ville ikke være rentable.

Tag et kig på anatomien i en phishing-email for mere information.

Hvordan Spyd Phishing er anderledes

Hvis traditionel phishing er en handling om at caste et bredt net i håb om at fange noget, er spyd phishing handlen om omhyggeligt at målrette mod en bestemt person eller organisation og skræddersy angrebet til dem personligt.

Mens de fleste phishing-e-mails ikke er meget specifikke, bruger et spear-phishing-angreb personlige oplysninger til at gøre svindelen til virkelighed. For eksempel i stedet for at læse "Dear Sir, vær venlig at klikke på dette link for fabelagtig rigdom og rigdom". Emailen kan sige "Hej Bob, læs venligst denne forretningsplan, vi udarbejdede på tirsdagens møde og fortæl os, hvad du synes." Emailen kan forekomme at komme fra en person, du kender (muligvis med en forfalsket e-mail-adresse, men muligvis med en rigtig e-mail-adresse, efter at personen blev kompromitteret i et phishing-angreb) i stedet for en person, du ikke kender. Forespørgslen er mere omhyggeligt udformet og ser ud til at det kunne være legitimt. E-mailen kan henvise til en person, du kender, et køb du har lavet, eller et andet stykke personlige oplysninger.

Spyd-phishing-angreb på værdifulde mål kan kombineres med en nul-dag udnyttelse for maksimal skade. For eksempel kan en svindler sende en e-mail til en person i en bestemt virksomhed, der siger "Hej Bob, vil du gerne tage et kig på denne virksomhedsrapport? Jane sagde, at du ville give os nogle tilbagemeldinger. "Med en legitim udseende e-mail-adresse. Linket kunne gå til en webside med indlejret Java eller Flash-indhold, der udnytter nuldagen for at kompromittere computeren. (Java er særlig farligt, da de fleste har forældede og sårbare Java-plug-ins installeret.) Når computeren er gået i fare, kan angriberen få adgang til deres virksomhedsnetværk eller bruge deres e-mail-adresse til at starte målrettede spejfiskangreb mod andre personer i organisation.

En svindler kan også vedhæfte en farlig fil, der er forklædt for at ligne en harmløs fil. For eksempel kan en e-mail med spear-phishing have en PDF-fil, der faktisk er en .exe-fil vedhæftet.

Hvem virkelig behøver at bekymre sig

Spear-phishing-angreb bruges mod store virksomheder og regeringer til at få adgang til deres interne netværk. Vi ved ikke om ethvert selskab eller regering, der er blevet kompromitteret af succesfulde angreb af phishing-phishing. Organisationer beskriver ofte ikke den nøjagtige type angreb, der har kompromitteret dem. De kan ikke engang indrømme, at de overhovedet er blevet hacket.

En hurtig søgning viser, at organisationer med Det Hvide Hus, Facebook, Apple, Det amerikanske forsvarsministerium, The New York Times, Wall Street Journal og Twitter har alle sandsynligvis været kompromitteret af spydsfiskangreb. Det er bare nogle få af de organisationer, vi ved, blevet kompromitteret - omfanget af problemet er sandsynligvis meget større.

Hvis en angriber virkelig ønsker at gå på kompromis med et mål med høj værdi, er et spydsfiskangreb - måske kombineret med en ny nuldagsudnyttelse købt på det sorte marked - ofte en meget effektiv måde at gøre det på. Spear-phishing-angreb nævnes ofte som årsagen, når et mål med høj værdi overtrædes.

Beskytter dig mod Spyd Phishing

Som individ er du mindre tilbøjelige til at være målet for et så avanceret angreb, end regeringer og massive virksomheder er. Imidlertid kan angriberne stadig forsøge at bruge spydsfishing-taktik mod dig ved at indarbejde personlige oplysninger i phishing-e-mails. Det er vigtigt at indse, at phishing-angreb bliver mere sofistikerede.

Når det kommer til phishing, skal du være årvågen. Hold din software opdateret, så du er bedre beskyttet mod at bringe kompromitteret, hvis du klikker på links i e-mails. Vær ekstra forsigtig, når du åbner filer, der er vedlagt e-mails. Pas på usædvanlige anmodninger om personlige oplysninger, selv dem der virker som om de kunne være legitime. Du må ikke genbruge adgangskoder på forskellige hjemmesider, bare hvis din adgangskode kommer ud.

Phishing-angreb forsøger ofte at gøre ting, som legitime virksomheder aldrig ville gøre. Din bank vil aldrig e-maile dig og bede om dit kodeord. En virksomhed, du har købt varer fra, vil aldrig sende dig en e-mail og bede om dit kreditkortnummer, og du får aldrig en øjeblikkelig besked fra en legitim organisation, der beder dig om din adgangskode eller andre følsomme oplysninger. Klik ikke på links i e-mails og udgiv følsomme personlige oplysninger, uanset hvor overbevisende phishing-e-mailen og phishing-webstedet er.

Som alle former for phishing er spydsfishing en form for socialteknikangreb, der er særlig svært at forsvare sig imod. Det eneste, der kræves, er, at en person begår en fejl, og angriberne vil have etableret en tåle i dit netværk.

Billedkredit: Florida Fisk og dyreliv på Flickr