This page has been robot translated, sorry for typos if any. Original content here.

Internet-Phishing et méthodes de protection de celui-ci

Фишинг (Phishing)

La forme de fraude la plus populaire sur le web est le phishing . Les cybercriminels utilisent des sites Web frauduleux, des intercepteurs de clavier, des courriels qui sont compilés selon les règles de l'ingénierie sociale, etc. Chaque jour, ces méthodes deviennent plus diversifiées et dangereuses.

Phishing , selon la définition de Dr. Web, est une technologie de fraude en ligne, qui implique le vol d'informations personnelles privées, par exemple des données d'identité et de carte bancaire, des mots de passe d'accès, etc. organisations. Dans ces lettres, on leur demande de visiter un faux site et de confirmer les codes PIN, mots de passe et autres informations personnelles qui seront utilisées par les fraudeurs à l'avenir pour voler le compte d'une victime d'argent ou d'autres crimes.

Phishing Ne pas confondre avec la pêche ou le pishing

L'hameçonnage (hameçonnage en anglais, de la pêche, de la pêche, de la pêche) est un type de fraude sur Internet, dont le but est d'avoir accès à des données confidentielles d'utilisateur - identifiants et mots de passe. Cet objectif est atteint grâce à l'envoi massif de courriels pour le compte de marques populaires, ainsi que de messages personnels dans divers services, par exemple, pour le compte de banques ou au sein de réseaux sociaux. La lettre contient souvent un lien direct vers un site Web qui ne peut pas être distingué du présent, ou vers un site Web avec une redirection. Une fois que l'utilisateur a accédé à la fausse page, les escrocs tentent d'inciter l'utilisateur à entrer son identifiant et son mot de passe sur la fausse page, utilisée pour accéder à un site donné, ce qui permet aux escrocs d'accéder à leurs comptes et comptes bancaires.

L'hameçonnage est l'une des formes d'ingénierie sociale basée sur l'ignorance des bases de la sécurité réseau: en particulier, beaucoup ignorent le fait: les services n'envoient pas de lettres avec des demandes d'informations, mot de passe, etc.

En termes simples, les pirates informatiques incitent les utilisateurs à divulguer leurs informations personnelles, par exemple les numéros de téléphone, les numéros et les codes secrets des cartes bancaires, les identifiants et les mots de passe des e-mails et des comptes sur les réseaux sociaux.

Pour se protéger contre l'hameçonnage, les fabricants des principaux navigateurs Internet ont convenu d'utiliser les mêmes méthodes pour informer les utilisateurs qu'ils ont ouvert un site suspect pouvant appartenir à des escrocs. Les nouvelles versions de navigateurs ont déjà cette capacité, appelée "antiphishing".

Selon Websense, l'outil le plus populaire pour créer des ressources de phishing est le Rock Phish Kit . À l'heure actuelle, la situation avec l' hameçonnage est très similaire à la situation qui existait il y a plusieurs années lors de l'écriture de codes malveillants lorsque leurs concepteurs sont apparus.

L'essence de l' hameçonnage est la suivante: l'agresseur, trompant l'utilisateur, l'oblige à fournir des informations personnelles (informations sur les cartes bancaires, noms et mots de passe à diverses ressources, etc.). La principale différence de ce type de fraude est la fourniture volontaire par l'utilisateur de ses informations. Pour ce faire, les escrocs utilisent activement la méthode d'ingénierie sociale.

Le phishing moderne peut être divisé en 3 types: en ligne , postal et combiné .

Le plus ancien est le phishing : une lettre est envoyée à l'adresse du destinataire avec une demande d'envoi d'informations.

Le phishing en ligne implique le schéma suivant: les escrocs copient les ressources officielles en utilisant des noms de domaine et un design similaires. Alors tout est simple. Un utilisateur qui visite une telle ressource peut laisser ses données ici en toute confiance qu'elles tomberont entre des mains fiables. En fait, cette information est entre les mains des cybercriminels. Heureusement, il y a maintenant une tendance à accroître les connaissances des utilisateurs sur les mesures de base de la sécurité de l'information, par conséquent, ce système de fraude perd progressivement de sa pertinence

Le troisième type est combiné . Son essence réside dans la création d'un faux site Web d'une organisation réelle, à laquelle les escrocs tentent d'attirer des victimes potentielles. Dans ce cas, les attaquants proposent aux utilisateurs d'effectuer certaines opérations par leurs propres moyens. Sur Internet, presque tous les jours, des avertissements sur des ressources similaires rendent ces méthodes de fraude bien connues. À cet égard, les escrocs sont devenus des enregistreurs de frappe plus utilisés - ce sont des programmes spéciaux qui suivent les frappes des utilisateurs et envoient ces informations à des adresses préétablies.

Comment fonctionne le phishing sur Internet?

La spécificité de l'hameçonnage est que la victime de la fraude donne volontairement ses informations confidentielles.

Pour ce faire, les pirates utilisent des outils tels que les sites d'hameçonnage, la distribution de courrier électronique, la page de destination du phishing, les fenêtres contextuelles, la publicité ciblée.

L'utilisateur reçoit une offre pour s'inscrire à des avantages ou pour confirmer leurs données personnelles sur les sites Web des entreprises et des institutions, le client prétendument qui il est.

En règle générale, les arnaqueurs se font passer pour des entreprises bien connues, des applications de réseaux sociaux, des services de messagerie électronique.

L'adresse e-mail de l'expéditeur est vraiment similaire à l'adresse d'une entreprise familière à l'utilisateur.

Comment ne pas devenir accro aux escrocs?

1

Tout d'abord, rappelez-vous que personne et en aucun cas ne peut transférer de telles données confidentielles comme un code PIN d'une carte bancaire, d'un mot de passe e-mail ou d'autres comptes personnels. Ni la banque ni le réseau social ne demanderont ces données par e-mail. Si l'appelant semble être votre FAI et pose des questions sur les données confidentielles, il est très probablement un fraudeur.

2

Toujours faire attention à la conception du site. Si le site ou le prêt semble étrange, inachevé, rivé, ou provoque une certaine suspicion, il peut très bien être que c'est un site d'hameçonnage.

3

Faites attention à la barre d'adresse dans le lien de référence. Des changements mineurs dans l'adresse e-mail peuvent vous conduire à un site complètement différent (par exemple, ukr.net peut être remplacé par ukl.net).

4

Les lettres d'adresses inconnues qui «mettent la pression sur les émotions» ou qui sont de nature urgente devraient d'abord éveiller les soupçons. Tous les établissements de crédit par e-mail ou par téléphone au client par nom et prénom. Si cela n'est pas indiqué dans l'appel, il y a fort probablement un fait de fraude. Les lettres qui commencent par des affirmations telles que «Votre compte est piraté!» Ou «Votre profil sera bloqué!» Ou, inversement, l'annonce d'un gain majeur, dans la plupart des cas, est frauduleuse.

5

N'appelez pas la sécurité de votre compte bancaire ou carte de crédit au numéro de téléphone suggéré. Toutes les cartes de paiement indiquent un numéro de téléphone spécial, selon lequel vous devez appeler.

VISHING

VISHING est l'une des méthodes de fraude sociale, qui consiste à utiliser une communication téléphonique et à jouer un certain rôle (employé de banque, acheteur, etc.) pour que les attaquants, sous différents prétextes, incitent le détenteur de la carte à divulguer stimuler à effectuer certaines actions avec votre compte de carte / carte de paiement.

Le premier cas de cette fraude sur Internet a été fixé en 2006. C'est une sorte d' hameçonnage et de mise en œuvre avec l'utilisation de numéroteurs de guerre (numéroteurs automatiques), ainsi que la téléphonie sur Internet (VoIP). À l'aide de ce type de fraude, les intrus ont accès à des informations personnelles telles que mots de passe, cartes d'identité et cartes bancaires. Le système de fraude ne diffère pas beaucoup de l' hameçonnage : les utilisateurs du système de paiement reçoivent par courrier électronique les messages des administrateurs. compte. Mais si dans le cas de l' hameçonnage, il est attaché un lien vers un faux site, puis lorsque phishing e utilisateur propose d'appeler le numéro de la ville. Lorsque vous appelez, un message est lu, dans lequel la personne est invitée à révéler ses données confidentielles. La difficulté à divulguer ce type de fraude est que le développement de la téléphonie sur Internet vous permet de rediriger les appels vers un numéro de ville n'importe où dans le monde, et l'appelant ne s'en doutera même pas.

La société Secure Computing a signalé la méthode de fraude la plus sophistiquée selon le schéma de vashing - le courrier électronique n'était pas utilisé ici, les attaquants programmant le PC pour composer les numéros de téléphone de la base de données et perdant un message préenregistré à l'attention de l'abonné. la carte était entre les mains d'escrocs, il doit donc entrer le numéro sur le clavier du téléphone.

L'utilisation du protocole VoIP peut réduire considérablement le coût de la téléphonie, mais rend également l'entreprise beaucoup plus vulnérable aux attaques. Les banques et autres organisations utilisant la téléphonie IP pour la communication vocale peuvent être victimes d'une attaque vyshin, qui n'est pas encore protégée. En particulier, The Grugq - un expert en sécurité de l'information, qui a parlé de la fraude lors de la conférence Hack In The Box Conférence de sécurité (HITB) en Malaisie, a parlé de cela. "Les attaquants pourront entrer librement dans les réseaux bancaires et exercer un contrôle sur les canaux téléphoniques des banques", explique M. Grugq. Selon lui, les attaques de souhait via VoIP auront lieu avant la fin de 2009. Les escrocs auront un accès complet à des informations confidentielles, y compris les données bancaires et les numéros de cartes de crédit. Pour les empêcher de faire cela ne peut être un professionnel dans le domaine de la sécurité de l'information. "Théoriquement, le client appelle la banque, et la ligne téléphonique est déjà sous le contrôle des pirates", - dit The Grugq. Dans ce cas, le fraudeur demande à l'appelant de fournir des informations comptables afin de contacter le service d'assistance de la banque.

"Il n'y a pas de technologie qui puisse garantir la protection des entreprises contre ce problème", assure l'expert, notant que les systèmes existants ne peuvent pas déterminer une attaque VoIP. Pour l'organiser, les pirates ont besoin d'un logiciel standard pour prendre en charge la facturation des conversations téléphoniques et de la téléphonie IP.

Selon Secure Computing, les fraudeurs configurent un numéroteur de guerre qui compose des numéros dans une région particulière. Au moment de la réponse, les événements suivants se produisent:

  • Le répondeur informe l'utilisateur que des actions frauduleuses sont effectuées avec sa carte de crédit et il recommande de rappeler rapidement à un certain numéro;
  • Après que la victime a rappelé le numéro, la "voix de l'ordinateur" y répond en disant que l'utilisateur doit subir un rapprochement et entrer le numéro de carte à partir du clavier du téléphone;
  • Une fois le numéro de carte entré, l'escroc obtient toutes les informations (adresse, numéro de téléphone, nom complet);
  • Grâce à cet appel, le viseur peut également collecter d'autres informations supplémentaires, telles que la période de validité de la carte, le code PIN, le numéro de compte bancaire et la date de naissance.

Les "déclencheurs" de base d'un vashing

  • On vous demande les détails de la carte ... tout;
  • Vous êtes constamment obligé d'effectuer une action que vous n'aviez pas l'intention de faire il y a une minute.

Des "déclencheurs" supplémentaires d'un "vashing"

  1. Les employés de la banque ne demanderont en aucun cas le code de sécurité au dos de la carte et le code du message SMS de la banque.
  2. Thème alarmant du traitement. Pour effrayer la victime et l'amener à commettre l'action désirée, les escrocs proposent des scénarios effrayants. Il est signalé que la carte est bloquée, le compte est piraté, le parent est en difficulté et ainsi de suite.
  3. Promesse est facile d'obtenir de l'argent que vous ne vous attendiez pas à recevoir, ou n'a pas pensé à obtenir si facilement. Pour attirer la victime, les escrocs promettent de transférer facilement et rapidement de l'argent sur votre compte: par exemple, une prime de retraite imprévue est ajoutée au pensionné.
  4. Vous êtes pressé et vous essayez très souvent de changer d'avis.
  5. L'appel provient d'un numéro inconnu ou d'un numéro de portable.
  6. Vous êtes assuré qu'avec l'aide d'un guichet automatique, vous pouvez transférer de l'argent de la carte de quelqu'un d'autre - à la vôtre.

La principale "méthode" de comment se protéger de vishing

  1. Terminez la conversation. Pour continuer, appelez la banque par le numéro de téléphone indiqué au dos de la carte ou sur son site officiel, la société / l'état. structure - par le nombre indiqué sur le site officiel.

Comment se protéger de vishing

  • Rappelez-vous que les employés des banques et des organismes gouvernementaux ne doivent jamais, en aucun cas (y compris force majeure), appeler les titulaires de cartes de paiement avec le numéro de la carte de paiement, sa période de validité et le code CVC2 / CVV2.
  • Rappelez-vous que pour obtenir un transfert sur la carte lorsque vous vendez le produit ou gagnez, il suffit de spécifier uniquement le numéro de la carte.
  • Ne jamais divulguer en aucun cas un code de sécurité à trois chiffres au dos de la carte (CVV2 / CVC2), ainsi que des codes provenant des banques SMS.
  • Ne paniquez pas si vous êtes appelé à bloquer la carte ou à tenter de briser le compte. Au lieu de cela, vous devez appeler la banque par le numéro de téléphone indiqué sur le site officiel de la banque ou sur votre carte plastique.
  • Soyez rationnel et raisonnable - ne croyez pas aux promesses d'argent que vous ne vous attendiez pas à recevoir.
  • Vérifiez le numéro de téléphone d'où provient l'appel: c'est vraiment un numéro de téléphone familier de la banque ou il ressemble à ça, et vérifiez également le numéro de téléphone via les moteurs de recherche, ce numéro de téléphone est déjà "exposé" par les escrocs.
  • Ne te précipite pas. Prenez le temps de vérifier et appelez la banque / institution d'État par le numéro de téléphone indiqué sur le site ou la carte et demandez à passer à la personne qui vous a appelé.

Et si tu devenais une victime?

Immédiatement bloquer la carte, écrire une demande à la banque et la cyberpolicy

Enfin! Si vous trouvez un courriel d'hameçonnage provenant d'une entreprise ou d'un service que vous connaissez, signalez-le au service de sécurité de l'information dans votre travail ou chez le fournisseur.

Via facebook.com et wiki