Что такое фишинг? Откуда он? Как с ним бороться.

Сентябрь 16, 2007 – 11:57 дп (добавил coguar)

Для того чтобы понять ЭТО, прочитайте сначала полностью статью.

Если Вам говорят, что утеряны Ваши данные, и просят выслать их кому-то там,
Проверьте, действительно ли данные были утеряны, войдя в сервис о котором ведется речь!
И если Вы успешно зашли в тот сервис о котором речь, Вас обманывают,
Потому что при падении или утери данных сервером - Вы как правило получите ответ "Неверный логин или пароль"
Падение базы - процесс существующий, но существует он не так часто как может показаться!

Все уже привыкли к основным опасностям Интернета: мошенникам, хакерам и вирусам. Эти темы изучены вдоль и поперек, по ним написано множество статей и даже книг. Однако сегодня все большему и большему числу интернетчиков приходится сталкиваться с новой угрозой. Речь идет о фишинге. Что это такое? Само слово "фишинг" происходит от английского fishing, что, в свою очередь, переводится как рыбалка. И в этом нет ничего удивительного. Фишинг - это особый вид мошенничества в Глобальной сети, очень похожий на рыбную ловлю. Злоумышленник закидывает приманку и "вылавливает" всех "рыбок"-интернетчиков, которые на нее клюнут.

Если же говорить серьезно, то суть фишинга сводится к следующему. Злоумышленник обманным путем заставляет интернетчика предоставить ему секретную информацию: авторизационные данные для выхода в Интернет, информацию о банковских счетах и кредитных картах и т. п. Причем особо стоит отметить, что жертва совершает нужные злоумышленнику действия абсолютно самостоятельно, а не по принуждению, правда, не понимая, что же она делает на самом деле. На первый взгляд кажется, что мошенникам нелегко добиться этого. Но на самом деле фишеры оказываются неплохими психологами и бьют наверняка.

Сегодня существует три вида фишинга - почтовый, онлайновый и комбинированный. Первый из них самый старый. Он заключается в отправке жертве специального письма по электронной почте с требованием выслать в ответ какие-либо данные. А в качестве наглядного примера можно привести самый примитивный способ получения данных для выхода в Интернет. Злоумышленник просто-напросто представляется сотрудником провайдера интернетчика и, рассказывая историю о "полетевшей" базе данных, просит последнего выслать его логин и пароль. Причем для большей убедительности мошенник может использовать почтовый ящик с названием сервера, похожим на название сервера провайдера.

Под онлайновым фишингом подразумеваются аферы, когда злоумышленники копируют какие-либо сайты, чаще всего интернет-магазины. При этом они используют похожие доменные имена и идентичный дизайн. Ну а дальше происходит следующее. Допустим, интернетчик, попавший в такой магазин, решил приобрести какой-либо товар. Причем число таких людей достаточно велико. Ведь злоумышленники зачастую предлагают различные вещи буквально по демпинговым ценам (они же их на самом деле не продают). Ну а подозрения, которые могли бы возникнуть у потенциальных жертв, рассеиваются благодаря известности копируемого сайта. Все-таки люди считают, что они находятся на веб-сервере реально действующего и имеющего хорошую репутацию магазина. Решив приобрести товар, интернетчик регистрируется в системе. При этом есть достаточно большая вероятность того, что для этого он использует точно такой же пароль, как и в других сервисах (многие интернетчики всегда используют одно ключевое слово, несмотря на все предупреждения со стороны специалистов по информационной безопасности). Кроме того, для покупки товара интернетчик введет номер и прочие данные своей пластиковой карты. Именно это и нужно злоумышленнику, который может тут же опустошить кредитку жертвы.

Оба описанных вида фишинга существуют уже давно. Они достаточно примитивны, так что внимательный и скептически настроенный человек сможет избежать столь простой ловушки. Тем более что в последнее время общий уровень образованности интернетчиков в области информационной безопасности стал несколько выше. Так что почтовый и онлайновый фишинги превратились в неэффективные виды онлайнового мошенничества. Однако на смену им пришел третий тип фишинга, комбинированный. И почти сразу же получил огромное распространение. Суть этого способа обмана заключается в следующем. Злоумышленник создает поддельный сайт какой-либо организации, а затем завлекает на него пользователей с помощью писем-приманок. Главная опасность комбинированного фишинга заключается в его высокой правдоподобности. И действительно, никто не требует от человека отправки пароля по электронной почте. Ему всего лишь предлагают зайти на корпоративный сайт по приведенной ссылке (на самом деле это всего лишь подделка) и самому произвести необходимые операции.

Причем фишеры сплошь и рядом оказываются хорошими психологами. Так, например, однажды многие владельцы пластиковых карт одного из крупных банков получили особое электронное письмо. В нем было написано примерно следующее: "Сегодня на ваш счет пришел перевод, сумма которого превышает 1000 долларов. В соответствии с нормативными актами и договором вам необходимо подтвердить его получение. Если в течение трех суток вы этого не сделаете, деньги будут отправлены обратно. Для того чтобы подтвердить получение перевода, откройте ссылку в конце этого письма и введите необходимую информацию". Под необходимой информацией, естественно, подразумеваются номер пластиковой карты, срок ее действия, наличие или отсутствие овердрафта и т. п. И многие люди не смогли перебороть свою жадность, оставив важную информацию на сайте-подделке.

Кроме того, фишеры прекрасно используют в своих целях самые различные события. Так, например, почти сразу после начала истории с "Юкосом" были отмечены попытки мошенничества, связанные с именем этой компании. В качестве приманки фишеры использовали электронные письма, которые они отправляли от имени бывшего бухгалтера этой фирмы, в руках которого будто бы случайно оказался доступ к секретным зарубежным счетам. Но для того чтобы воспользоваться этими деньгами, ему нужны посредники, способные перевести их на свой банковский счет и получить за это хорошие проценты. Ну и в процессе переговоров злоумышленники получали всю необходимую им информацию.

На первый взгляд кажется, что фишинг - это просто еще один вид онлайнового мошенничества. И первоначально так оно и было. Впервые об этом виде преступлений общественность узнала в 1996 году. Тогда сразу несколько тысяч клиентов провайдера America Online получили электронные письма от "представителя компании" с просьбой выслать логин и пароль для входа в систему. И многие попались на эту уловку. С тех пор извещения о фишинге появлялись периодически. Но никогда этот вид мошенничества не принимал особо широких масштабов.

Однако начиная с прошлого года ситуация изменилась самым кардинальным образом: начался самый настоящий бум фишинга. Так, например, с октября по декабрь прошлого года количество обнаруженных фальшивых сайтов выросло почти в два раза (с 1186 до 1740). Кроме того, общее число уникальных электронных писем-приманок за тот же интервал увеличилось на 42 процента. Для такого короткого срока это очень значительный рост. Вообще же за прошлый года фишеры скопировали сайты более чем 140 известных организаций. В течение этого времени Федеральная комиссия по торговле США (именно она занимается всеми интернет-мошенничествами в этой стране) зарегистрировала почти 10 миллионов жалоб на фишеров от обманутых пользователей и различных организаций. Общий же убыток от деятельности этих мошенников в 2004 году превысил 10 миллиардов долларов.

Такие масштабы совместно с чрезвычайно быстрым ростом позволили говорить о фишинге как об отдельной угрозе. Кстати, быстрый рост числа подобных мошенничеств спровоцирован двумя причинами. Во-первых, общественность еще слабо подготовлена к фишингу. Большинство интернетчиков просто-напросто не слышали о такой угрозе и не представляют себе, что это такое и как можно себя обезопасить. Ну а во-вторых, законодательства практически всех стран также оказались не готовы к фишингу. А поэтому найти преступника и, самое главное, доказать его вину, добившись от суда серьезного наказания, а не мизерного штрафа, очень и очень сложно. Это видно даже из статистики размещения фальшивых сайтов. Ведь практически треть из них, а точнее, 32 процента от общего количества, располагаются на американских хостинг-серверах, то есть в стране, которую большинство людей считают лидером по борьбе с онлайновым мошенничеством.

Что делать, чтобы избежать фишинга

Есть и хорошие новости - можно избежать фишинговых атак и сайтов, следуя некоторым правилам.

• Внимательно относитесь к ответам на письма, в которых вас просят предоставить конфиденциальную информацию. Опасайтесь нажимать ссылки в письмах или отвечать на письма, запрашивающие такие сведения, как номера счетов, имена пользователя и пароли, а также другие личные сведения, например ИНН. Большинство законных фирм никогда не запрашивают такие сведения по электронной почте. По крайней мере Google этого не делает.
• Перейдите на сам сайт, а не нажимайте ссылку в подозрительном письме. Если вы получили сообщение, в котором вас просят ввести конфиденциальную информацию, но вам кажется, что оно может быть настоящим, откройте новое окно браузера и перейдите на сайт организации обычным путем (с помощью закладки или введя адрес веб-сайта организации). Это увеличит шансы того, что вы имеете дело с веб-сайтом организации, а не фишинговым сайтом. Если вам действительно нужно принять какие-то меры, на сайте обычно есть уведомление. Кроме того, если вы не уверены в достоверности запроса, сразу свяжитесь непосредственно с этой организацией. Чтобы перейти на сайт организации, найти адрес электронной почты или номер телефона службы поддержки и уточнить, действительно ли запрос исходит от них, нужна всего пара минут.
• Если вы оказались на сайте, где вас просят указать конфиденциальную информацию, проверьте, нет ли чего-нибудь подозрительного. Если вы каким угодно образом попали на сайт, который просит ввести конфиденциальную информацию, проверьте, правда ли это официальный сайт организации. Например, проверьте URL и убедитесь, что страница действительно относится к веб-сайту организации, а не является мошеннической страницей другого домена (например mojbankk.ru или g00gle.ru). Если вы на странице, которая должна быть защищена (например такая, на которой нужно вводить номер кредитной карты), посмотрите, есть ли "https" в начале URL и отображается ли в браузере значок замка (в Firefox и Internet Explorer 6 замочек появляется в нижнем правом углу, а в Internet Explorer 7 - справа от адресной строки). Эти признаки не абсолютны, но для начала можно ориентироваться на них.
• Опасайтесь "неслыханных предложений" и "фантастических призов", которые могут встретиться вам в Интернете. Если что-то выглядит заманчиво до неправдоподобия, скорее всего, это обман. Возможно, кто-то пытается посредством фишинга завладеть вашей информацией. Если для использования услуги в Интернете требуется ввести личную и другую конфиденциальную информацию, обязательно все выясните и проверьте, не выглядит ли сайт, запрашивающий информацию, подозрительным.
• Используйте браузер с фильтром против фишинга. Последние версии большинства браузеров содержат фильтры фишинга, помогающие выявлять потенциальные фишинговые атаки.

google

Как вернуть деньги

Порадовать владельцев платежных карт нечем. В большинстве случаев банки отказывают клиентам, если у них пропали деньги с карты. Дело в том, что в любом договоре на открытие карточного счета есть пункт о том, что клиент обязан держать реквизиты карты (номер и пин-код) в строжайшем секрете и не передавать эти данные третьим лицам. Если мошенник обманным путем узнал реквизиты и воспользовался ими, доказать, что картой рассчитывается не сам клиент, крайне сложно. Проверив последние трансакции, банк увидит, что деньги были сняты сразу (без подбора пин-кода) или оплата в интернет-магазине прошла без сбоев, и может заподозрить неладное.

Вина банка очевидна только в том случае, если он сам не смог обеспечить безопасность расчетов на своем сайте (через систему онлайн-банкинга) или если данные карты украдены его сотрудниками и это доказано в суде.

Конечно, если банк откажется вернуть деньги, владелец карты может подать в суд, но шансы на выигрыш малы. Чтобы их увеличить, нужно сразу же после кражи позвонить в сервис-центр и поставить карту в стоп-лист, то есть заблокировать все операции. В этом случае мошенники не смогут снять деньги с карты, и она превратится в обычный кусок пластика. Иногда для блокировки карты достаточно послать СМС на нужный номер. Но если мошенникам все же удалось до этого расплатиться украденной картой в магазине или Интернете, нужно сразу написать заявление в банк о том, что данные трансакции совершались не вами. Далее банком будет проведено внутреннее расследование и принято решение: вернуть потраченное или отказать.

Не стоит также откликаться на СМС или спам по электронной почте с просьбами выслать данные карт или ввести эти данные на специальном сайте. Ни один банк так поступать не будет, ведь речь идет о конфиденциальной информации клиента.

Если карта не входит свободно в картридер банкомата или рядом есть подозрительные устройства, лучше поискать другой терминал. Если карту «зажевало», не нужно просить помощи у посторонних людей, лучше запомнить время и место проведения трансакции и обратиться к банку-эмитенту с просьбой вернуть карту.

Чтобы минимизировать риски окончательно, можно купить смарт-карту со специальным чипом — она имеет высокую степень защиты и вообще не может быть подделана.

Как не потерять деньги с платежной карты

1. Никому не сообщать свой пин-код и номер карты.
2. Не носить пин-код в кошельке или в мобильном телефоне.
3. В случае потери (кражи) карты как можно быстрее поставить ее в стоп-лист.
4. Подключить СМС-банкинг и отслеживать все операции с картой.
5. Если картой воспользовались мошенники, заблокировать ее и написать заявление в банк об опротестовании трансакций.
6. Установить мощную антивирусную программу на компьютер, если есть привычка расплачиваться картой в Сети.
7. Не вводить данные с карты на подозрительных сайтах.

загрузка...