Как мошенники воруют личные данные у пользователей сети

 

Стремительное развитие сетевых технологий способствовало возникновению интернет-торговли. В настоящее время во всемирной паутине можно найти огромный ассортимент товаров и услуг. Основной угрозой, с которой может столкнуться пользователь при онлайн-покупке, является мошенничество.

Наиболее популярный вид обмана в сети - «фишинг». Его цель - получение доступа к конфиденциальным данным человека – логинам и паролям. Это достигается путем массовых рассылок электронных писем от имени популярных брендов, а также личных сообщений внутри различных сервисов, например, от лица банков или внутри социальных сетей.

В послании часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на ресурс с «редиректом». После того как пользователь перейдет на поддельную страницу, мошенники с помощью психологических приемов побуждают его ввести свои личные данные, которыми он использует для доступа к определенным веб-сервисам. Таким образом злоумышленники получают доступ к аккаунтам и банковским счетам. Мошенников, использующих такую технику обмана, называют «фишерами».

Различают следующие методы «фишинга»:

Социальная инженерия

Он основан на использовании слабостей человеческого фактора. Человека стараются встревожить и вызвать  немедленную реакцию. Электронное письмо с заголовком «чтобы восстановить доступ к своему банковскому счету», как правило, привлекает внимание и заставляет пройти по ссылке для получения более подробной информации.

Веб-ссылки

Большинство способов «фишинга» сводится к маскировке поддельных адресов под страницы настоящих организаций. Часто используются ссылки с опечатками или «субдомены».

Например, «http://www.yourbank.example.com/» похож на название сетевого ресурса банка «Yourbank», а на самом деле он ссылается на «фишинговую» составляющую сайта «example.com».

Также имеет место уловка, которая заключается в использовании внешне правильных доменов, которые в реальности ведут в руки мошенников.

«http://ru.wikipedia»,«org/wiki/Правда» приведёт на статью "Ложь",  не "Правда". Один из старых методов обмана заключается в использовании ссылок, содержащих символ «@», который применяется для включения в адрес логина и пароля.

«http://www.google.com@members.tripod.com/» вместо «www.google.com», перенаправит на «members.tripod.com» от имени пользователя «www.google.com».

Обход фильтров

Мошенники часто вместо текста используют изображения, что затрудняет обнаружение мошеннических электронных писем «антифишинговыми» фильтрами. Но специалисты научились бороться и с этим.

Так, защитные устройства почтовых программ могут автоматически блокировать картинки, присланные от пользователей, не входящих в адресную книгу.

К тому же появились технологии, способные обрабатывать и сравнивать иллюстраций с сигнатурами однотипных визуальных файлов, используемых для «спама» и «фишинга».

Веб-сайты

Обман не заканчивается на посещении жертвой фейкового сайта. Некоторые мошенники используют «JavaScript» для изменения адресной строки. Это достигается либо путем размещения поверх нее картинки с поддельным «URL», либо закрытием настоящего поля для ввода доменов и открытием нового с фальшивым «URL».

"Вишинг"

Сегодня "фишинг" выходит за пределы интернет-мошенничества, а ненастоящие веб-сайты стали лишь одним из множества его направлений. Письма, которые якобы отправлены из банка, могут сообщать пользователям о необходимости позвонить по определённому номеру для решения проблем с их банком.

Эта техника называется "вишинг". Набрав указанные цифры, человек заслушивает инструкции автоответчика, которые указывают на необходимость ввести номер своего счета и PIN-код. К тому же злоумышленники могут сами связываться с жертвами, убеждая их, что они общаются с представителями официальных организаций. В конечном итоге, абонента также попросят сообщить свои учетные данные.

«Смишинг»

Набирает свои обороты и «SMS-фишинг», также известный как «смишинг». Мошенники рассылают сообщения, содержащие ссылку на поддельный сайт – заходя на него и вводя свои логин и пароль, люди аналогичным образом передают эту информацию нечистым на руку.

В SMS также может говориться о необходимости позвонить по определённому номеру для решения «возникших проблем». Встречается и следующий вид "смишинга": на подставном ресурсе для получения какой-либо услуги просят отправить сообщение предложенному контакту или ввести цифры своего сотового телефона, чаще всего это фейки файлообменных сервисов.

В первом случае со счета абонента списывается крупная (возможно, максимальная предусмотренная контрактом) сумма, во втором - номер добавляется в базу адресов рассылки SMS-спама и может использоваться для дальнейших "фишинговых" действий.

Таким образом, только ответственное отношение к собственной безопасности и понимание основных методов, используемых интернет-мошенниками, могут защитить пользователя от кражи личных данных.

Критичное отношение к любым сообщениям, полученным в сети интернет, отказ от любых форм взаимодействия, инициированного незнакомцами, перепроверка сведений по альтернативным каналам связи, защита персональной информации от третьих лиц – все это должно стать заповедями компетентного потребителя.

Получив подозрительные письма или SMS, нужно как следует подумать, прежде чем предпринимать какие-либо действия. Следует обратить внимание на источник: как правило, «фишинговый» контент приходят с внушающих недоверие адресов.

Нужно во всем удостовериться, например, связаться с отправителем по телефону, посмотреть официальный веб-сайт или узнать об авторе сообщения при помощи общедоступных поисковых сервисов («Google», «Yandex», «Bing», «Yahoo»).

Если текст содержит угрозу для жизни и здоровья близких людей, которых сейчас нет рядом с вами, стоит подумать, где и с кем они могут находиться, попытаться связаться тем, кто предположительно может дать на это точный ответ.

Имеет смысл присмотреться к самому сообщению: как правило, оно содержит грамматические и стилистические ошибки, недопустимые при деловой переписке.

Михаил Жданко, первый заместитель начальника Клецкого РОВД

подполковник милиции.