Фішынг — тып інтэрнэт-махлярствы, калі злачынец дасылае паведамленне (па электроннай пошце, праз SMS, месэнджар ці выклікам), якое выглядае як сапраўднае легальнае, але мае шкодную спасылку, укладанне ці форму для ўводу дадзеных.
Мэту махляроў прымусіць вас перайсці па спасылцы, адкрыць файл, усталяваць праграму ці ўвесці логін і пароль на падробленым сайце.
Такія атакі могуць прывесці да страты пароляў, усталёўкі шкоднага ПЗ (malware), крадзяжу дадзеных ці выдаленаму кантролю над вашай прыладай.
Асноўныя тыпы фішынгу
Фішынг пароляў
Гэта самы распаўсюджаны тып, калі вы атрымваеце паведамленне са спасылкай на падроблены сайт, які выглядае як сапраўдная старонка сэрвісу (пошта, сховішча, банк і да т. п.). Тут вас пераконваюць увесці логін і пароль, але насамрэч вы адпраўляеце іх злачынцам.
Парады
- Навядзіце курсор на спасылку, каб убачыць рэальны URL. Ён можа адрознівацца ад таго, што напісана ў тэксце.
- Звяртайце ўвагу на дамен (прыкладам, gmaiI.com з вялікай літарай «I» выглядае як gmail.com, але гэта не той жа сайт).
- Ніколі не ўводзьце пароль, калі адрас сайта здаецца падазроным.
Мэтанакіраваны фішынг (Spearphishing)
У гэтым выпадку злачынцы выкарыстоўваюць інфармацыю пра вас, каб зрабіць паведамленне больш праўдападобным (напрыклад, згадваюць вашых сваякоў ці інтарэсы). Гэта можа быць ліст ад «сябра» з укладаннем, у якім замаскавана шкоднае ПЗ.
Такі фішынг можа быць праз email, SMS (smishing), тэлефанаванні (vishing), уключаючы падробку голасу.
Як абараніцца ад фішынгу
-
Абнаўляйце праграмнае забеспячэнне (ПЗ)
Фішынгавыя атакі з выкарыстаннем шкоднага ПЗ часта выкарыстоўваюць уразлівасці ў старых версіях праграм. Абнаўленні выпраўляюць памылкі, таму падтрымвайце аперацыйную сістэму і дадаткі актуальнымі.
-
Выкарыстоўвайце менеджар пароляў
Менеджары пароляў (у браўзары ці асобныя праграмы) падказваюць, на якім сайце яны запаўняюць дадзеныя. Калі менеджар не прапануе аўтазапаўнення, то гэта сігнал, што нешта не так і вы магчыма на падробленым сайце. А некаторыя, напрыклад 1Password, паказвае папярэджанне, калі URL выглядае нетыпова.
-
Правярайце паведамленні праз іншы канал
Калі паведамленне здаецца падазроным, лепш звяжыся з адпраўніком іншым спосабам (напрыклад, па тэлефоне ці праз іншы месэнджар) і ўдакладніце, ці сапраўды ён гэта адпраўляў.
-
Бяспечна адкрывайце дакументы
Не адкрывайце нечаканыя укладанні на сваёй прыладзе. Лепш загрузіце іх у воблачнае сховішча (напрыклад, Google Drive), дзе дакумент адкрыецца як бяспечная выява ці ў браўзары і не зможа ўсталяваць шкоднае ПЗ на вашу прыладу
Можна выкарыстаць адмысловыя аперацыйныя сістэмы, якія лічацца меней уразлівымі для шкодных праграм, напрыклад Tails ці Qubes.
Падазроныя спасылкі і файлы можна праверыць праз VirusTotal (анлайн-сэрвіс, што выкарыстоўвае некалькі антывірусных двіжкоў). Гэта не гарантуе выяўлення новых ці мэтавых атак, але гэта лепш, чым нічога. Улічвайце, што загружаныя дадзеныя могуць быць даступныя супрацоўнікам сэрвісу ці трэцім асобам, таму прыватныя файлы лепш правяраць іншымі спосабамі.
-
Выкарыстоўвайце апаратны другі фактар
Апаратныя ключы бяспекі (U2F) — гэта фізічныя прылады, якія дапамагаюць абараніць уваход у акаўнт. Нават калі злачынец атрымаў ваш пароль, без такога ключа ён не зможа ўвайсці ў акаўнт. Дэталёвей пра гэта пісалі тут.
-
Будзьце асцярожныя з інструкцыямі ў лістах
Фэйкавыя лісты ад “службы падтрымкі” могуць прасіць адправіць пароль, уключыць падалены доступ ці адключыць абарону. Але такія просьбы амаль заўсёды махлярства. Сапраўдныя кампаніі не просяць гэтага ў лістах.
-
Адключыце аўтаматычную загрузку карцінак
Выявы ў лістах могуць ужывацца для адсочвання адкрыцця паведамленняў і выкарыстоўваюцца не толькі ў рэкламных рассыланнях, але і ў фішынгу. Таму лепш уключыць у паштовым кліенце рэжым запыту перад загрузкай вонкавых выяў.
Важна: ніводная мера не гарантуе стаадсоткавай абароны. Фішынг актыўна развіваецца, уключаючы новыя хітрыкі (напрыклад, галасавы фішынг ці імітацыю AI-голасу). Таму заўсёды трэба заставацца ўважлівым і крытычна ацэньваць усе паведамленні.