Влияние фишинга на развитие электронной коммерции

Дата: 26.10.2007
Источник: www.crime-research.ru
Автор: Виктор Сабадаш


... данным Gartner, в США в 2006 году ущерб, нанесенный одной жертве фишинга, в среднем составил 1244 долларов США. В 2005 году эта сумма не превышала 257 долларов, что свидетельствует о невероятном успехе фишеров 31.
В странах Восточной Европы ситуация несколько иная. Из-за того, что в этих странах электронные платежные системы пока не столь распространены, как на Западе, ущерб от фишинга не столь велик. Но с распространением электронных платежных систем доля фишинга в общем почтовом потоке возрастет, и, соответственно, возрастет и ущерб от него.

Под онлайновым фишингом имеются в виду аферы, когда злоумышленники копируют любые сайты, чаще всего интернет-магазины. При этом они используют похожие доменные имена и идентичный дизайн. Число жертв от таких преступных действий постоянно возрастает, ведь злоумышленники чаще всего предлагают различные товары буквально по демпинговым ценам (они же их на самом деле не продают).

Ну а подозрения, которые могли бы возникнуть у потенциальных жертв, рассеиваются благодаря популярности сайта, который копируется. Таким образом, пользователи Интернета считают, что они находятся на веб-сервере реально действующего магазина, обладающего отличной репутацией. Решив приобрести товар, пользователь Интернета регистрируется в системе. При этом есть довольно большая вероятность того, что для этого он будет использовать тот самый пароль, как и на других сервисах (несмотря на все предупреждения со стороны специалистов по информационной безопасности, большинство пользователей Интернета всегда используют одно ключевое слово).

Кроме того, для покупки товара пользователь введет номер и другие данные своей пластиковой карты. Именно это и нужно злоумышленнику, который может сразу воспользоваться кредитной карточкой жертвы.

В мае 2007 года, согласно отчету APWG, мошенники использовали для незаконного выманивания денег у пользователей 149 известных торговых марок. Хотя сегодня фишеры прячутся не только за известные названия банков и больших компаний, но и используют торговые марки, которые принадлежат небольшим финансовым фирмам, провайдерам и даже правительственным организациям. Финансовые услуги остаются наиболее привлекательными для фишеров и в мае 2007 года составили 96,9 % от всех фишинг-сообщений.

Так, например, одна из подобных атак, зафиксированная датской консалтинговой фирмой Secunіa в 2004 году, совершала обман пользователей путем модификации файлов операционной системы Wіndows, после чего, во время набора пользователем адреса Web-сайта, браузер жертвы перенаправлялся на подставной сервер. Подобным способом были проведены несколько атак, итогом чего стала подмена адресов некоторых южно-американских банков [33].

Оба описанных вида фишинга существуют уже давно. Они довольно примитивные, так что внимательный и скептически настроенный человек сможет избегнуть настолько простой ловушки, тем более, что в последнее время общий уровень образованности пользователей Интернета в области информационной безопасности стал немного выше. Так что почтовый и онлайновый фишинги в последнее время превращаются в неэффективные виды онлайнового мошенничества, хотя и остаются на достаточно высоком количественном уровне. На смену им пришел третий вид фишинга - комбинированный, и почти сразу же получил огромное распространение. Суть этого способа обмана заключается в следующем. Злоумышленник создает поддельный сайт какой-нибудь организации, а потом заманивает на него пользователей с помощью писем-приманок. Главная опасность комбинированного фишинга заключается в его высокой правдоподобности. И действительно, никто не требует от человека отправления пароля по электронной почте. Ему всего лишь предлагают зайти на корпоративный сайт по приведенной ссылке (на самом деле это всего лишь подделка) и самому сделать необходимые операции.

Существует несколько видов писем, отправляемых фишерами при использовании комбинированного фишинга:
1) Письмо содержит ссылку на фишерский сайт. Так, письмо, оформленное, например, как "официальный бланк" банка usbank.com, содержит ссылку, по которой нужно пройти "для подтверждения персональных данных". Если же изучить ссылку подробнее, просто подвести к ней курсор - в статусной строке видно, что ведет она вовсе не на сайт банка, а на некий безвестный IP-адрес. Такое письмо, при желании, отличить от подделки совсем несложно;
2) Письмо только с одной фишерской ссылкой из многих правдивых. Например, насыщают сообщение абсолютно легальными ссылками, а также "советами по безопасности осуществления транзакций". И только самая заветная ссылка - по которой предполагается пройти пользователю - является подставной.
3) Письмо без фишерской ссылки. Еще более изощренным является прием, когда пользователю вообще не нужно переходить на поддельный сайт, а форма "верификации" встроена прямо в HTML-тело фишинг-сообщения.
В последнее время мошенники также обратили внимание на российские электронные платежные системы. В мае 2007 года от действий фишеров пострадали клиенты системы "Яндекс.Деньги". Мошенники разослали письма от имени администрации сервиса. В них говорилось, что счет клиента заблокирован и для его реактивации необходимо пройти по ссылке http://passport.yanclex.ru/, которая, благодаря сочетанию букв cl внешне очень сильно напоминала домен yandex.ru. На уловку попались сотни доверчивых пользователей.

Кроме того, многие рассылки проводятся фишерами "наобум". Например, если атакуются учетные записи аукциона eBay или почтовой службы Mail.Ru в России, вероятность, что у неизвестного получателя есть именно такая учетная запись, достаточно высока, т.к. эти сервисы достаточно популярны. Еще одним, более продвинутым приемом фишеров, становятся целевые атаки. При их проведении, злоумышленникам точно известно, что их адресат пользуется тем или иным банком, сайтом, провайдером, платежным инструментом. Это увеличивает "отдачу" фишинговой атаки и затрудняет ее оперативное обнаружение.

Антифишинговая рабочая группа (APWG) называет такой вид мошенничества фарминг и предупреждает пользователей Интернета о разворовывании идентификационных данных с помощью шпионского программного оборудования – spyware и с помощью приемов социальной инженерии. Так, по данным APWG, если число случаев обычного фишинга примерно находится на одинаковом уровне, то фарминг-атаки (атаки с перенаправлением пользователей на фальшивые сайты) постоянно возрастают, а число разворовываний идентификационных данных с помощью шпионских программ возросло на 95% за последнее время [36].

Таким образом, необходимо отметить изменение характера преступлений, связанных с использованием фишинга. Мошенники выдумывают новые, все больше утонченные, способы обмана и повышают уровень подготовки атак с целью хищения паролей, номеров кредитных карточек и банковских счетов и другой конфиденциальной информации. Если раньше мошенники действовали от лица известных банков и компаний, посылая миллионы писем, например, с темой "необходимо восстановление учетной записи", которые заманивали наивных пользователей на подставные Web-сайты, то теперь ссылка на фальшивые серверы прячется внутри кода письма, показывая пользователю ссылки в виде действительного адреса, т.е. увеличивается количество случаев использования вирусов-червей и шпионских программ для незаметного перенаправления пользователей на фальшивые сайты.

Кроме того, сами фишинговые атаки стали более эффективными, с использованием приемов социальной инженерии.

Это объясняется благодаря персонификации: теперь для того, чтобы выманить у жертвы секретные данные о кредитной карте, мошенники используют реальную информацию о владельце счета. По сообщениям экспертов, от новой технологии фишинга уже пострадали клиенты многих больших финансовых структур. Раньше письма мошенников, в основном, содержали информацию о банке, его сотрудниках и ссылке на специальный сайт, который был полностью идентичный порталу финансовой организации и контролировался злоумышленниками. Сейчас же на смену такому грубому способу приходят более эффективные персонифицированные атаки. Т.е. банковские письма содержат теперь не только информацию о банке, но и личные данные клиента.

Среди этих данных обычно встречаются номер счета, имя клиента и адрес его электронной почты. Сообщения рассылаются от лица банков якобы для подтверждения информации о счете: личного идентификационного номера или кода кредитной карты (ряд цифр, напечатанных с обратной стороны). Для большей убедительности в электронном сообщении используются логотипы банка, имена и фамилии реальных руководителей организации.

Очень часто клиента пытаются напугать, придумать критичную причину для того, чтобы он выдал свою личную информацию. Как правило, сообщения содержат угрозы, например, заблокировать счет в случае невыполнения получателем требований, изложенных в сообщении («если вы не сообщите ваши данные в течение недели, ваш счет будет заблокирован»). Забавно, но часто в качестве причины, по которой пользователь якобы должен выдать конфиденциальную информацию, фишеры называют необходимость улучшить антифишинговые системы («если хотите обезопасить себя от фишинга, пройдите по этой ссылке и введите свой логин и пароль»).

Потом все происходит по давно налаженной схеме: жертве предлагается зайти на идентичный банковскому сайт и "подтвердить" информацию о счете. Необходимость таких действий мошенники объясняют выходом из строя программного обеспечения (ПО) банка или атакой хакеров [38].

Например, в июле 2007 года стало известно о фишинговой атаке на онлайновую платежную систему четвертого по величине австралийского банка Westpac. Массовая рассылка электронных писем в адрес клиентов банка с призывом ознакомиться с новыми условиями использования системы имела место в начале июля 2007 года, о чем администрация банка предупредила своих...

Добавить комментарий

Всего 0 комментариев