Фишинг как услуга (PaaS) представляет собой большую угрозу. Так что же такое PaaS и как вы можете оставаться в безопасности?
Фишинг — это мощный метод, заставляющий людей раскрывать свою персональную информацию. Злоумышленник отправляет электронное письмо, которое, скорее всего, выглядит как настоящее и исходит из легального источника, например, такого как банк. Жертва нажимает на присланную ссылку, пытается войти в свою учетную запись, и теряет регистрационные данные, которые крадет злоумышленник.
Успех фишинговой кампании зависит от того, насколько она реалистична. Это требует набора навыков, которого нет у многих киберпреступников, и это раньше было значительным барьером для входа в преступный бизнес. Но фишинг как услуга меняет расстановку сил и делает ее доступной любому желающему. Так что же такое фишинг как услуга?
Что такое фишинг как услуга?
Фишинг как услуга (PaaS) является частью тенденции, когда киберпреступники становятся поставщиками услуг. Вместо того, чтобы проводить кибератаки самостоятельно, они помогают другим проводить атаки в обмен на плату.
PaaS основан на бизнес-модели «Программное обеспечение как услуга», где клиентам предоставляется доступ к программному обеспечению в обмен на ежемесячную плату.
Это обеспечивает киберпреступникам новый поток доходов и позволяет любому проводить профессиональные атаки. Помимо регулярных финансовых поступлений, злодеи, предоставляя PaaS, остаются в недосягаемости для правоохранительных органов.
Как работает PaaS?
Поставщики PaaS рекламируют свои продукты как фишинговые наборы. Они в основном продаются в темной сети, но некоторые фишинговые наборы теперь доступны в видимой сети (то есть в обычном Интернете).
Фишинговый комплект включает в себя все необходимое для запуска успешной фишинговой атаки. В наборе юного хакера шаблоны электронной почты для отправки писем, которые, по-видимому, поступают от легальных компаний, а также шаблоны для веб-сайтов, на которые отправляют жертв. Некоторые фишинговые комплексы уже содержат списки потенциальных целей.
Поскольку фишинговые наборы предназначены для тех, у кого нет технических навыков, они также часто включают подробные инструкции и техническую поддержку клиентов.
Фишинговые комплекты рекламируются как продукты, которые позволяют любому зарабатывать деньги, осуществляя фишинговые атаки, независимо от их набора навыков. Это популярный сервис для тех, кто хочет купить пиджак с отливом и в Ялту войти в киберпреступность, но не имеет необходимых знаний.
Что происходит с украденными учетными данными?
После того, как учетные данные жертвы были украдены, для злодея-похитителя существует ряд возможностей. Злоумышленник может использовать учетные данные самостоятельно. Если это финансовый счет, он может попытаться увести ваши средства. Или, если это доступ к сети, он может использовать этот доступ для запуска атаки вымогателей.
Учетные данные также могут быть перепроданы в темной сети. Это позволяет кому-то получать прибыль от украденных учетных данных, даже если они на самом деле не используют их.
Некоторые фишинговые наборы также предназначены для хранения копии любых украденных учетных данных и отправки их издателю фишингового комплекта. Это обеспечивает дополнительный потенциальный доход для издателя фишингового комплекта. Это также означает, что учетные данные часто перепродаются в темной сети, даже если у человека, который их украл, были другие намерения.
Почему PaaS является проблемой?
PaaS является проблемой, поскольку он устраняет барьер для входа в фишинг. Как правило, киберпреступник должен понимать HTML, чтобы создать эффективную электронную почту. Им также нужно будет понять, как создать веб-сайт, который выглядит реалистичным и крадет пароли. Если кто-то покупает фишинговый комплект, ему не нужны эти навыки для проведения атаки.
PaaS делает людей, которые уже проводят фишинговые атаки, более успешными. Успех кампании часто ограничивается способностями преступников. Если этот человек платит за фишинговый комплект, вполне вероятно, что больше людей попадутся на их атаки.
PaaS также усложняет преследование фишинговых атак.
Это позволяет людям, которые хорошо разбираются в разработке фишинговых наборов, получать прибыль от деятельности, не проводя никаких фишинговых атак самостоятельно. Если лицо, использующее фишинговый набор, будет поймано, лицо, предоставившее фишинговый набор, скорее всего, избежит судебного преследования. Затем они могут продолжать продавать другим.
На кого нацелен фишинг?
Фишинговые атаки осуществляются как против предприятий, так и против частных лиц. Если целью является частное лицо, учетные данные для входа в его финансовые и личные учетные записи могут быть украдены.
Успешная фишинговая атака на бизнес может привести к другим кибератакам. Если злоумышленник крадет учетные данные сети, личная информация клиентов может быть украдена или может быть установлена программа-вымогатель.
Как избежать фишинга
Хотя PaaS затрудняет обнаружение фишинговых атак, их все же можно избежать, если вы понимаете, как это делать.
Проверьте отправителя
Фишинговые письма полагаются на то, что получатель не смотрит на имя отправителя должным образом. Отправитель может использовать спуфинг электронной почты, чтобы казаться законным, но невозможно избежать незначительных изменений в написании.
Поиск ошибок форматирования
Продукты PaaS часто включают в себя очень реалистичные электронные письма, но они все еще не так профессиональны, как настоящие. Ищите ошибки как в форматировании, так и в используемом языке.
Не нажимайте на ссылки и не открывайте вложения
Независимо от того, кто является отправителем, вы никогда не должны нажимать на ссылку в электронном письме. Вы также никогда не должны загружать вложение электронной почты, если вы не уверены в том, что оно содержит.
Будьте осторожны с информационными запросами
Все фишинговые письма просят вас что-то сделать. Вы должны с подозрением относиться к любому электронному письму, в котором вас просят предоставить информацию или войти в учетную запись.
Предприятия должны обучать сотрудников
Фишинговые атаки на предприятия в первую очередь нацелены на сотрудников. Чтобы смягчить эту угрозу, все сотрудники должны быть обучены соответствующим образом.
Компании должны использовать антифишинговое программное обеспечение
Широко доступно программное обеспечение для обнаружения фишинговых писем и предотвращения их попадания в почтовые ящики сотрудников. Хотя это программное обеспечение не является адекватной альтернативой обучению сотрудников, оно может уменьшить размер угрозы, с которой сталкиваются сотрудники.
PaaS делает фишинг большей угрозой
Фишинг представляет собой значительную угрозу как для частных лиц, так и для предприятий. Это приводит к взлому учетных записей частных лиц и сетевому вторжению в бизнес. PaaS добавляет к этой угрозе легкость применения, позволяя любому проводить такие атаки независимо от набора их навыков.
Внедрение PaaS не только увеличивает скорость фишинга, но и делает каждую атаку потенциально более эффективной. Хотя фишинговые электронные письма часто очевидны, любой, кто использует платный фишинговый комплект, может украсть гораздо больше учетных данных.
