6 Aprilie 2007
Atacurile de tip phishing iau amploare si in Romania
In ultimele luni au putut fi observate incercari din ce in ce mai dese de frauda: inaintea celor de saptamana aceasta am avut parte de atacul impotriva clientilor Vodafone, iar inainte de aceasta, atacul impotriva clientilor Raiffeisen. Si lista poate continua. Previziunile specialistilor BitDefender pentru anul 2007 au fost ca atacurile de acest fel se vor inteti si vor deveni din ce in ce mai bine regizate, si din pacate se pare ca am avut dreptate.
Termenul de “atac” ii poate speria pe utilizatorii de servicii de internet banking, asa ca unele explicatii suplimentare despre ce inseamna “phishing” sunt binevenite, pentru a nu crea panica fara sa fie cazul. Sa luam exemplul ultimelor doua atacuri destinate utilizatorilor BRD-Net: hotul, sau hotii, au creat un site-clona, care copiaza identic pagina site-ului original. Astfel, un utilizator neavizat, dar chiar si unul mai versat, care acceseaza acel site, ar fi indeajuns de convinsi ca e vorba de pagina oficiala de login a serviciului de internet banking.
Folosind apoi liste enorme de adrese de e-mail, hotul a trimis fiecarei adrese din baza sa de date un mesaj e-mail special creat pentru a induce in eroare. Mesajul sustine ca se adreseaza clientilor serviciului de online banking, si foloseste tehnici de manipulare (social engineering) pentru a ii convinge pe utilizatori sa intre pe asa zis-ul site al bancii, de fapt acel site-clona, pentru a isi introduce codul de utilizator si parola.
Rationamentul hotilor e urmatorul: “din cei un milion de utilizatori carora le-am trimis acest mesaj, sa zicem ca 1% se nimeresc sa fie clienti ai BRD-Net. Raman deci 10000 de potentiale victime. Din acestea, sa spunem ca doar 1% cad in plasa, si din necunostinta sau lipsa de alte informatii, reactioneaza la mesaj si acceseaza site-ul clona, introducandu-si codul de utilizator si parola. Raman deci 1% din 10000, adica 100 de victime”, ale caror date de cont sunt acum cunoscute de hot, care poate linistit sa le intre in conturi pentru a le fura banii.
Observam cum in cazurile atacurilor de tip phishing, in favoarea hotului stau numarul enorm de mesaje trimise, in speranta ca macar o parte infima isi vor atinge tinta, si tehnicile de manipulare, de inginerie sociala, care sa le convinga pe potentialele victime despre cat de important e sa acceseze site-ul fraudulos prezentat in mesaj.
O mentiune foarte importanta: in decursul acestui proces, securitatea fizica a serverelor reale BRD-Net nu a fost in niciun moment compromisa, atacul nu a vizat direct sistemul informatic al bancii: e mult mai greu sa “spargi” serverele securizate ale bancii, decat sa-i convingi pe utilizatori sa-ti divulge, fara sa stie, datele lor de cont.
Momelile phishe-rilor
Ultimele atacuri ilustreaza foarte bine metodele de manipulare folosite de phisheri. In cel de ieri era vorba de frica: “ca sa va putem proteja contul mai bine, dati click aici, altfel contul dumneavoastra va fi mai vulnerabil”. Alte atacuri de tip phishing (observate de BitDefender in Europa de Vest si in SUA) folosesc amenintarea si mai putin voalata: “contul Dvs va fi sters in 24 de ore daca nu faceti click aici”.
Mesajul de ieri a folosit o combinatie si mai puternica in opinia specialistilor BitDefender: frica plus rasplata. Rasplata consta atat in potentialele beneficii de securitate ale “noii platforme de securitate”, cat si in “polita de asigurare”, si “reducerile de 15%”, oferite drept cadou de Paste.
Observam deci atat frica si rasplata, cat si referirea la evenimente curente (in cazul de fata Sarbatorile de Paste, dupa cum mai demult in phishingul BCR se facea referire la inundatiile de la acea vreme) pentru a il ademeni pe utilizator sa “Faca click pe link!”.
O alta trasatura a acestui fel de mesaje e auto-referentierea: mesajul de azi face referire la atacul de saptamana trecuta, ajungand pana intr-acolo incat sa citeze dintr-un comunicat de presa al unei companii de securitate, cuvant cu cuvant. Tehnica e simpla: “stim ca va e frica de phishinguri, si uite cum va puteti proteja”. E foarte interesant cum acest mesaj, care are cel mai probabil acelasi autor cu cel de ieri si cu cel de saptamana trecuta, face referire la atacurile precedente si la reactiile aparute la adresa lor, pentru a crea incredere si mai mare. Si se pare ca a reusit, din moment ce anumite site-uri de stiri au considerat ca este un comunicat oficial al BRD.
Un alt tip de manipulare, practicata cu succes, o reprezinta ideea ca “ati cumparat online produsul X in valoare de 1000 de dolari. Faceti click aici pentru a confirma tranzactia, sau pentru a o anula”. Deja simt ca intru in panica, pentru ca eu stiu ca NU am cheltuit 1000 de dolari pe vreun telefon mobil, si vreau sa anulez tranzactia. Am fost manipulat.
Sfaturi anti-phising
Metodele prin care utilizatorii serviciilor de internet banking se pot proteja de astfel de atacuri sunt numeroase. In primul rand, o solutie anti-phishing (ori la nivelul e-mail, ori la nivelul browserului) poate sa ajute foarte mult, mai ales daca ea detecteaza corect si atacurile phishing romanesti, insa cea mai simpla forma de protectie o reprezinta suspiciunea: nu aveti niciodata incredere in mesajele care par ca vin de la banca Dvs. Nici o banca nu cere date personale prin e-mail.
De asemenea, in cazul in care primiti un astfel de mesaj, confirmati telefonic printr-un telefon la banca pentru a obtine date suplimentare.Nu faceti click niciodata pe linkuri din mailurile care par ca vin de la vreo banca. In loc de aceasta, puteti foarte usor sa deschideti o noua fereastra a browserului de internet, in care sa tastati adresa REALA, pe care o cunoasteti, a bancii. Sansele sa fiti pacaliti sunt mult mai mici.
In plus, nu va temeti pentru securitatea bancii: in acest fel de atacuri, sistemul informatic al bancii nu e nicio clipa in pericol, el nu e tinta nici unui atac, banii Dvs sunt in siguranta cata vreme nu va introduceti numele de utilizator si parola decat pe site-ul bancii.
Termenul de “atac” ii poate speria pe utilizatorii de servicii de internet banking, asa ca unele explicatii suplimentare despre ce inseamna “phishing” sunt binevenite, pentru a nu crea panica fara sa fie cazul. Sa luam exemplul ultimelor doua atacuri destinate utilizatorilor BRD-Net: hotul, sau hotii, au creat un site-clona, care copiaza identic pagina site-ului original. Astfel, un utilizator neavizat, dar chiar si unul mai versat, care acceseaza acel site, ar fi indeajuns de convinsi ca e vorba de pagina oficiala de login a serviciului de internet banking.
Folosind apoi liste enorme de adrese de e-mail, hotul a trimis fiecarei adrese din baza sa de date un mesaj e-mail special creat pentru a induce in eroare. Mesajul sustine ca se adreseaza clientilor serviciului de online banking, si foloseste tehnici de manipulare (social engineering) pentru a ii convinge pe utilizatori sa intre pe asa zis-ul site al bancii, de fapt acel site-clona, pentru a isi introduce codul de utilizator si parola.
Rationamentul hotilor e urmatorul: “din cei un milion de utilizatori carora le-am trimis acest mesaj, sa zicem ca 1% se nimeresc sa fie clienti ai BRD-Net. Raman deci 10000 de potentiale victime. Din acestea, sa spunem ca doar 1% cad in plasa, si din necunostinta sau lipsa de alte informatii, reactioneaza la mesaj si acceseaza site-ul clona, introducandu-si codul de utilizator si parola. Raman deci 1% din 10000, adica 100 de victime”, ale caror date de cont sunt acum cunoscute de hot, care poate linistit sa le intre in conturi pentru a le fura banii.
Observam cum in cazurile atacurilor de tip phishing, in favoarea hotului stau numarul enorm de mesaje trimise, in speranta ca macar o parte infima isi vor atinge tinta, si tehnicile de manipulare, de inginerie sociala, care sa le convinga pe potentialele victime despre cat de important e sa acceseze site-ul fraudulos prezentat in mesaj.
O mentiune foarte importanta: in decursul acestui proces, securitatea fizica a serverelor reale BRD-Net nu a fost in niciun moment compromisa, atacul nu a vizat direct sistemul informatic al bancii: e mult mai greu sa “spargi” serverele securizate ale bancii, decat sa-i convingi pe utilizatori sa-ti divulge, fara sa stie, datele lor de cont.
Momelile phishe-rilor
Ultimele atacuri ilustreaza foarte bine metodele de manipulare folosite de phisheri. In cel de ieri era vorba de frica: “ca sa va putem proteja contul mai bine, dati click aici, altfel contul dumneavoastra va fi mai vulnerabil”. Alte atacuri de tip phishing (observate de BitDefender in Europa de Vest si in SUA) folosesc amenintarea si mai putin voalata: “contul Dvs va fi sters in 24 de ore daca nu faceti click aici”.
Mesajul de ieri a folosit o combinatie si mai puternica in opinia specialistilor BitDefender: frica plus rasplata. Rasplata consta atat in potentialele beneficii de securitate ale “noii platforme de securitate”, cat si in “polita de asigurare”, si “reducerile de 15%”, oferite drept cadou de Paste.
Observam deci atat frica si rasplata, cat si referirea la evenimente curente (in cazul de fata Sarbatorile de Paste, dupa cum mai demult in phishingul BCR se facea referire la inundatiile de la acea vreme) pentru a il ademeni pe utilizator sa “Faca click pe link!”.
O alta trasatura a acestui fel de mesaje e auto-referentierea: mesajul de azi face referire la atacul de saptamana trecuta, ajungand pana intr-acolo incat sa citeze dintr-un comunicat de presa al unei companii de securitate, cuvant cu cuvant. Tehnica e simpla: “stim ca va e frica de phishinguri, si uite cum va puteti proteja”. E foarte interesant cum acest mesaj, care are cel mai probabil acelasi autor cu cel de ieri si cu cel de saptamana trecuta, face referire la atacurile precedente si la reactiile aparute la adresa lor, pentru a crea incredere si mai mare. Si se pare ca a reusit, din moment ce anumite site-uri de stiri au considerat ca este un comunicat oficial al BRD.
Un alt tip de manipulare, practicata cu succes, o reprezinta ideea ca “ati cumparat online produsul X in valoare de 1000 de dolari. Faceti click aici pentru a confirma tranzactia, sau pentru a o anula”. Deja simt ca intru in panica, pentru ca eu stiu ca NU am cheltuit 1000 de dolari pe vreun telefon mobil, si vreau sa anulez tranzactia. Am fost manipulat.
Sfaturi anti-phising
Metodele prin care utilizatorii serviciilor de internet banking se pot proteja de astfel de atacuri sunt numeroase. In primul rand, o solutie anti-phishing (ori la nivelul e-mail, ori la nivelul browserului) poate sa ajute foarte mult, mai ales daca ea detecteaza corect si atacurile phishing romanesti, insa cea mai simpla forma de protectie o reprezinta suspiciunea: nu aveti niciodata incredere in mesajele care par ca vin de la banca Dvs. Nici o banca nu cere date personale prin e-mail.
De asemenea, in cazul in care primiti un astfel de mesaj, confirmati telefonic printr-un telefon la banca pentru a obtine date suplimentare.Nu faceti click niciodata pe linkuri din mailurile care par ca vin de la vreo banca. In loc de aceasta, puteti foarte usor sa deschideti o noua fereastra a browserului de internet, in care sa tastati adresa REALA, pe care o cunoasteti, a bancii. Sansele sa fiti pacaliti sunt mult mai mici.
In plus, nu va temeti pentru securitatea bancii: in acest fel de atacuri, sistemul informatic al bancii nu e nicio clipa in pericol, el nu e tinta nici unui atac, banii Dvs sunt in siguranta cata vreme nu va introduceti numele de utilizator si parola decat pe site-ul bancii.