hoeveel mensen kunnen phishing en spear phishing e-mails echt identificeren, laat staan de genuanceerde verschillen tussen hen begrijpen? De twee bedreigingen zijn vergelijkbaar, maar verschillend genoeg om twee verschillende wijzen van aanval vertegenwoordigen. Zoals we graag zeggen, hyper-awareness is de sleutel tot cyber waakzaamheid.
Wat is Phishing?
laten we beginnen met de funky spelling. “Phishing “werd bedacht door bewonderaars van de” phone phreaks”, de beruchte eerste generatie hackers die heersten in de jaren 1960-1970., De telefoon phreaks ingehuldigd een lange traditie van cyber oorlogsvoering met behulp van een hilarisch eenvoudige techniek: blazen van een speelgoed fluitje gevonden in Cap ‘ n Crunch granen dozen in een telefoonontvanger na te bootsen een Hertz toon, tricking van de telefoon bedrijf schakelcircuit in het geven van de telefoon phreaks een gratis gesprek. Dit klinkt misschien belachelijk voor ons vandaag, maar het was een hacking-innovatie op het moment dat een kwetsbaarheid uitgebuit in call-routing switches die afhankelijk waren van in-band signalering en inspireerde een generatie van telefoon phreaks.,
Phishing omvat een hacktechniek die het digitale equivalent is van “casting a net”.”Specifiek, phishing betekent het verzenden van e-mails die zijn ontworpen om een gebruiker te lokken in het klikken op een URL die leidt tot een webformulier op een landing page die een bekend merk spoofs, zoals Microsoft. Het webformulier is ontworpen om persoonlijke informatie zoals inloggegevens oogsten. Veel voorkomende phishing-e-mails kunnen iets zeggen in de trant van, “uw account is vergrendeld,” “gelieve uw wachtwoord bij te werken,” of “gelieve uw bankrekening informatie bij te werken.,”
in sommige gevallen zijn de vervalste webformulieren bijna onmogelijk te onderscheiden van hun echte tegenhangers. De URL ‘ s zelf kunnen echter een aanwijzing bieden voor wat er onder het oppervlak op de loer ligt. Bijvoorbeeld, een phishing URL beweert te zijn van Bank of America zou u naar een site met de domeinnaam “www.bankofamericaincu.co” (het eigenlijke domein van de bank is www.bofa.com). eenmaal daar, kunt u uw inloggegevens delen, sofinummer, of andere persoonlijke informatie met de criminelen die het opzetten.,
Phishing wordt ook vaak gebruikt om inloggegevens te stelen voor cloudtoepassingen, zoals Office 365. Een phisher stuurt een e-mail waarin een gebruiker wordt gevraagd in te loggen op zijn Office 365-account om opnieuw toegang te krijgen tot het platform, een gedeeld bestand op te halen of zijn accountgegevens bij te werken. De gebruiker klikt op een URL die leidt naar een valse Microsoft-webpagina, waar hun referenties worden geoogst, vergelijkbaar met de Bank of America voorbeeld hierboven.
phishing Awareness Training: 8 dingen die uw werknemers moeten begrijpen
Wat Is Spear Phishing?,
Phishing in zijn generieke vorm is een massale distributie oefening en omvat het gieten van een breed net. Phishingcampagnes zijn niet gericht op slachtoffers individueel—ze worden verzonden naar honderden, soms duizenden, ontvangers. Spear phishing, in tegenstelling, is zeer gericht en richt zich op een enkel individu. Hackers doen alsof ze je kennen. Het is persoonlijk.
een spear phishing-aanvaller zit achter iets in het bijzonder aan., Een gemeenschappelijke regeling is zakelijke e-mail compromis, waarin een cybercrimineel doet zich voor als een senior werknemer met de macht om te vragen Overboekingen (naar frauduleuze bedrijven), directe storting wijzigingen, of W2 informatie. Om op een overtuigende manier met u in contact te komen, kan de aanvaller zich bezighouden met social engineering om zich voor te doen als mensen die u kent, zoals collega ‘ s of zakelijke kennissen. De aanvaller kan dit bereiken door onderzoek naar u op het Internet en sociale media of het krijgen van informatie over u uit datalekken met behulp van peer-to-peer (P2P) protocollen zoals BitTorrent.,
overweeg het volgende spear phishing scenario: uw naam is Bob en u werkt voor Joe Smith, de CEO van uw bedrijf. Een spear phisher ziet je op LinkedIn en merkt dat je vrienden bent met Joe. Hij volgt je op Facebook en leert over je favoriete sportteams en leest over een project waar je op kantoor aan werkt.
de aanvaller maakt dan een e-mailaccount aan onder de naam [email protected]., Terwijl echte Joe op vakantie is-informatie die de phisher heeft verzameld van Facebook – stuurt nep Joe je een e-mail met de tekst: “Ugh, Bob… Ik ben op vakantie, maar ik heb een overschrijving van $100.000 nodig naar een aannemer in China voor ons project. Zorg er alsjeblieft meteen voor. Hier zijn de bedradingsinstructies.”
Als u niet goed oplet, kunt u de geldoverdracht voltooien. Dit is een vorm van zakelijke e-mail compromis dat vaker gebeurt dan je zou vermoeden., Zelfs mensen die specifiek zijn opgeleid om dit niet te doen, hebben de neiging nerveus te worden wanneer de “CEO” hen onder druk zet om iets te doen. Het is tenslotte Joe, niet een vreemde … of zo denk je.
anatomie van een Spear Phishing e-mail
Waarom zijn phishing en Spear phishing bewustzijn belangrijk?
Spear phishing-aanvallen vormen de kern van veel van de ernstigste en duurste datalekken. In 2018 kostte zakelijke e-mail compromis Amerikaanse bedrijven $1,2 miljard, volgens het 2018 Internet Crime Report van de FBI, terwijl phishing kostte ons slachtoffers meer dan $48 miljoen.,
e-mailfilters kunnen grootschalige phishing-e-mails die bekende phishing-URL ‘ s bevatten, stoppen. Evenzo, als een e-mail bevat een bijlage met een bekende handtekening, een traditionele e-mail filter zal het vangen. Echter, als een phishing-URL is een onbekende bedreiging, of als je een gepersonaliseerde e-mail van Bob die geen URL of bijlage bevat, zullen ze steevast glijden dwars door de meeste filters.
phishing, en in het bijzonder spear phishing, is dus een gevaarlijke maar zeer effectieve aanvalsvector. Verdediging is echter mogelijk., Het bewustzijn en de training van eindgebruikers kunnen gebruikers bijvoorbeeld helpen om een phishing-of spear-phishing-e-mail te herkennen. Daarnaast maken oplossingen zoals Vade Secure gebruik van kunstmatige intelligentie, waaronder machine learning, om kwaadaardige e-mails, URL ’s en bijlagen te identificeren, evenals pogingen om de identiteit van collega’ s en zakelijke kennissen te vervalsen.