Պաշտպանեք Ձեզ ֆիշինգից

Ֆիշինգը (phishing) գաղտնի և անձնական տեղեկատվության ձեռքբերման խարդախ գործընթաց է, իրականացվում է էլեկտրոնային նամակագրության միջոցով և շահագործում է մարդկային բնավորության թույլ կողմերը, ինչպիսիք են՝ վստահելը, կարեկցելը, անհարկի հետաքրքրասիրությունը, արագ արձագանքման հակումը և այլն։

Ֆիշինգի և դրա իրականացման մեխանիզմի լուսաբանման նպատակով կօգտագործենք «գրոհ» և «զոհ»  եզրույթները։ Գրոհ իրակացնող կիբերհանցագործը կարող է լինել  քրեական կազմակերպություն, խումբ, սիրողական կամ արհեստավարժ հաքեր, ինչպես նաև որևէ պետության կողմից հովանավորվող գործակալ։ Ֆիշինգի զոհեր կարող են լինել անհատները, կազմակերպության բարձրաստիճան պաշտոնյաները, աշխատակիցները և ցանկացած այլ անձինք, որոնք օգտվում են տեղեկատվական և սոցիալական ցանցերի կողմից տրամադրվող էլեկտրոնային ծառայություններից կամ մատուցում են այդ ծառայությունները։

Ֆիշինգի մասին, որպես  կիբերգրոհի տեսակի, տեղեկացվածությունն անհրաժեշտ է դրանից պաշտպանվելու և անհատական կամ կազմակերպության էլեկտրոնային փոստի անվտանգությունն ապահովելու համար: Ֆիշինգն օգտագործում է քողարկված էլեկտրոնային նամակագրությունը որպես զենք: Նպատակն է՝ վստահություն ներշնչելու ճանապարհով  մոլորեցնել նամակագրությունը ստացողին, օրինակ՝ իրենց բանկի կամ կազմակերպության որևէ աշխատակցի կամ գործընկերոջ անունից հավաստի թվացող խնդրանքի կամ գրության տեսքով համոզել անձանց սեղմել վնասաբեր հղման վրա, կամ վնասաբեր հավելված ներբեռնել։

Հետևելով խնդրանքին կամ խորհրդին, ինչու չէ՝ նաև պարտադրանքին, արդյունքում, զոհի համակարգչի վրա կարող են տեղադրվել վնասաբեր ծրագրեր, որոնք էլ իրականացնում են զգայուն տվյալների կողոպուտ՝ վտանգելով տվյալների պահոցները և, բացառված չէ, ամբողջական տեղեկատվական համակարգը՝ ընդհուպ մինչև համակարգչի ամբողջական բովանդակության գաղտնագրումը և ապագաղտնագրման դիմաց վճարի կորզումը (ransomware)։

Ինչպե՞ս է գործում ֆիշինգը: Ֆիշինգը մեկնարկում է կեղծիքով ստեղծված էլեկտրոնային փոստից կամ հաղորդակցության այլ միջավայրից, պարունակում է այնպիսի հնարքներ, որոնք կշեղեն զոհի ուշադրությունը կամ կգայթակղեն զոհին՝ միաժամանակ դրդելով նրան կատարել գործողությւններ, որոնք սթափ մտածողության պարագայում անհատը չէր կարող կամ լիազորված չէ կատարել։ Ֆիշինգի գործընթացը նմանեցվում է ձկնորսության հետ, իսկ օգտագործվող հնարքները՝ խայծի հետ: Խայծը տվյալ դեպքում զոհի ուշադրությունը գրավելու ենթատեքստն է՝ մարդկային ստվերային հոգեբանության շահագործման տեխնոլոգիաների ներգրավմամբ (social engineering): Ֆիշինգ-նամակը կարող է ձևակերպված լինել նաև համընդհանուր հեղինակություն ներկայացնող կազմակերպության անունից՝ ընդհուպ մինչև միջազգային գերատեսչությունները։  Արդյունքում, եթե հաղորդագրությունը մոլորեցնում է զոհին, ապա վերջինս՝ արդեն անգիտակցաբար հետևելով հրահանգներին, որոնց ազդեցության տակ ակամայից հայտնվել է, տրամադրում է պահանջվող տեղեկատվությունը հաճախ հենց խաբեությամբ ստեղծված կայքում:

Կիբերհանցագործները նախ որոշակիացնում են անհատների այն խումբը, որոնց ցանկանում են թիրախավորել: Այնուհետև նրանք ստեղծում են էլեկտրոնային փոստ և տեքստային հաղորդագրություններ, որոնք, թվում է, օրինական են, բայց իրականում պարունակում են վտանգավոր հղումներ, կցորդներ կամ հրապուրանքներ, որոնցով կիբերհանցագործները  գրավում են իրենց թիրախներին և վերջիններիս դրդում ռիսկային գործողությունների։  

Ստորև բերված պատկերները ֆիշինգի գործողության օրինակ են։

 

 

  Առաջին պատկերում՝ ինչպես տեսնում ենք, առերևույթ հնչեղ անվանմամբ միջազգային կազմակերպությունից ուղղված նամակ է՝ հստակ իրազեկմամբ և հստակ պահանջով։ Հիրավի, դժվար է նման նամակին չհավատալ և անմիջապես չարձագանքել՝ հետևելով հրահանգներին։ Չզարմանաք, որ ավելի զգայուն և զգայացունց բովանդակության նամակ ստանաք Մակրոնից, Բայդենից, Պուտինից կամ մեկ այլ ազդեցիկ քաղաքական դեմք ներկայացնող անհատից։ Չմոռանանք, որ նամակն ուղարկելուց առաջ կիբերհանցագործը պատշաճ կերպով ուսումնասիրել է ձեր անձը, ձեր զբաղմունքի տեսակը, մասնագիտական ոլորտը, միգուցե նաև քաղաքական հայացքները և հակումները, որոնք դուք արտահայտել եք սոցիալական ցանցերում։ Օգտվելով բաց ցանցերում առկա տեղեկատվությունից (Open Source Intelligence, OSINT և Social Media Intelligence, SOCMINT), հետազոտվում են մեր դրսևորումները տեղական կամ արտասահմանյան գիտաժողովներում, հանրային սեմինարներում, որտեղ հասանելի են դառնում մեզ հետ հեռավար կապ հաստատելու եղանակները  էլեկտրոնային փոստի կամ տեղեկատվական այլ ցանցերի միջոցով։ 

            Երկրորդ պատկերում բերված է ոչ հազվադեպ հանդիպող սցենար, երբ կիբերհանցագործը բաց ցանցերից տեղեկանալով կազմակերպության և դրա կարկառուն դեմքերի էլեկտրոնային փոստի հասցեների մասին, դրանց նմանակելու ճանապարհով շահագործի ենթակայի հոգեբանությունը՝ վերադասի կարգադրություններին ժամանակին արձագանքելու մասով՝ ժամանակ չտալով, որպեսզի ընթերցողը սթափ վերլուծություն կատարի՝ նախքան գործողություն ձեռնարկելը։

 

Քանի՞ անգամ եմ քեզ ասել․․․Մի՛ սեղմիր պատահական հղման վրա․․․

Ֆիշինգի տարատեսակներից․ կազմակերպության էլեկտրոնային փոստի վարկաբեկում  (Business email compromise, BEC)

Կազմակերպության գործարարության մանրակրկիտ հետազոտությունից հետո խնամքով պլանավորված գրոհներ են, որոնք անձնավորում են կազմակերպության երկարամյա գործընկերներին կամ հանրածանոթ մատակարարներին:  Ճշմարտանման նամակագրության և համապատասխան խայծի պարագայում հնարավոր է, որ գրոհը հաջողվի:

Ֆիշինգի տարատեսակներից․ թիրախավորված ֆիշինգ (spear phishing)

Այս դեպքում կիբերգրոհն ուղղված է կոնկրետ կազմակերպության կոնկրետ աշխատակցի դեմ, և սա նման է տարբերակված ձկնորսության, երբ ցանկացած ձուկ որսալու փոխարեն նպատակ է դրվում որսալ հատկապես առանձնահատուկ ձկնատեսակ, ինչպես օրինակ՝ իշխան, կողակ, կամ՝ այլ։ Կազմակերպության մի քանի աշխատակիցների էլեկտրոնային փոստի հասցեները համացանցում գտնելուց հետո ձևավորվում է նամակ՝ ուղղված, օրինակ, կազմակերպության ֆինանսական բաժնի որևէ աշխատակցին՝ հանդես գալով որպեսզի զոհի անմիջական վերադաս և պահանջելով  կարճ ժամանակում կատարել բանկային պատկառելի փոխանցում: Հայտնի են դեպքեր, երբ շփոթմունքից ազդեցության տակ հայտնված աշխատակիցը մի քանի նման պահանջ կատարելուց հետո նոր միայն կասկածել և դադարեցրել է հերթական փոխանցումը կատարել, որից հետո իրազեկել վերադասին կատարվածի վերաբերյալ:

Ֆիշինգի տարատեսակներից․ թիրախավորված ֆիշինգ կազմակերպության առանձնակի բարձր կարևորության անձանց դեմ (whale phishing, or whaling)

Այս տեսակի կիբերգրոհն անվանում են նաև «օվկիանոսային կետերի որս»։ Կետերի ֆիշինգը թիրախային ֆիշինգի տարատեսակ է՝ ուղղված է գործադիր տնօրեններին կամ կազմակերպության բարձրարժեք այլ կադրերին թիրախավորելու համար։ Հավաքագրելով կազմակերպության գործարարության վերաբերյալ անհրաժեշտ չափաքանակի տեղեկություններ, տնօրեններին կամ գլխավոր մասնագետներին ուղարկվում են հրապուրիչ նամակներ, օրինակ, մրցակիցների վերաբերյալ գաղտնի տեղեկությունների տրամադրման կամ  արդյունաբերական այլ լրտեսություն ապահովելու հնարավորության վերաբերյալ: Տրվելով սադրանքին, հնարավոր է, որ անգամ տեղեկացված բարձրաստիճան պաշտոնյաները հղվեն վնասաբեր կայքերին։ Այս տեսակի խարդախությունները հաճախ ուղղվում են նաև կազմակերպության խորհրդի անդամներին, որոնք համարվում են հատկապես խոցելի, քանի որ մեծ հեղինակություն են վայելում ընկերությունում, տեղեկացված են գործարարության հստակ մանրամասներին և, քանի որ գրանցված աշխատողներ չեն, հաճախ օգտագործում են անձնական էլփոստի հասցեներ, որոնք չունեն կորպորատիվ էլփոստի կողմից ապահովվող տեղեկատվական պաշտպանությունը:

Իհարկե, բարձրարժեք թիրախ մոլորեցնելու համար բավականաչափ տեղեկատվություն հավաքելը ժամանակատար գործընթաց է, սակայն նաև արդարացված է։ Հստակ վիճակագրություն կա առ այն, որ հաջողեցնելով ֆիշինգը, բարձրաստիճան ղեկավարների ստեղնաշարերի վրա ներբեռնվել են վնասաբեր ծրագրեր, մասնավորապես՝ keylogger-ներ (ստեղնաշարի աշխատանքը գրանցողներ), որոնց միջոցով կիբերհանցագործը մինչև բացահայտվելը բավական երկար ժամանակահատվածում վերահսկել է ամբողջական նամակագրությունը։  

 

 

Ֆիշինգի տարատեսակներից․ ձայնային ֆիշինգ (voice phishing, vishing)

 

Այս դեպքում զոհը հեռախոսազանգ է ստանում ֆինանսական հաստատության անվան տակ քողարկված կեղծ կազմակերպության կողմից ձայնային հաղորդագրության տեսքով: Օրինակ, հեռախոսազանգով կարող են պահանջել անձանց զանգահարել ինչ-որ այլ հեռախոսահամարի և մուտքագրել անձնական հաշվեհամարի տվյալներ կամ PIN կոդ՝ իբր անվտանգության կամ այլ նկատառումներով: Օրինակ՝ ձևանալով, թե Apple-ի տեխնիկական աջակցությունն են, օգտատերերին տրամադրվել են հեռախոսահամարներ՝ զանգահարելու և լուծելու անվտանգության խնդիրներ՝ դրա դիմաց կորզելով օգտանուն և գաղտնաբառ:

Փայնային ֆիշինգի կիրառմամբ կիբերհանցագործները կարող են նաև մտերմիկ զրույց վարել կազմակերպություան ներքին՝ ընթացիկ չլուծված խնդիրների շուրջ՝ առաջարկելով իրապես տեխնիկական օգնություն՝ հետագայում նաև հնարավորություն ձեռք բերելով ներթափանցել կազմակերպություն և ինչ-ինչ ծառայություններ մատուցելու ճանապարհով է՛լ ավելի զգայուն տեղեկատվություն հավաքագրել: Ընդսմին՝ բացարձակ վստահություն ներշնչելու նպատակով կեղծ բարերաները կարող են ցուցաբերել նաև մարդկային գերազանց վարքագիծ և առատաձեռնություն՝ սիրաշահելով բոլոր աշխատակիցներին:

Ֆիշինգի տարատեսակներից․ կարճ հեռախոսային հաղորդագրության ֆիշինգ (sms phishing, smishing)

Սա կիբերգրոհ է, որն օգտագործում է տեքստային կարճ հաղորդագրություններ՝ զոհին մոլորեցնելու համար: Նպատակը դարձյալ հավատացնելն է, որ հաղորդագրությունը եկել է վստահելի անձից կամ կազմակերպությունից, և այնուհետև համոզել քայլեր ձեռնարկել՝ հարկավոր տեղեկատվություն (օրինակ, բանկային հաշվեհամարների անձնական տվյալներ և այլն) կորզելու համար:

Ֆիշինգի տարատեսակներից․ արագընթաց ֆիշինգ (Snowshoeing, ձնագնաց)

 

Օգտատերերի էլեկտրոնային փոստերին ուղարկվում են հակիրճ նամակներ այսպես կոչված՝ «հարվածիր և փախիր» սկզբունքով, որոնք ի վիճակի են շրջանցել սպամ որսացող տեխնոլոգիաները։ Վնասաբեր հաղորդագրություններն այս դեպքում (poisoning attacks) հասնում են էլեկտրոնային փոստերի մուտքին՝ նախքան զտիչները «կսովորեն» արգելափակել դրանք:

Ասպես կոչված «կարկտային արշավները» (hailstorm phishing) գործում են համանման սկզբունքով, բացառությամբ, որ հաղորդագրություններն ուղարկվում են չափազանց կարճ ժամանակահատվածում: Կարկտահարության որոշ գրոհներ ավարտվում են հենց այն ժամանակ, երբ հակասպամի գործիքները որսում և թարմացնում են զտիչները՝  ապագայում նմանատիպ հաղորդագրություններն արգելափակելու համար։ Մինչ այդ, գրոհողներն արդեն անցնում են հաջորդ արշավին:

          Ֆիշինգի վերոհիշյալ բոլոր տարատեսակներին բնորոշ են հետևյալ առանձնահատկությունները։

 

1. Շտապողականության պարտադրանք

Կիբերհանցագործների կողմից սիրված մարտավարություն է՝ դրդրել զոհին արագ գործել, որպեսզի զոհը կշռադատված մտածողության ժամանակ չունենա։ Զոհին տեղեկացվում է, որ պատասխանելու համար ընդամենը մի քանի րոպե կա, այլապես նրա այս կամ այն հաշիվը կսառեցվի, եթե անմիջապես չթարմացնի անձնական տվյալները: Նման բովանդակության նամակները պետք է պարզապես անտեսվեն: Հիշենք, որ կազմակերպությունները բավական ժամանակ են տրամադրում օգտատերերին իրենց հաշիվները սառեցնելու համար և, որ ամենակարևորն է, նրանք երբեք չեն խնդրում հաճախորդներին թարմացնել անձնական տվյալներն ինտերնետի միջոցով և անմիջապես: Հետաքրքրության համար ուղղակիորեն պետք է այցելել նամակի սկզբնաղբյուր, այլ ոչ թե սեղմել էլփոստում տրված հղումը: Որպես հավելյալ խայծ, շահագործվում է նաև մարդկային վախի և հետաքրքասիրության գործոնը:

 

  2․ Հիպերհղումներ 

Հղումները, որպես կանոն, բոլորովին այլ են, քան առաջին հայացքից թվում է։ Օրինակ, կարելի է կեղծել հանրաճանաչ կայք՝ միտումնավոր տառասխալներ ներմուծելով հետևյալ կերպ. www.bankofarnerica.com հղման մեջ «m» տառի փոխարեն տեղադրված է «r» և «n» տառազույգը, որը հստակ տեսողական խաբկանք է առաջացնում: Անգլերեն բառերում «i» և «j» տառերի փոխարինումը մեկը մյուսով նույնպես կարող է չնկատվել անփույթ ընթերցողի կողմից: Չմոռանանք, որ հիպերհղումներն ուղղագրական ստուգման ենթակա չեն, և այդ իսկ իրողությունն էլ հմտորեն շահագործվում է կիբերհանցագործների կողմից:

 

3․ Կցորդներ

Անսպասելի կցորդներով նամակները վիրուսակիր են կամ փրկագին պահանջող (ransomware):

Միակ ֆայլի տեսակը, որի վրա միշտ անվտանգ է սեղմելը, տեքստային ֆայլն է:

 

 

 

 

4․ Անծանոթ և անսովոր ուղարկողներ

 

Եթե ստացված նամակներն ինչ-որ մեկի կողմից են, ում դուք չեք ճանաչում, կամ ինչ-որ մեկից են, ում ճանաչում եք, բայց ինչ-որ բան թվում է արտասովոր, անսպասելի կամ ընդհանրապես կասկածելի, այդպիսի նամակները պետք է անտեսվեն:

Նշենք, որ կիբերանվտանգության ոչ մի եզակի լուծում համապարփակ չէ և ի զորու չէ կանխել բոլոր ֆիշինգ հարձակումները միասին վերցրած: Կազմակերպությունը պետք է դիտարկի տեղեկատվական անվտանգության բազմաշերտ և բազմամակարդակ մոտեցում (որը խիստ մասնագիտական է և դուրս է այս լուսաբանման շրջանակներից)՝ նվազեցնելու ֆիշինգի հարձակումների քանակը և հնարավորինս մեղմելու դրանց հետևանքներն այն դեպքերում, երբ գրոհներն այնուամենայնիվ հաջողվել են:

 

Խորհուրդներ, որոնք կօգնեն կանխել ֆիշինգի հարձակումները

Հետազոտեք հղումները, որոնք ձեզ առաջարկվում են․ սա ֆիշինգի ճանաչման լավագույն եղանակն է։ Եթե որոշել եք չանտեսել նամակը, ապա նախքան հղման վրա մկնիկով սեղմելը, արտագրեք այդ հղումը դիտարկիչի նոր պատուհանում և համոզվեք հղման իսկության մեջ։ Կեղծ հղումների դեպքում դիտարկիչը համապատասխան հաղորդագրության միջոցով անպայմանորեն կիրազեկի նման սկզբնաղբյուրի բացակայության վերաբերյալ։

Պարբերաբար վերահսկեք ձեր առցանց հաշիվները

Պարբերաբար թարմացրեք ձեր դիտարկիչը

Մի՛ սեղմեք անհայտ աղբյուրներից ստացված էլփոստի հղումների վրա

Երբեք մի՛ փոխանցեք անձնական տվյալներն էլեկտրոնային փոստով կամ սոցիալական ցանցերով

Երբեք մի՛ արձագանքեք սոցիալական և հուզական հրապուրանքներին՝ ներառյալ դրամական օգնության խնդրանքները կամ աղերսները, որոնք հատկապես տարածվում են արտակարգ իրավիճակներում, ինչպիսիք են՝ համաճարակները, աղետները, պատերազմները և այլ լայնամասշտաբ իրադարձությունները: Հիշեք, որ բոլոր թվարկված դեպքերոմ մարդկանց նյարդերն առանձնակի պրկված են, իսկ օգնելու և կարեկցելու հուզական դրսևորումներն առանձնակի ցայտուն

Մի՛ արձագանքեք պարգևատրումների կամ խոշոր շահումների դիմաց գումար փոխանցելուն ինչ-որ հղմամբ։

 

Ի՞նչ պետք է անել կասկածելի նամակ ստանալու դեպքում

Առաջին քայլը՝ նման նամակը չընթերցելն է, իսկ երկրոդ քայլը՝ ձեր կազմակերպության իրազեկ անձնակազմին զեկուցելը կասկածելի նամակի վերաբերյալ։ Որքան արագ ձեր կազմակերպությունն իրազեկվի պոտենցիալ սպառնալիքի մասին, այնքան ավելի արագ միջոցներ կձեռնարկվեն այն չեզոքացնելու ուղղությամբ։

Եթե, այնուամենայնիվ, նկատում եք, որ պատահաբար ենթարկվել եք ֆիշինգ հարձակմանը և  հասցրել եք տրամադրել ինչ-որ ներքին տեղեկատվություն, դուք պետք է անհապաղ տեղեկացնեք տեղի ունեցածի մասին, քանի որ կոծկելով տեղի ունեցածը, դուք  կարող եք ոչ միայն վտանգի ենթարկել ձեր տվյալները, այլև վարկաբեկել ձեր ընկերությունը և ակամայից դառնալ կիբերգրոհի ոչ միայն զոհ, այլ նաև՝ հանցակից:

 

Ֆիշինգից պաշտպանվելու միակ ճանապարհը խիստ որոշակի բնազդի ձևավորումն է՝ հետևյալ՝ ոչ սպառիչ, խորհուրդների հաշվի առնմամբ:

Եղեք կասկածամիտ

Գործեք դանդաղ՝ սթափ մտածելակերպով

Մտածեք ու խորհրդակցեք՝ նախքան մկնիկով սեղմելը կասկածելի կամ անսովոր կցորդի կամ հղման վրա:

Եվ որ ամենակարևորն է՝

• Տեսա՞ք ինչ-որ բան, բարձրաձայնեք ինչ-որ բան: