Andmepüük

Sissejuhatus andmepüügi kohta

Andmepüük on sotsiaalse manipuleerimise vorm. Erinevalt teistest küberrünnakutest, mis on otseselt suunatud võrkude ja ressursside vastu, kasutatakse sotsiaalsete insenerirünnakute puhul inimlikke eksimusi, võltsitud lugusid ja survetaktikat, et manipuleerida ohvreid nii, et nad kahjustaksid tahtmatult iseennast või oma organisatsiooni. Tüüpilises andmepüügikatses kehastab kurjategija end kellekski, keda ohver usaldab, näiteks kolleegiks, ülemuseks, autoriteediks või tuntud kaubamärgi esindajaks. Kurjategija saadab sõnumi, milles palub ohvril maksta arve, avada manus, klõpsata lingile või teha mõni muu toiming.

Fishingurünnakute areng ja mõju

Phishing, mis on nüüdseks küberkuritegevuse sünonüüm, sai alguse programmist, mille töötas välja üks Pennsylvania teismeline nimega AOHell. Selle varase pahavara sihtmärgiks oli AOL (America Online), mis oli Interneti algusaegadel populaarne võrguteenus, kasutades mehhanisme krediitkaardiandmete varastamiseks ja paroolide murdmiseks, mis viis AOLi teenuste häireteni. AOHelli programm pani aluse automaatsele andmepüügi tarkvarale, mis mõjutas hilisemaid andmepüügimeetodeid, sealhulgas neid, mida kasutas Warez-kogukond – piraattarkvara häkkimise ja jagamisega tegelev rühm.

Phishingi algusaegadel

Warezi kogukonnale omistatakse esimesed organiseeritud andmepüügirünnakud, mis algasid 1996. aastal. Nende sihtmärgiks olid AOLi kasutajad, kes kasutasid algoritmi juhuslike krediitkaardinumbrite genereerimiseks. Kui nad leidsid kehtiva numbri, lõid nad teiste kasutajate petmiseks tõelised AOLi kontod. See esialgne andmepüügiskeem arenes edasi keerukamaks sotsiaalse inseneri taktikaks, kus ründajad kehastasid AOLi töötajaid, et koguda tundlikku teavet.

Pärast neid varaseid pettusi läksid andmepüügi taktikad kiiresti üle e-kirjadele. Varased andmepüügi e-kirjad ulatusid ebaveenvatest skeemidest, näiteks Nigeeria võltsitud printsidega, kuni keerukamate katseteni, nagu 2003. aasta Mimail-viirus. Mimaili viirust levitati e-kirja kaudu, mis väitis end olevat PayPali saadetud ja kutsus kasutajaid üles uuendama oma krediitkaardiandmeid. Paljud kasutajad, keda veenev PayPali logo eksitas, sisestasid oma andmed pahatahtlikule veebisaidile.

Inimkeskne oht

Phishing on eriti ohtlik, sest see kasutab ära inimese psühholoogiat, mitte ei tugine tehnoloogilistele nõrkadele kohtadele. Ründajatel ei ole sageli vaja otseselt süsteemi rikkuda või küberturbe vahendeid üle kavaldada. Selle asemel petavad nad isikuid, kellel on volitatud juurdepääs tundlikule teabele, mis viib neid tahtmatult rünnakule kaasa aitama.

Phishing’i kasutavad nii üksikud petturid kui ka organiseeritud kuritegelikud jõugud, kes võivad kasutada andmepüügiteenuseid erinevatel pahatahtlikel eesmärkidel, sealhulgas identiteedivarguseks, krediitkaardipettuseks, rahavarguseks, väljapressimiseks, konto ülevõtmiseks ja spionaažiks. Fishingurünnakute sihtmärgid on üksikisikud, ettevõtted ja valitsusasutused. Üks märkimisväärne näide on fishingurünnak Hillary Clintoni 2016. aasta USA presidendivalimiste kampaania vastu, kus Venemaa häkkerid kasutasid tuhandete e-kirjade varastamiseks võltsitud paroolide taastamise e-kirja. Isegi kampaania IT-abiteenistust petsiti võltsitud e-kirjadega.

Kaasaegsed andmepüügimeetodid

Phishing on märkimisväärselt arenenud, kasutades sihtmärkide petmiseks mitmeid kommunikatsioonimeetodeid ja keerulisi tehnikaid. Kaasaegsed andmepüügikatsed võivad täpselt jäljendada seaduslikke ettevõtteid, mistõttu on nende avastamine ilma hoolika kontrollimiseta keeruline.

Mõned kaasaegsed andmepüügimeetodid on järgmised:

• Angler Phishing: See toimub sotsiaalmeedia kaudu, kasutades tundliku teabe kogumiseks võltsitud URL-aadressi, kiirsõnumeid või võltsprofiile. Ründajad võivad kasutada ka sotsiaalmeediaprofiile, et saada isiklikku teavet oma manipulatsioonide tõhustamiseks.
• Kloonimine ja domeenide võltsimine: Ründajad loovad e-kirju, mis sarnanevad täpselt seaduslikele kirjadele, kasutades sõnumite täpseid koopiaid või võltsides domeeninimesid, et e-kirjad tunduksid ehtsad. Sageli kehastavad nad suuri, tuntud ettevõtteid, et petta kasutajaid isikuandmete avaldamiseks.
• Smishing: See tehnika ühendab andmepüügi ja SMS-i, saates võltsitud tekstisõnumeid, et koguda teavet, näiteks krediitkaardi numbreid või paroole.
• Spear Phishing: Väga sihipärane spear phishing tähendab, et ründajad koguvad üksikasjalikku teavet, et koostada isikustatud e-kirju, mis näivad olevat pärit usaldusväärsetest allikatest.
• Vaalapüük: Seda tüüpi andmepüük on suunatud kõrgema taseme töötajatele või kõrgetasemelistele isikutele, hõlmates sageli keerukat sotsiaalset manipuleerimist ja luureandmete kogumist.
• Vishing: Vishing ühendab phishingi ja VoIP-i (voice over Internet Protocol), mis hõlmab petturlikke telefonikõnesid, mille eesmärk on hankida tundlikku teavet.

Kokkuvõttes on andmepüük arenenud algsetest programmidest, nagu AOHell, keeruliste skeemideni, mis hõlmavad erinevaid kommunikatsioonimeetodeid. Oht on endiselt märkimisväärne, sest see kasutab ära inimese psühholoogiat, mistõttu on oluline, et üksikisikud ja organisatsioonid oleksid valvsad ja oleksid nende pidevalt arenevate taktikate kohta teadlikud.