Phishing staje się bardziej ukryty: 4 sposoby na obronę Twojej marki

Jeszcze kilka lat temu łatwo było wykryć phishing. Jeśli e-mail lub SMS wydawał się pochodzić od prawdziwej marki, ale zawierał błędy ortograficzne, błędną gramatykę lub niewyraźne logo, można się założyć, że ktoś próbował nakłonić Cię do kliknięcia łącza w ramach kampanii mającej na celu kradzież danych, pieniędzy lub tożsamość.

Dziś jednak wykrycie nielegalnej komunikacji nie jest takie łatwe. Większość cyberprzestępców znacznie lepiej udaje się ukryć swoją tożsamość dzięki potężnym, niedrogim narzędziom hakerskim lub zestawom phishingu jako usługi w ciemnej sieci. Narzędzia te, z których wiele wykorzystuje sztuczną inteligencję, mogą sprawić, że komunikacja nawet najbardziej niepiśmiennego oszusta będzie wyglądać profesjonalnie.

Co więcej, dzięki szybkiemu postępowi w ChatGPT Open AI, darmowym programie chatbota AI zbudowanym z możliwościami przetwarzania języka naturalnego (NLP), hakerzy mają teraz szybszy, lepszy i tańszy sposób tworzenia komunikacji naśladującej osobowość lub ton marki.

Biorąc pod uwagę wszystkie te innowacje, nic dziwnego, że hakerzy byli w stanie przeprowadzić 255 milionów ataków phishingowych w 2022 roku, co stanowi wzrost o 61% w porównaniu z rokiem poprzednim.

Wyłudzanie informacji: 10 najczęściej fałszowanych marek

Wszystkie marki są narażone na ryzyko sfałszowania, ale oszuści często atakują duże firmy technologiczne, spedytorów i sieci społecznościowe.

Oto 10 najczęściej podrabianych marek w IV kwartale 2022 r., uszeregowanych według ich ogólnego występowania w próbach phishingu marki, według Check Point Software:

1. Yahoo (20%)
2. DHL (16%)
3. Microsoft (11%)
4. Google (5,8%)
5. LinkedIn (5,7%)
6. WeTransfer (5,3%)
7. Netflixa (4,4%)
8. FedEx (2,5%)
9. HSBC (2,3%)
10. WhatsApp (2,2%)

4 sposoby na ochronę Twojej marki

Phishing stanowi ogromne ryzyko dla marek, ich marketingu i reputacji.

„Cała ta aktywność phishingowa może podważyć wartość marki, ponieważ kiedy te e-maile wychodzą, a konsumenci nie wiedzą, czy są one ważne, czy nie, czasami błędnie kojarzymy nasze negatywne doświadczenia z firmą, pod którą się podszywa” — mówi Frank Dickson, analityk branży cyberbezpieczeństwa w IDC.

„Ale prawda jest taka, że ​​nawet duże firmy, takie jak Microsoft czy Google, mogą zrobić tylko tyle, aby udaremnić phishing w znaczący sposób”.

1. Zastosuj protokoły bezpieczeństwa poczty e-mail
2. Opanuj swoje domeny
3. Chroń swoje kanały w mediach społecznościowych
4. Edukuj swoich klientów

Pokonaj zagrożenie dzięki bezpieczeństwu poczty e-mail

Chociaż phishing jest trudny do pokonania, organizacje mogą przynajmniej spowolnić jego postęp, wdrażając kluczowe protokoły bezpieczeństwa na poziomie serwera poczty e-mail.

Istnieją trzy, które firmy zwykle stosują ze sobą w tandemie:

• Domain-based Message Authentication , Reporting and Conformance (DMARC) to system sprawdzania poprawności poczty e-mail zaprojektowany w celu ochrony domeny e-mail Twojej firmy przed wykorzystaniem jej do fałszowania, wyłudzania informacji i innych cyberprzestępstw. DMARC korzysta z technik uwierzytelniania poczty e-mail, takich jak Sender Policy Framework (SPF) i Domain Keys Identified Mail (DKIM).
• Sender Policy Framework (SPF) to technika uwierzytelniania poczty e-mail, która zapobiega wysyłaniu wiadomości przez spamerów w imieniu Twojej domeny. Daje to możliwość określenia, które serwery poczty e-mail mogą wysyłać wiadomości e-mail w imieniu Twojej domeny.
• DomainKeys Identified Mail (DKIM) to technika uwierzytelniania wiadomości e-mail oparta na podpisach, obejmująca podpis cyfrowy, który umożliwia odbiorcy sprawdzenie, czy wiadomość e-mail została wysłana i autoryzowana przez właściciela tej domeny.

Przed tymi standardami hakerzy mogli zasadniczo wysyłać wiadomości e-mail z dokładnie tymi samymi domenami, co same marki, mówi Roger Grimes, ewangelista ds. Obrony w KnowBe4, platformie szkoleniowej świadomości bezpieczeństwa. Używając tych protokołów do uwierzytelniania wiadomości e-mail przed ich dostarczeniem, wiele dużych firm to powstrzymało.

„Standardy odniosły taki sukces, że phisherzy prawie zrezygnowali z używania prawdziwych, legalnych domen firmowych” — mówi Grimes.

Opanuj swoje domeny, aby pokonać siły ciemności

Ponieważ protokoły bezpieczeństwa poczty e-mail wykonują tak świetną robotę, odcinając jedną linię ataków, hakerzy przerzucili się na tworzenie własnych domen. Pewnie je widziałeś. Często bardzo przypominają oryginały, ale nieznacznie odbiegają, wsuwając cyfrę, literę lub symbol w nieoczywiste miejsca.

Większość hakerów nie zawraca sobie głowy robieniem tego ręcznie, ponieważ istnieje wiele narzędzi, które pozwalają im tworzyć dziesiątki, a nawet setki fałszywych pochodnych. I prawie niemożliwe jest znalezienie ich wszystkich po ich wygenerowaniu, mówi Grimes.

Jednym z technologicznych obejść jest wdrożenie zautomatyzowanego narzędzia do identyfikowania podobnych domen powiązanych z domeną korporacyjną, mówi Dickson z IDC. Będą one zasadniczo przeszukiwać zarówno publicznie dostępną sieć, jak i ciemne strony internetowe i głębokie strony internetowe, aby zobaczyć, kto może podszywać się pod Twoją markę.

Dodatkową kwestią, jaką należy wziąć pod uwagę, aby stać się panem swojej domeny, jest subskrypcja usługi reputacji. Zazwyczaj obejmują one również narzędzie do wyszukiwania, które pozwala sprawdzić, kto (jeśli ktokolwiek) podszywa się pod Ciebie.

Ale mogą też zatrudniać setki osób zajmujących się badaniami i usługami pomocniczymi, takimi jak współpraca z organami ścigania w celu usunięcia nielegalnych domen, mówi Tony Sabaj, rzecznik Check Point.

Zwiększ bezpieczeństwo w mediach społecznościowych

Marki muszą również chronić swoje kanały w mediach społecznościowych przed atakami. Jeśli zostaną naruszone, kanały te mogą stać się narzędziami do przeprowadzania ataków typu phishing, mówi Grimes.

„Często zdarza się, że haker włamuje się do firmy, przeszukuje skrzynki odbiorcze dotyczące zobowiązań i należności, a następnie wysyła ludziom fałszywe faktury i zmiany w informacjach bankowych” — mówi, odnosząc się do włamań do firmowej poczty e-mail.

„Mogą powiedzieć coś w stylu„ hej, chcemy tylko poinformować, że zmieniamy bank na nowy i powinieneś wysyłać płatności na ten nowy numer banku i numer konta ”.

Edukuj swoich klientów (i wszystkich, którzy będą słuchać)

Jedną z najważniejszych rzeczy, które firma może zrobić, aby chronić swoją markę, jest informowanie klientów o zagrożeniach związanych z atakami typu phishing oraz o tym, co mogą z tym zrobić.

Poinformuj ich o aktualnych trendach phishingu, takich jak hakerzy wysyłający niechciane wiadomości e-mail z informacją, że coś wygrali, że dostawa czegoś, czego nigdy nie zamówili, została opóźniona lub że ich konto zostało przejęte i wymaga pomocy technicznej.

Ponadto regularnie informuj klientów o swoich proaktywnych działaniach na rzecz zwalczania phishingu. Wreszcie, wykorzystaj każdą okazję, aby przypomnieć klientom, że muszą wziąć udział w ochronie siebie.

Podaj zdroworozsądkowe wskazówki, takie jak:

• Podejrzana komunikacja cyfrowa z dziwnymi nazwami domen, czcionkami, błędami pisowni, gramatyką lub obrazami . Te „powiedzenia” nie są tak powszechne jak kiedyś, ale nadal istnieją.
• Poszukaj niezgodności między rzekomymi nadawcami, adresami e-mail, wierszami tematu i samą wiadomością. Na przykład niedawno otrzymałem źle spreparowaną wiadomość e-mail, która rzekomo pochodziła od firmy Lowe, która twierdziła, że ​​wygrałem grzejnik Dewalt. Adres e-mail nadawcy nie zawierał nazwy sklepu z narzędziami. Treść wiadomości została zwieńczona logo EA, firmy zajmującej się grami wideo. I zamiast powiedzieć mi, jak zdobyć grzejnik, powiedział, że poprosiłem o zmianę hasła i mogę kliknąć link, aby to zrobić.
• Podchodź sceptycznie do wiadomości, które wydają się pojawiać znikąd lub z prośbą o zrobienie czegoś, czego nigdy wcześniej nie robiłeś z rzekomym nadawcą, na przykład udostępnienie informacji finansowych lub danych osobowych.
• Nigdy nie klikaj linków pochodzących od osób, których nie znasz lub którym nie ufasz, zwłaszcza jeśli proszą Cię o wybranie nowego hasła.
• Uważaj też na potencjalnie fałszywe filmy wideo , które są wykorzystywane do phishingu. Chociaż stają się coraz bardziej śliskie, zwykle można je dostrzec, szukając zniekształceń wizualnych, takich jak nietypowe ruchy głowy lub tułowia oraz problemy z synchronizacją między twarzą, ustami i dźwiękiem, pisze Stu Sjouwerman, założyciel i dyrektor generalny KnowBe4.

Niekończąca się bitwa

W końcu firmy powinny zmierzyć się z faktem, że walka z phisherami to ciągła walka. Dla każdego środka zaradczego rzucanego przez marki cyberprzestępcy znajdą inny wektor ataku – dlatego tak ważne jest zachowanie czujności na zmieniające się zagrożenia i skupienie się na ludziach, procesach i technologii.

„To z pewnością zabawa w kotka i myszkę” — mówi Sabaj z Check Point. „Ale istnieje wiele rzeczy, które organizacje mogą zrobić, aby zapobiec phishingowi, i muszą to zrobić, aby chronić wartość swojej marki”.