Новітні технології стали інструментом, яким вправно оперують кібершахраї для отримання доступу до конфіденційної інформації. Серед усіх видів махінацій фішингові атаки досі залишаються одним із найпоширеніших методів кіберзлочинців.
Що ж таке фішинг і яким буває?
Вважається, що фішинг — це вид кібершахрайства, розрахований на неуважних і довірливих користувачів. Його суть полягає у виманюванні інформації, яку потім можна буде використати для атаки, до прикладу, у листах із закликом перейти за небезпечним посиланням. За даними Асоціації фінансової індустрії Латвійської республіки, лише у 2024 році було здійснено понад 23 000 спроб отримання коштів в інтернеті в такий спосіб. Загальна ж сума цих махінацій склала близько 27,5 млн євро.
Існує безліч видів атак, завдяки яким злочинці можуть надурити користувачів. По-перше, це гібридні атаки, що починаються з переслідування жертв у соцмережах, а потім і в електронних листах. Злочинці застосовують різні автоматизовані інструменти для аналізу профілів користувачів, встановлення зав’язків між ними та корпораціями, щоби надалі використати цю інформацію й атакувати у потрібний момент.
Другим популярним типом фішингу є персоналізовані атаки. Як і в першому випадку, все починається з переслідування користувачів у соцмережах. Кіберзлочинці вдаються до різних засобів і використовують штучний інтелект, щоб не просто проаналізувати профіль, а знайти конкретні точки інтересів — приналежність до певної групи працівників, захоплення певним видом спорту тощо. Таким чином вони персоналізують фішингові листи, адаптуючи їх під певну сферу.
Ще один вид атак у кіберпросторі — це дипфейки. Інтерв’ю, відеозвернення і прямі трансляції за участі ваших співробітників можуть стати плацдармом для шахрайства — кіберзлочинці застосовують можливості штучного інтелекту, щоб зімітувати голос працівника вашої компанії і використати це надалі. До прикладу, вони можуть зателефонувати вашому бухгалтеру і завдяки симуляції голосу співробітника попросити перерахувати кошти. У таких випадках важливо завжди перевіряти інформацію, перетелефоновуючи менеджеру для підтвердження. Так само кіберзлочинці можуть підробити і відео, використовуючи технології зі зміни обличчя у режимі реального часу.
Хоча усі наведені вище види атак скеровані на те, щоб виманити гроші через інтернет, основна ціль злочинців — ваші працівники, а саме їхні емоції, недбалість або необізнаність. Найчастіше вони керують страхами чи цікавістю людей, щоб швидко викликати реакцію на текст фішингового повідомлення і перехід за посиланням. Це можуть бути попередження про можливе блокування облікового запису, заклик пожертвувати кошти на благодійність від того, хто видає себе за знайомого тощо.
Часто такі «листи щастя» надсилають у понеділок чи п’ятницю, напередодні чи одразу після свят, або ж під кінець робочого дня чи зовсім пізно вночі. Саме тоді ми усі стаємо менш уважними, й це може зіграти злочинцям на руку.
Як убезпечитися?
Кіберзлочинці постійно вивчають нові способи нападу, тому важливо регулярно посилювати кіберзахист. Одним із найкращих рішень буде поєднати технічні можливості із навчанням персоналу, щоб підняти рівень обізнаності про можливі небезпеки.
Що рекомендує Tet?
- Впровадити двоетапну фільтрацію електронної пошти.
- Позначати зовнішню пошту для ідентифікації потенційних загроз.
- Навчати співробітників теоретично і практично. Так, мій відділ Tet IT Security перевіряє наших працівників щомісяця, направляючи фейкові фішингові листи. Таким чином наша команда на практиці вчиться розпізнавати усі елементи фішингу.
- Створення каналу звітування про фішинг для негайного сповіщення про спроби атаки.
Хоча більшість фішингових повідомлень на пошти співробітників Tet відфільтровується, є випадки, коли такі листи виглядають напрочуд достовірними. Стиль, граматика, оформлення і візуалізація — все відповідає айдентиці компанії. Також такі листи містять назву Tet або ж ім’я співробітника із запрошенням взяти участь у вебінарі чи розіграші призів, долучитися до відеодзвінка тощо — тобто, недобросовісне посилання.
Найчастіше такі листи надходять працівникам у департаментах ІТ-безпеки чи фінансів, проте у групі ризику усі співробітники. Так, минулого року Tet отримав понад 30 000 фішингових повідомлень. Але наші фахівці вчасно розпізнали їх і запобігли можливим збиткам.
Як бачимо, ШІ-інструменти вдосконалюються і можуть стати справжньою зброєю в руках кіберзлочинців. Проте висококваліфіковані співробітники мають ще більше засобів вчасно розпізнати такі атаки й захистити бізнеси. І саме тому компаніям як ніколи треба інвестувати у навчання своїх працівників і в зовнішні засоби безпеки. Формуючи сильну культуру безпеки вже зараз, ви мінімізуєте ризики у майбутньому вашого бізнесу.