Phishing on ollut käytössä jo pitkään, ja se on aina osoittautunut tehokkaaksi tavaksi huijata ihmisiltä rahaa ja varastaa henkilökohtaisia tietoja. Teknologian kehittyessä phishing-huijaukset ovat kuitenkin yhä kehittyneempiä ja petollisempia.
Hyökkääjät ovat hioneet taitojaan ja mukauttaneet huijauksiaan huijatakseen mahdollisimman monia ihmisiä eri alustoilla. Kaspersky Lab havaitsi, että phishing-hyökkäykset lisääntyivät 59 prosenttia vuonna 2017, ja tämän luvun odotetaan vain kasvavan. Yksinkertainen syy on se, että phishing toimii.
Sen alhaiset kustannukset ja korkea tuotto ovat tehneet siitä erittäin tuottoisan tavan huijata ihmisiä. Vaikka yleinen tietämys tietojenkalastelusta on lisääntynyt, miljoonat ihmiset lankeavat edelleen päivittäin tietojenkalasteluhuijauksiin.
Paras tapa välttää phishing-huijauksiin lankeaminen on tietää, miltä ne näyttävät ja millä menetelmillä uhreja tavoitellaan. Alla on lueteltu joitakin yleisimmin käytettyjä phishing-huijauksia, joita kohdistetaan käyttäjiin kaikkialla maailmassa:
Top Phishing-huijaukset
1. Petollinen kalastelu
Harhaanjohtava kalastelu on yleisimmin käytetty kalasteluhuijaustyyppi. Jokaisen phishing-hyökkäyksen tavoitteena on huijata uhri paljastamaan luottamuksellisia tietoja, ja se toteutetaan yleensä esiintymällä laillisena yrityksenä tai hyvämaineisena lähteenä. Nämä phishing-sähköpostiviestit luovat usein kiireen tunteen, joten käyttäjän on pakko vastata sähköpostiviestiin mahdollisimman pian.
Viime vuosina phishing-huijauksista on tullut yhä kehittyneempiä ja vaikeammin havaittavia. Kirjoitus- ja kielioppivirheet varoittavat usein käyttäjiä phishing-huijauksesta, mutta nykypäivän phishing-sähköpostit ovat hyvin suunniteltuja ja niitä on usein vaikea erottaa oikeasta viestistä.
Petollisia phishing-sähköpostiviestejä on monenlaisia, mutta useimmat niistä yrittävät huijata käyttäjää ratkaisemaan tiliongelman, kuten päivittämään maksutietoja tai estämään tilin sulkemisen, klikkaamalla linkkiä. Kun uhri klikkaa linkkiä, hänet ohjataan usein lähes identtiselle väärennetylle sivustolle, joka varastaa hänen henkilökohtaiset ja taloudelliset tietonsa.
Petolliset phishing-hyökkäykset jäljittelevät usein suuria brändiyrityksiä, kuten PayPalia, Netflixiä, Applea ja Amazonia, koska näin on suurempi mahdollisuus, että useampi ihminen lankeaa huijaukseen. Käyttäjien tulisi aina varoa sähköpostiviestejä, joissa on yleinen tervehdys, kiireellistä ja uhkaavaa kieltä, kirjoitusvirheitä, vääränlainen URL-osoite tai pyyntöjä henkilökohtaisista tiedoista.
2. Spear Phishing
Jotkin viime vuosien suurimmista verkkohyökkäyksistä ovat kaikki alkaneet yhdestä spear phishing -sähköpostiviestistä. Spear Phishing on kohdennetumpi yritys varastaa arkaluonteisia tietoja, ja se kohdistuu yleensä tiettyyn henkilöön tai organisaatioon. Spear phishing -hyökkäyksen laatimiseen käytetään paljon enemmän aikaa ja ajatusta, ja huijarit yrittävät saada uhrista mahdollisimman paljon tietoa, jotta sähköpostiviestit vaikuttaisivat mahdollisimman laillisilta ja vakuuttavilta.
He käyttävät usein yritysten verkkosivuja ja sosiaalista mediaa tutkiakseen uhrejaan, ja kun he tuntevat kohteensa paremmin, he alkavat lähettää henkilökohtaisia sähköpostiviestejä, joiden tarkoituksena on huijata uhri paljastamaan arkaluonteisia tietoja.
Spear Phishing -hyökkäykset voivat olla monenlaisia. Joissakin yritetään saada uhri klikkaamaan linkkiä, joka lataa haittaohjelman, toisissa pyydetään kirjautumistietoja tai uhri ohjataan sivustolle, joka sisältää mainoksia tai näppäinlukitusohjelmia.
Perinteiset turvatoimet voivat osoittautua täysin tehottomiksi spear phishing -sähköpostiviestien havaitsemisessa, joten on tärkeää, että käyttäjät pysyvät valppaina tämän hyökkäysmenetelmän suhteen ja tarkistavat kaikkien epäilyttäviksi katsomiensa sähköpostiviestien oikeellisuuden.
3. Sosiaalisen median phishing
Sosiaalisessa mediassa tapahtuvien phishing-huijausten määrä on kasvanut jyrkästi. RiskIQ:n tuoreessa raportissa todettiin, että sosiaalisen median alustoilla tapahtuvat phishing-hyökkäykset ovat lisääntyneet 100 prosenttia. Sosiaalisen median phishing tarkoittaa sitä, että hyökkääjät käyttävät sosiaalisen median sivustoja, kuten Facebookia, LinkedIniä tai Twitteriä, huijatakseen käyttäjiä klikkaamaan haitallisia linkkejä tai paljastamaan henkilökohtaisia tietoja.
Sosiaalisen median sivustot ovat osoittautuneet hyökkääjille tuottoisaksi metsästysalueeksi, sillä he voivat löytää runsaasti tietoa mahdollisista uhreista ennen kohdennetun hyökkäyksen käynnistämistä. Käyttäjät ovat myös yleensä luottavaisempia ja suhtautuvat vähemmän epäluuloisesti sosiaalisen median viesteissä oleviin linkkeihin, mikä tekee heistä alttiimpia hyökkäyksille.
Koska kuluttajat ovat yhä useammin vuorovaikutuksessa tuotemerkkien kanssa sosiaalisen median kanaviensa kautta, huijarit ovat nopeasti hyödyntäneet tätä verkkosuhdetta ja perustaneet väärennettyjä tilejä, joilla he esiintyvät suurina tuotemerkkeinä. Tutkimusten mukaan 19 prosenttia sosiaalisen median tileistä, jotka näyttivät edustavan huippubrändejä, olivat kaikki väärennettyjä.
Sosiaalisen median phishing-huijauksilta voi suojautua paremmin käyttämällä tehostettuja yksityisyysasetuksia, älä napsauta epäilyttäviä linkkejä, älä koskaan hyväksy ystäväpyyntöjä tuntemattomilta henkilöiltä ja ole varovainen jakamaan liikaa henkilökohtaisia tietoja.
Kuva: Facebook-linkki
Lähde: TrendMicro
4. Haittaohjelmiin perustuva phishing
Tietoverkkorikolliset käyttävät erilaisia phishing-hyökkäyksiä henkilö- ja taloustietojen varastamiseen, ja haittaohjelmiin perustuva phishing on osoittautunut erittäin tehokkaaksi tavaksi kohdistaa uhreja ja käynnistää laajamittaisia verkkohyökkäyksiä.
Haittaohjelmiin perustuva phishing tarkoittaa, että hyökkääjä lähettää sähköpostin liitetiedoston tai ladattavan tiedoston, jota napsauttamalla tietokoneeseen tarttuu virus, lunnasohjelma tai muu haittaohjelma. Juuri näin tapahtui pahamaineisessa WannaCry-hyökkäyksessä, joka vaikutti yli 200 000 uhriin 150 maassa sen jälkeen, kun heidän tietokoneisiinsa oli tarttunut haittaohjelmia.
5. Tiedostonjakohuijaukset
Google Docsin ja Dropboxin kaltaisista tiedostojen jakopalveluista on tullut erittäin tehokas tapa kohdistaa phishing-huijauksia käyttäjiin. Sivustoja käyttävät usein yritykset, joten niitä ei yleensä estetä, ja niitä puolestaan käytetään syöttinä phishing-hyökkäyksissä.
Vuonna 2017 noin miljoona Google Docs -käyttäjää joutui phishing-huijauksen kohteeksi, jossa heidän henkilötietonsa varastettiin, kun he olivat napsauttaneet phishing-linkkiä. Uhrit saivat sähköpostiviestin, jossa luki mm: "Tämä puolestaan johti käyttäjät väärennetylle Googlen kirjautumissivulle. Huijaus vaikutti täysin lailliselta, koska se oli Googlen palvelimilla, mutta heti kun käyttäjät syöttivät salasanansa, heidät ohjattiin kolmannen osapuolen haitalliselle sivustolle.
Ei voi tarpeeksi korostaa, että käyttäjien tulisi aina olla erityisen valppaita klikkaamaan linkkejä ja lataamaan liitetiedostoja tuntemattomista lähteistä. Kaksitekijätodennusta voidaan myös käyttää lisäturvana verkkotilien turvallisuuden suojaamisessa.
Aiheeseen liittyvät artikkelit:
Kuinka ilmoittaa phishing-huijauksesta
5 tapaa tunnistaa phishing-sivusto
Mitä tehdä, jos napsautat phishing-linkkiä?
Vaikka phishing-huijaukset ovat yhä kehittyneempiä, voit suojautua verkossa monin tavoin. MetaPhish on suunniteltu erityisesti suojaamaan yrityksiä phishing- ja ransomware-hyökkäyksiltä, ja se on ensimmäinen puolustuslinja verkkorikollisuuden torjunnassa. Ota yhteyttä, niin saat lisätietoja siitä, miten voimme auttaa yritystäsi.
