- •История
- •Ранний фишинг на AOL
- •Переход к финансовым учреждениям
- •Фишинг сегодня
- •Техника фишинга
- •Социальная инженерия
- •Веб-ссылки
- •Обход фильтров
- •Веб-сайты
- •Новые угрозы
- •Борьба с фишингом
- •Обучение пользователей
- •Технические методы
- •Усложнение процедуры авторизации
- •Борьба с фишингом в почтовых сообщениях
- •Услуги мониторинга
- •Юридические меры
- •Примечания
- •См. также
- •Источники текстов и изображения, авторы и лицензии
- •Текст
- •Изображения
- •Лицензия
Фишинг
Пример фишингового письма, отправленного от почтового сервиса, запрашивающего «подтверждение авторизации»
Фи́шинг (англ. phishing, от fishing — рыбная ловля, выуживание[1]) — вид интернет-мошенничества, целью которого является получение доступа к конфиденциальным данным пользователей — логинам и паролям. Это достигается путём проведения массовых рассылок электронных писем от имени популярных брендов, а также личных сообщений внутри различных сервисов, например, от имени банков или внутри социальных сетей. В письме часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на сайт с редиректом. После того, как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приёмами побудить пользователя ввести на поддельной странице свои логин и пароль, которые он использует для доступа к определённому сайту, что позволяет мошенникам получить доступ к аккаунтам и банковским счетам.
Фишинг — одна из разновидностей социальной инженерии, основанная на незнании пользователями
основ сетевой безопасности: в частности, многие не знают простого факта: сервисы не рассылают писем с просьбами сообщить свои учётные данные, пароль и прочее.
Для защиты от фишинга производители основных интернет-браузеров договорились о применении одинаковых способов информирования пользователей о том, что они открыли подозрительный сайт, который может принадлежать мошенникам. Новые версии браузеров уже обладают такой возможностью, которая соответственно именуется «антифишинг».
1. История
Техника фишинга была подробно описана в 1987 году, а сам термин появился 2 января 1996 года в новостной группе alt.online-service.America-Online
сети Usenet[2][3], хотя возможно его более раннее упоминание в хакерском журнале 2600[4].
1.1. Ранний фишинг на AOL
Фишинг на AOL тесно связан с варез-сообществом, занимавшимся распространением программного обеспечения с нарушением авторского права, мошенничеством с кредитными картами и другими сетевыми преступлениями. После того, как в 1995 году AOL приняла меры по предотвращению использования поддельных номеров кредитных карт, злоумышленники занялись фишингом для получения доступа к чужим аккаунтам[5].
Фишеры представлялись сотрудниками AOL и через программы мгновенного обмена сообщениями обращались к потенциальной жертве, пытаясь узнать её пароль[6]. Для того, чтобы убедить жертву, использовались такие фразы, как «подтверждение аккаунта», «подтверждение платёжной информации». Когда жертва говорила пароль, злоумышленник получал доступ к данным жертвы и использовал её аккаунт в мошеннических целях и при рассылке спама. Фишинг достиг таких масштабов, что AOL добавила ко всем своим сообщениям фразу: «Никто из работников AOL не спросит Ваш пароль или платёжную информацию».
После 1997 года AOL ужесточила свою политику в отношении фишинга и вареза и разработала систему оперативного отключения мошеннических акка-
1