Фишинг — это вид кибермошенничества, при котором злоумышленники маскируются под доверенные организации, чтобы выманить личные данные: пароли, номера карт или доступы к аккаунтам. Подробнее о методах и истории фишинга можно прочитать в статье что такое phishing.
Первые фишинговые атаки появились ещё в эпоху dial-up-интернета. Мошенники рассылали письма от имени AOL, требуя «подтвердить учётную запись». Сегодня методы стали сложнее: используются AI-генерация текстов, поддельные веб-страницы и даже deepfake-аудио.
Эволюция инструментов
1990-е: Примитивные email-рассылки с грамматическими ошибками. 2000-е: Фишинговые сайты-клоны банков. 2010-е: Целевые атаки (spear phishing) через соцсети. 2020-е: Использование ChatGPT для создания убедительных текстов.
Мотивация злоумышленников может варьироваться от банальной наживы до политического давления.
Финансовая выгода
Кража данных банковских карт через поддельные платежные формы. Вымогательство криптовалюты под угрозой утечки данных.
Промышленный шпионаж
Корпоративные фишинговые атаки направлены на:
Получение доступа к коммерческой тайне. Перехват переговоров между отделами.
Политические цели
Государственные хакерские группы используют фишинг для:
Дестабилизации работы инфраструктуры. Кражи данных политических оппонентов.
Тип атаки Описание Пример Социальный фишинг Использование соцсетей для рассылки фейковых ссылок. Сообщение от «друга» с просьбой перевести деньги. Email-фишинг Письма от «банка» с требованием обновить данные. Поддельное уведомление о блокировке счета. Фарминг Перенаправление на фейковые сайты через DNS-спуфинг. Ввод данных на сайте-клоне Google. Спирфишинг Целевые атаки на сотрудников компаний. Письмо «от директора» с запросом перевода денег. Вишинг Звонки от «службы поддержки» для получения кодов. Мошенник представляется сотрудником банка. Байтинг Заражение через флеш-накопители или файлы. Инфицированный документ «Счет.pdf».
Фишинг в мессенджерах
Telegram, WhatsApp и Viber стали новым полем для атак. Мошенники создают клоны аккаунтов коллег, рассылая сообщения вроде: «Привет! Срочно нужна помощь с оплатой».
QR-фишинг
Злоумышленники заменяют QR-коды в публичных местах (кафе, аэропорты) на свои, перенаправляя жертв на вредоносные страницы.
Физические лица
Пенсионеры: низкая цифровая грамотность. Геймеры: фишинг через фейковые магазины игр.
Бизнес
Малые и средние компании часто становятся жертвами из-за:
Отсутствия бюджета на кибербезопасность. Использования личных устройств для работы (BYOD).
Решением может стать dns фильтрация для бизнеса, которая блокирует доступ к опасным ресурсам на уровне сети.
Образовательные учреждения
Школы и вузы уязвимы из-за:
Открытого доступа к Wi-Fi для студентов. Хранения персональных данных учащихся.
Снизить риски помогут интернет фильтры для образовательных учреждений, ограничивающие доступ к фишинговым сайтам.
5 красных флагов
Срочность: «Ваш аккаунт будет удалён через 24 часа!» Ошибки в доменном имени: «paypa1.com» вместо «paypal.com». Запрос конфиденциальных данных через email или SMS. Неофициальные каналы связи: банк пишет через Facebook. Гиперссылки, не соответствующие тексту (при наведении курсора).
Для частных пользователей
Проверяйте SSL-сертификаты — значок замка в адресной строке. Не открывайте вложения от неизвестных отправителей. Используйте VPN в публичных сетях.
Для организаций
Проводите тренинги по кибербезопасности каждые 3 месяца. Внедряйте DMARC, SPF и DKIM для защиты почты. Резервное копирование данных минимум раз в неделю.
Искусственный интеллект
AI-алгоритмы анализируют паттерны поведения пользователей и блокируют подозрительные действия. Например, если сотрудник внезапно пытается скачать всю базу клиентов.
Биометрическая аутентификация
Отпечатки пальцев и распознавание лица усложняют доступ к аккаунтам даже при утечке паролей.
В России за фишинг предусмотрена ответственность по ст. 159.6 УК РФ (мошенничество в сфере компьютерной информации). Максимальное наказание — до 10 лет лишения свободы.
Атака на Twitter (2020)
Хакеры взломали аккаунты Илона Маска, Барака Обамы и других знаменитостей, разместив сообщения: «Отправьте 1 BTC — получите 2!». Ущерб составил $118,000.
Фишинг в Zoom (2021)
Мошенники рассылали приглашения на «срочные совещания». При переходе по ссылке пользователи попадали на страницу сбора учетных данных.
Использование одного пароля для всех сервисов. Отключение двухфакторной аутентификации «для удобства». Доверие к SMS от «службы доставки» с неотслеживаемыми ссылками.
Немедленно заблокируйте карту через приложение банка. Смените пароли на всех важных аккаунтах. Сообщите о мошенничестве в правоохранительные органы.
Эксперты прогнозируют рост атак через IoT-устройства (умные часы, камеры). Уже сейчас фишеры экспериментируют с поддельными push-уведомлениями: «Ваш холодильник взломан! Нажмите здесь для разблокировки».