טקטיקות הפישינג מתפתחות – כך האקרים נעשו חכמים יותר

This post is also available in: English (אנגלית)

פישינג הוא עדיין הפשע המקוון הנפוץ ביותר בארצות הברית, עם יותר מ-193,000 תקריות שנרשמו על ידי ה-FBI בשנה האחרונה. בעוד שהשכיחות אינה חדשה, ניתוח עדכני של דו"ח פשעי האינטרנט האחרון של ה-FBI חושף התפתחות בנוגע לאופן שבו התקפות אלה מתבצעות.

מומחי אבטחת סייבר צופים במעבר לטכניקות פישינג מעודנות יותר, המונעות פסיכולוגית, שיכולות לחמוק גם מהאינסטינקטים של המשתמשים וגם מהמסננים האוטומטיים. שיטות חדשות אלה מסתמכות פחות על קישורים זדוניים או נורות אזהרה ברורות ויותר על שימוש באינטראקציות דיגיטליות יומיומיות, על פי דו"ח של ZeroBounce.

מגמה אחת הולכת וגדלה היא השימוש בפישינג ללא קישורים. במקום לשלוח דוא"ל עם כתובות URL חשודות, התוקפים מתחילים ליצור קשר עם הודעה מעורפלת, שנראית לכאורה לא מזיקה כמו "האם אתה זמין לשיחה?". המטרה היא לעורר תשובה ישירה וליזום שיחה – לעתים קרובות בהתחזות של עמית או בכיר. ללא כל קישור או קובץ מצורף, הודעות אלה עוקפות לעתים קרובות מסנני דואר הזבל הרגילים.

טקטיקה נוספת מנסה לאייש משתמשים מאימות רב-גורמי. לאחר קבלת נתוני כניסה, תוקפים מפציצים משתמש עם הודעות פוש, ואז ממשיכים עם דוא"ל המתחזה לתמיכה טכנית, ומעודדים את המשתמש לאשר רק בקשה אחת כדי להפסיק את ההודעות. שיטת הנדסה חברתית זו ממנפת תסכול ואמון ולא ניצול טכני.

בחלק מההודעות, הנוזקה מוחבאת בקבצי HTML מצורפים. קבצים אלה עשויים להופיע כחשבוניות או כמסמכים משותפים, אך כאשר הם נפתחים, הם מחקים דפי כניסה שנראים אמיתיים אך גונבים את נתוני המשתמש. מאחר שקבצי HTML נחשבים לבטוחים, הם עלולים להיות מטעים במיוחד.

לבסוף, שחקנים זדוניים מטמיעים קישורים מסוכנים בזימוני לו"ז. כאשר משתמשים מקבלים הזמנה לאירוע, הם עשויים לתת אמון בממשק לוח השנה וללחוץ ללא היסוס. הזמנות אלה מכילות לעתים קרובות קישורי פישינג בלחצן 'הצטרף' או בתיאור האירוע.

ככל שטכניקות פישינג הופכות מעודנות יותר ופחות ניתנות לגילוי, מומחי אבטחת סייבר מדגישים את החשיבות של ערנות מתמדת. בעת בה תוקפים מנצלים היכרות והרגלים, משתמשים חייבים לנקוטט בחדשנות כאשר נתקלים בהודעות, קבצים והזמנות בלתי צפויות, לא משנה עד כמה הן נראות נורמליות.