Cyberprzestępczość: spear-phishing coraz częstszy

Przeczytaj także: Spear phishing coraz popularniejszy

Phishing jest rodzajem oszustwa, polegającego na kradzieży tożsamości lub innych danych (np. finansowych) z wykorzystaniem kopii strony internetowej (poczty internetowej, bankowości on-line, portalu społecznościowego) zaufanej instytucji. Niczego niepodejrzewający użytkownik wpisuje na tak spreparowanej stronie swój login i hasło lub dane z karty kredytowej, a informacje te trafiają w ręce przestępców. „Co ciekawe istota phishingu nie zmieniła się od początku istnienia tego zjawiska. Jedynie metody działania oszustów stają się coraz bardziej wyrafinowane, a próby ataku coraz częściej dotyczą także właścicieli smartfonów i użytkowników aplikacji mobilnych. W najbliższej przyszłości nie należy spodziewać się zmniejszenia skali tego rodzaju przestępstw, a wręcz jego nasilenia” – wyjaśnia Piotr Szeptyński, Menadżer w Dziale Zarządzania Ryzykiem, Deloitte.

Potwierdzają to wyniki badania Kaspersky Lab. W ciągu ostatnich dwunastu miesięcy oszuści atakowali dziennie średnio 102 tys. osób, dwa razy więcej niż w analogicznym okresie rok wcześniej. Prób oszustwa najczęściej dokonywano w Rosji, USA, Indiach, Wietnamie oraz Wielkiej Brytanii, a największa liczba zaatakowanych użytkowników to mieszkańcy Wietnamu, Stanów Zjednoczonych, Indii oraz Niemiec. Większość serwerów, na których znajdowały się strony phishingowe została zarejestrowana w USA, Wielkiej Brytanii, Niemczech, Rosji oraz Indiach.

W ostatnich latach coraz popularniejszy staje się phishing targetowany (spear-phishing), mający charakter spersonalizowanego ataku. Choć najpopularniejszym celem oszustów nadal pozostają klienci instytucji finansowych (20 proc. ogólnej liczby przestępstw phishingowych), to narażeni na nie są także użytkownicy serwisów transakcyjnych (np. aukcyjnych) oraz takich, w których gromadzone są cenne dane osobowe, zawodowe, dotyczące zdrowia i szczególnych zainteresowań. Świadczy o tym mnogość ataków wycelowanych w użytkowników takich serwisów, jak PayPal, Facebook, LinkedIn czy Twitter.

Niestety firmy i ich klienci zbyt często są niesłusznie przekonani o skuteczności stosowanych zabezpieczeń. Dwuskładnikowe uwierzytelnianie, kody SMS, karty zdrapki i szyfrowane połączenie są to (w ocenie użytkowników) sposoby wystarczające, by uchronić się przed udanym atakiem. „Jednak rzeczywistość pokazuje, że wcale tak nie jest. Szkodliwe oprogramowanie tworzone jest pod konkretne potrzeby, co świadczy o tym, że jego skuteczność jest wysoka, a przestępcom opłaca się angażować wykwalifikowanych programistów w jego tworzenie” - uważa Piotr Szeptyński.