Що таке фішинг: види атак і способи захисту

Фішинг використовує довіру та поспіх

Фішингове повідомлення видає себе за банк, роботодавця, службу доставки, державний сервіс або знайому людину. Його мета — змусити відкрити підроблену сторінку, повідомити код, встановити файл чи переказати гроші. Зловмисники тиснуть на терміновість: нібито рахунок заблокують, посилка повернеться або керівник чекає оплату. Технічно лист може бути простим, але правильно підібраний контекст робить його переконливим.

Адреса відправника не є достатнім доказом

Ім’я в поштовій програмі легко підробити, а домен може відрізнятися однією літерою або незвичним закінченням. Посилання потрібно перевіряти до відкриття, особливо на телефоні, де повна адреса прихована. Безпечніше самостійно відкрити застосунок або набрати адресу сервісу, ніж переходити з листа. Якщо прохання стосується грошей чи зміни реквізитів, його підтверджують через інший відомий канал. Стійкість до підроблених сторінок підвищують ключі доступу з продуманим відновленням, а загальну модель захисту описано в матеріалі про основи кібербезпеки.

Цільові атаки збирають контекст заздалегідь

Spear phishing спрямований на конкретну людину або команду. Зловмисник може знати ім’я керівника, назву проєкту, постачальника та час відпустки працівника з відкритих профілів або попереднього витоку. У корпоративній пошті особливо небезпечні підміна рахунків, запит на терміновий платіж і викрадення сесії через фальшиву сторінку входу. Навчальний тест має відпрацьовувати саме реальні сценарії організації, а не лише очевидні листи з помилками.

Багатофакторний захист зменшує наслідки

Унікальний пароль не допоможе, якщо його добровільно ввести на підробленій сторінці, але не дасть використати той самий секрет в інших сервісах. Ключі доступу та апаратні ключі краще протистоять фішингу, бо перевіряють справжній домен. Коди з SMS або застосунку все ще можуть бути перехоплені через переконливий запит. Для чутливих операцій потрібні окреме підтвердження й обмеження, які не залежать від поштового акаунта.

Після помилки важлива швидка реакція

Якщо пароль уже введено, його змінюють із чистого пристрою, завершують активні сесії та перевіряють способи відновлення. У пошті потрібно переглянути правила пересилання, додані застосунки й надіслані повідомлення. Компанії слід негайно повідомити команду безпеки, щоб заблокувати домен, знайти інші листи та попередити колег. Покарання за швидке повідомлення лише змушує людей приховувати інциденти й збільшує збиток.

Смішинг і вішинг переносять атаку на телефон

Шахрайський SMS може повідомляти про доставку, штраф або блокування картки, а телефонний дзвінок — імітувати банк чи технічну підтримку. Номер на екрані не гарантує справжність співрозмовника. Не диктуйте коди, не встановлюйте програму віддаленого доступу й не переказуйте кошти на «безпечний рахунок». Завершіть розмову та самостійно зателефонуйте за номером з офіційного застосунку або документа.

Організація може зменшити кількість небезпечних рішень

Фінансові операції варто підтверджувати двома людьми, а зміну реквізитів — через відомий канал із постачальником. Поштова система може позначати зовнішніх відправників, перевіряти доменні механізми автентифікації й блокувати відомі шкідливі адреси. Проте технічний фільтр не бачить усіх цільових атак. Процес має бути побудований так, щоб одна переконлива розмова не могла одразу призвести до незворотного платежу.