Rośnie liczba ataków polegających na wyłudzaniu informacji zwrotnych. Jeśli kiedykolwiek otrzymałeś wiadomość e-mail z prośbą o odnowienie usługi lub zapłacenie rachunku za usługę, której nigdy nie kupiłeś, doświadczyłeś na własnej skórze phishingu zwrotnego.
Co to jest phishing wywołania zwrotnego?
Atak phishingowy z wywołaniem zwrotnym, czasami nazywany atakiem zorientowanym na telefon (TOAD), łączy w sobie dwie metody phishingu. Ofiara otrzymuje wiadomość e-mail z ostrzeżeniem o problemie. Zamiast podawać więcej informacji o sytuacji w wiadomości e-mail, cyberprzestępca dołącza numer kontaktowy, licząc na oddzwonienie od ofiary.
Kiedy odbiorca dzwoni na wspomniany numer telefonu, cyberprzestępca wykorzystuje techniki socjotechniczne, aby zwabić ofiary do udostępniania poufnych danych, instalowania złośliwego oprogramowania lub podejmowania jakichkolwiek innych działań, które mogą przynieść korzyści ugrupowaniu cyberprzestępczemu.
Jak działa phishing wywołania zwrotnego
Najpierw ofiara otrzymuje wiadomość e-mail informującą o konieczności zapłaty za subskrypcję usługi. Często do przesyłki nie jest dołączana faktura. Następnie ofiara staje się zaciekawiona lub wściekła, gdy otrzymuje wezwanie do zapłaty za usługę, której nie kupiła, więc dzwoni pod numer telefonu podany w wiadomości e-mail.
Aktor odpowiedzialny za zagrożenie bierze udział w rozmowie i nakłania ofiarę do wykonania określonych kroków w celu anulowania zamówienia. Gdy ofiara wykona te kroki, na jej komputerze zostanie zainstalowane złośliwe oprogramowanie lub osoba odpowiedzialna za zagrożenie otrzyma poufne informacje.
Aktor odpowiedzialny za zagrożenie kończy połączenie, gdy ofiara podejmie działanie, które chce wykonać.
Dlaczego hakerzy próbują ataków phishingowych z wywołaniem zwrotnym
Przeprowadzając udany atak phishingowy z wywołaniem zwrotnym, atakujący może:
- Kradnij poufne dane, dane logowania lub jakiekolwiek inne poufne dane.
- Zainstaluj oprogramowanie ransomware na komputerze ofiary, aby zaszyfrować dane i uzyskać pieniądze z okupu.
- Zdobądź informacje o karcie kredytowej lub koncie bankowym ofiary, aby ukraść pieniądze.
- Zainstaluj oprogramowanie zdalnego dostępu na komputerze ofiary, aby ukraść poufne pliki.
W większości kampanii phishingowych z wywołaniem zwrotnym celem ataku jest kradzież danych, pieniędzy lub obu tych elementów.
Obecnie większość osób i firm stosuje rozwiązania chroniące przed phishingiem lub spamem, aby blokować wiadomości e-mail zawierające szkodliwy plik.
Wiadomości e-mail służące do wyłudzania informacji zwrotnych nie zawierają jednak złośliwych załączników ani złośliwych łączy. Dlatego te e-maile zwykle omijają filtry poczty e-mail i są dostarczane na komputery ofiar. Ponadto ataki phishingowe z wywołaniem zwrotnym mają niski koszt na cel.
Nic więc dziwnego, że coraz więcej cyberprzestępców podejmuje próby wyłudzania informacji zwrotnych.
Jak zapobiegać atakom phishingowym z wywołaniem zwrotnym
Udana kampania phishingowa z wywołaniem zwrotnym może wyrządzić nieodwracalne szkody osobie lub firmie.
Oto kilka sposobów ochrony przed atakami phishingowymi wywołania zwrotnego.
Wdrożenie rozwiązania zabezpieczającego pocztę e-mail
Chociaż niektóre starannie przygotowane e-maile phishingowe z wywołaniami zwrotnymi mogą prześlizgnąć się przez rozwiązania zabezpieczające pocztę e-mail, wdrożenie renomowanego rozwiązania zabezpieczającego pocztę e-mail, takiego jak brama e-mail, może pomóc w ulepszeniu firmy postawa bezpieczeństwa.
Zastanów się, w jaki sposób atak na biznesową pocztę e-mail (BEC) może kosztować ogromne pieniądze i utratę reputacji. Wdrożenie solidnego rozwiązania zabezpieczającego pocztę e-mail może zminimalizować ryzyko ataków na firmową pocztę e-mail. W większości przypadków rozwiązanie zabezpieczające pocztę e-mail wykrywa i blokuje fałszowanie wiadomości e-mail, phishing i oszustwa. Takie rozwiązanie może również pomóc w zapobieganiu instalacji złośliwego oprogramowania na komputerze.
Co więcej, dobre rozwiązanie zabezpieczające pocztę e-mail może ostrzegać o podejrzanych zachowaniach użytkowników. Więc upewnij się, że masz jeden z najlepsze pakiety poczty e-mail do bezpiecznej konfiguracji skrzynki odbiorczej.
Nawet jeśli nie pracujesz w środowisku profesjonalnym, zainstalowanie dobrego oprogramowania antywirusowego na urządzeniu może zapewnić optymalną ochronę przed wiadomościami typu phishing i wieloma innymi zagrożeniami cyberbezpieczeństwa.
Dokładnie sprawdzaj wiadomości e-mail pod kątem oczywistych oznak phishingu
Chociaż e-maile wyłudzające informacje zwrotne nie zawierają złośliwych załączników ani linków, to jednak niektóre z nich mają najczęstsze znaki phishingu na które powinieneś uważać.
Wiadomość e-mail może być wiadomością typu phishing, której nadawca jest nietypowy. Na przykład wiadomość e-mail może twierdzić, że pochodzi od legalnej firmy, ale nie ma markowego adresu e-mail. Zamiast tego ma ogólny adres e-mail, taki jak google.com lub yahoo.com.
Możesz również być podejrzliwy w stosunku do e-maili pełnych błędów ortograficznych i gramatycznych. Żadna legalna firma nie wysyła e-maili pełnych błędów tekstowych. Uważaj także na wiadomości, które dają krótkie okno na wykonanie zadania. Na przykład adres e-mail zapewnia kilka godzin na dokonanie płatności w celu utrzymania aktywnej subskrypcji.
Wiadomość typu phishing może zostać oznaczona przez dostawcę poczty e-mail. Niektórzy dostawcy poczty e-mail mają wbudowaną technologię antyspamową, która ostrzega użytkowników o wiadomościach typu phishing i spam.
Teraz cyberprzestępcy łączą różne taktyki socjotechniczne, aby nakłonić ofiary do zadzwonienia do nich. Powinieneś więc zachować szczególną ostrożność, podejmując działania na podstawie wiadomości e-mail, które budzą podejrzenia.
Bądź podejrzliwy, jeśli chodzi o pieniądze
Pewnym sposobem na uniknięcie ataku phishingowego z wywołaniem zwrotnym jest podwójne sprawdzenie, czy wiadomość dotyczy pieniędzy lub danych logowania.
Jeśli jakikolwiek e-mail od pozornie legalnej firmy wywołuje poczucie pilności i prosi o przesłanie pieniędzy, bądź podejrzliwy.
Jeśli wiadomość e-mail nie zawiera szczegółowych informacji poza numerem telefonu przedstawiciela obsługi klienta, istnieje duże prawdopodobieństwo, że jest to część kampanii phishingowej z oddzwonieniem.
Organizowanie programów szkoleniowych w zakresie phishingu
Wyłudzanie informacji zwrotnych, część ataków socjotechnicznych, opiera się raczej na błędzie ludzkim niż na lukach systemowych.
Dlatego regularne przeprowadzanie programów szkoleniowych dla pracowników w zakresie świadomości cyberbezpieczeństwa może zminimalizować ryzyko ataków phishingowych z wywołaniem zwrotnym.
Oto kluczowe obszary, na których powinieneś się skupić budowanie programu szkolenia świadomości bezpieczeństwa. Na początek program szkolenia w zakresie świadomości bezpieczeństwa powinien oferować edukację w zakresie różnych cyberbezpieczeństwa ataki, w tym wyłudzanie informacji zwrotnych, spam, złośliwe oprogramowanie, metody inżynierii społecznej, ataki oparte na skryptach i wiele więcej. Należy skupić się na wykrywaniu e-maili phishingowych, złośliwych adresów URL, nieuczciwych stron internetowych itp.
Pracownicy nie powinni używać firmowego adresu e-mail do pobierania legalnych, zaufanych narzędzi technologicznych z fałszywych witryn ani subskrybowania przypadkowych usług online. Takie postępowanie to pewny sposób na wysyłanie wiadomości e-mail zawierających phishing lub spam. Powinieneś upewnić się, że Twoi pracownicy przestrzegają najlepszych zasad bezpieczeństwa haseł. Powinni również korzystać z uwierzytelniania wieloskładnikowego, aby dodać warstwę bezpieczeństwa do swoich kont.
Twój program szkoleniowy powinien również obejmować pozorowane testy phishingowe, aby ocenić gotowość pracowników do zwalczania kampanii phishingowych z wywołaniami zwrotnymi. I upewnij się, że Twoi pracownicy postępują zgodnie z najlepszymi praktykami chronić firmowe konta e-mail aby uniknąć oszustw.
Wyjaśnienie phishingu zwrotnego
Teraz już wiesz, czym jest callback phishing i jak możesz temu zapobiec. Zachowaj czujność, aby nie paść ofiarą ataku phishingowego z wywołaniem zwrotnym. Ponadto powinieneś dowiedzieć się więcej, aby zrozumieć, jak wygląda spam, aby szybko wykryć taki e-mail.
