Phishing (spoofing) - w branży komputerowej, oszukańcze pozyskanie poufnej informacji osobistej, podczas gdy hasła azali szczegóły karty kredytowej, przez symulacja osoby godnej zaufania, której te informacje są nagle potrzebne. Jest to forma ataku opartego na inżynierii społecznej.
Termin został ukuty w połowie lat 90. przez crackerów próbujących wykraść konta w serwisie AOL. Agresor udawał członka zespołu AOL i wysyłał nowina do potencjalnej ofiary. Nius zawierała prośbę o detekcja hasła, np. na rzecz “zweryfikowania konta” albo “potwierdzenia informacji w rachunku”. Kiedy frajer podawała parol, atakujący uzyskiwał dojazd do konta i wykorzystywał je w przestępczym celu, np. do wysyłania spamu.
Termin phishing jest od czasu do czasu tłumaczony w charakterze password harvesting fishing (złapanie haseł). Inni utrzymują, iż nauka zawodu pochodzi od nazwiska Briana Phisha, jaki puder być pierwszą osobą stosującą techniki psychologiczne do wykradania numerów kart kredytowych, coraz w latach 80. Coraz inni uważają, iż Brian Phish był wyłącznie fikcyjną postacią, za pomocą której spamerzy obopólnie się rozpoznawali.
Dzisiaj przestępcy sieciowi wykorzystują techniki phishingu w celach zarobkowych. Popularnym celem są banki azali aukcje internetowe. Phisher wysyła na ogół wiadomości śmieci do wielkiej liczby potencjalnych ofiar, kierując je na stronę w Sieci, która udaje faktyczny pula internetowy, a w rzeczywistości przechwytuje wpisywane w tamtym miejscu przez ofiary ataku informacje. Typowym sposobem jest dana o rzekomym zdezaktywowaniu konta i konieczności ponownego reaktywowania, z podaniem wszelkich poufnych informacji. Pagina przechwytująca informacje - adres do niej był podawany w charakterze klikalny link w poczcie phishera - jest łudząco podobna do prawdziwej, a popłoch było często potęgowane przez błąd w Sieć Explorerze (w 2004 r. powyżej 90% rynku przeglądarek), kto pozwalał ukryć dodatkowo faktyczny adres fałszywej okolica. Innym sposobem było generowanie fałszywych stron przy adresami wybitnie przypominającymi ekscentryczny, a wówczas łatwymi do przeoczenia na rzecz niedoświadczonych osób - na przypadek www.paypai.com w miejsce www.paypal.com.
Spis treści
//
Usprawiedliwienie nim phishingiem
- Zazwyczaj serwisy nie wysyłają e-maili z prośbą o odwiedzenie i zalogowanie się na stronie. Taka podanie powinna wzbudzić baczność, furt wskazane jest w takim wypadku przyznać autentyczność listu przez baza z administratorami okolica. Banki i instytucje finansowe w życiu nie wysyłają listów z prośbą o wykrycie jakichkolwiek danych (loginu, hasła, numeru karty), próby podszycia się poniżej nie powinny być zgłaszane do osób odpowiedzialnych za bezpieczeństwo.
- Nie trzeba zakładać hiperłączy zgoła z otrzymanego e-maila. Względnie pionowo jest zmodyfikować ich zawartość właśnie, by jakby wskazujące na autentyczną witrynę kierowały do nieautoryzowanej, podszywającej się strony.
- Należy regularnie aktualizować organizm i program, w szczególności klienta poczty poczta elektroniczna i przeglądarkę WWW.
- Nie można wysyłać mailem żadnych danych osobistych typu hasła, numery kart kredytowych itp. Prośby o opowieść hasła i loginu w mailu powinno się nie wziąć pod uwagę i zameldować odpowiednim osobom.
- Banki i instytucje finansowe stosują raport HTTPS w tamtym miejscu, dokąd konieczne jest zalogowanie do systemu. Jeżeli stronica z logowaniem nie zawiera w adresie nazwy protokołu HTTPS, powinno się zameldować to osobom z banku i nie oddawać usługi na niej żadnych danych.
- Nie zaleca się używania starszych przeglądarek internetowych (np. Net Explorer 6), które bywają często podatne na różne błędy. Alternatywnie jest dozwolone użyć z innych programów, podczas gdy Mozilla Firefox azali Opera czy też Sieć Explorer 7 (których najnowsze wersje wyposażone są w filtry antyphishingowe) czy też również z oprogramowania firm trzecich chroniącego zanim phishingiem.
- Używanie OpenDNS.
Linki zewnętrzne
- Anti-Phishing Working Group - powszedni komplet naczyń stołowych o sieciowym phishingu
- Fight Identity Theft - przykłady phishingu
- Faksymila książki Jeana Guisnela: Wojny w cyberprzestrzeni (Wydawnictwa ZNAK, Gród podwawelski 1998)
Artykuły
- U. S. Banker | A Phish Story - February 2005
- Network Appliance, Inc. Phishing Survey 2004 (PDF)
Zobacz też
Zobacz nius w serwisie Wikinews na idea coraz większej ilości napadów za pomocą phishingu
- Pharming
- SMiShing (phishing smsowy)
Źródło: “http://pl.wikipedia.org/wiki/Phishing”
Kategorie: Internet • Ataki komputerowe
