Ang mga hacker ay naglunsad ng isang bagong atake sa phishing na nanloloko kahit sa mga gumagamit ng tech-savvy. Narito ang kailangan mong malaman upang maprotektahan ang iyong sarili.
Gumagana ang pag-atake tulad nito: Ang mga hacker na lumabag sa isang email account ng isang tao ay tumingin sa pamamagitan ng mga email dito para sa pagsusulat na naglalaman ng mga kalakip. Pagkatapos ay nagpapadala sila ng mga email mula sa nakompromisong account - na nagpapanggap sa may-ari ng account - sa bawat email na gumagamit ng pagkakatulad sa naunang sulat, upang gawing lehitimo at pamilyar ang mga bagong mensahe. Halimbawa, ang mga email sa phishing ay maaaring gumamit ng isang linya ng paksa na ginamit sa nakaraan.
Nag-embed ang mga hacker ng isang imahe ng isang kalakip na ginamit sa nakaraan sa bawat email sa phishing, ngunit i-configure ang imahe upang buksan hindi ang kalakip ngunit, sa halip, isang pahina ng phishing na mukhang isang pag-login sa Google. Sapagkat ang gumagamit ay nagbubukas ng isang kalakip na Gmail, ang pagtatanghal ng isang phony na pahina sa pag-login sa Gmail ay hindi mukhang nakakaalarma - lalo na kapag naramdaman ng taong nagbubukas ng kalakip na nakikita niya ang isang ligtas at pamilyar na sulat. Siyempre, sa sandaling ang bagong biktima ay nagpasok ng mga kredensyal sa phony na pahina sa pag-login ng Google ginagamit ng mga kriminal ang mga ito upang ma-access ang account ng kanilang biktima. Ang pag-atake ay malamang na nagaganap nang halos isang taon na may pagtaas ng tindi.
Paano ka mananatiling ligtas?
Ano ang sasabihin ng iba sa industriya ng seguridad ng impormasyon tungkol sa scam sa Gmail?
John Gunn, VP ng mga komunikasyon, VASCO Data Security
'Habang ang mga pamamaraan ng pag-atake ay naging mas sopistikado - tulad ng ipinapakita ng pag-atake na ito - ang mga depensa ay dapat na sumabay o ang bilang ng mga biktima ay magpapatuloy na lumago. Ang mga password ay 30 taong gulang na teknolohiya at nagbibigay lamang sila ng maling kahulugan ng seguridad na walang tunay na proteksyon. Ang 2017 ay dapat na taon na pinalitan ng industriya ang mga password ng multi-factor na pagpapatotoo. '
Christian Lees, CISO, InfoArmor
'Ang mga aktor ng banta ay may matinding pagkamalikhain at oras sa kanilang pabor pagdating sa walang katapusang mga kampanya na magagamit upang ikompromiso ang mga account ng gumagamit. Ang paglalapat ng maraming mga layer ng seguridad - kagaya ng mga organisasyong pang-negosyo na karaniwang ginagamit ngayon - ay hindi mahirap makamit. Kinakailangan nito: 1) Ang paggamit ng mga modernong programa sa pagsubaybay sa pagnanakaw ng pagkakakilanlan na nagbibigay-daan sa mga gumagamit na subaybayan ang mga hindi na-kredensyal na posibleng mag-alok ng mga banta ng mga aktor na pumasa sa nakompromiso na account, na pinapayagan silang mabilis na baguhin ang mga kredensyal; at 2) Paganahin ang pagpapatunay ng dalawang-kadahilanan upang maikot ang pag-access ng banta ng aktor sa nakompromisong account. Dagdag nito ang pangangalaga sa mga hindi nag-aakalang biktima na maaaring magsimula sa kompromiso na account. '
Balázs Scheidler, co-founder at CTO, Balabit
Ang mga diskarte sa phishing ay nagpapabuti at maaaring maging mas detalyado na maaari nilang scam ang mga taong may talento sa teknolohiya tulad ng mga may pribilehiyong gumagamit, na may access sa mga sensitibong assets ng korporasyon. Kung dapat na nakompromiso ang naturang account, ang mga umaatake ay maaaring maging sanhi ng maraming pinsala. Malinaw, ang paghawak ng kredensyal para sa isang account ay maaaring hindi sapat upang matiyak na ang naka-log in na user ay talagang lehitimong gumagamit. Ang pag-uugali ng aktwal na gumagamit ay ang isang bagay na makakatulong sa mga propesyonal sa seguridad na matuklasan ang mga hindi nagamit na mga account sa pamamagitan ng awtomatikong pagtuklas ng mga pagkakaiba sa pag-uugali sa pagitan ng isang nanghihimasok at baseline ng isang lehitimong gumagamit. Maaaring kilalanin ng analytics ng pag-uugali ang eksaktong mga kaso kung saan gumagamit ang mga nakakahamak na aktor ng mga ninakaw na kredensyal, at maiiwasan ang mga nagresultang paglabag sa data.
Bert Rankin, CMO, Lastline
'Sa kasamaang palad, ang patuloy na pag-unlad at pagpapabuti ng mga pag-atake sa phishing ay ngayon isang paraan ng buhay sa online para sa ating lahat. Para sa mga tagapangasiwa ng IT enterprise na may misyon na protektahan ang samahan, hindi sapat ang pagtuturo sa mga empleyado. Maaari itong paminsan-minsan ay tumatagal lamang ng isang hindi sinasadya, mahusay na pag-click sa isang nakakahamak na email upang makapagdulot ng hindi maibabalik na pinsala sa buong samahan. Bilang karagdagan sa edukasyon ng empleyado at kamalayan tungkol sa kung paano gumagana ang pag-atake ng phishing at kung paano makilala ang isang kahina-hinalang email, kinakailangan na ilagay ng IT ang mga mekanismo ng pagsala sa lugar na gumagamit ng teknolohiya - hindi mga tao - upang ayusin, subukin at alisin ang mga nakakahamak na email bago may pagkakataon pa silang subukan ang mga mata ng mga empleyado. '
Jeff Hill, direktor ng pamamahala ng produkto, laganap
'Ang nakakagambalang katotohanan ngayon ay na walang mabisang depensa para sa isang maisip na atake sa phishing. Ang pag-asa sa komunikasyon sa email, ang dami ng dami nito, at ang mabilis na bilis ng buhay ay nagsasama upang lumikha ng isang napakahusay na mayabong na kapaligiran para sa mga cyber attackers upang pagsamantalahan. Ang hamon ay upang makita ang panghihimasok nang mabilis pagkatapos ng hindi maiwasang matagumpay na pag-atake ng phishing, isara ito, at gawing napakahirap para sa mga masasamang artista na ma-access ang sensitibong impormasyon sa pansamantala kahit na ma-access nila ang network. '
