Термін
Фішинг
Шахрайський лист, SMS чи сайт, що видають себе за банк, установу чи постачальника, щоб виманити паролі або платіж. Найчастіший у фірмах - підроблений рахунок зі зміненим номером рахунку.
Оновлено
Що це означає
Фішинг - шахрайське повідомлення, найчастіше лист, SMS чи повідомлення в месенджері, яке видає себе за довіреного відправника, наприклад банк, постачальника, кур’єра чи податкову. Мета - щоб отримувач перейшов за посиланням, ввів пароль, відкрив заражене вкладення чи надіслав гроші.
Фішинг - найпоширеніша форма соціальної інженерії. Він атакує не технології, а людей і їхню довіру, поспіх чи страх. Цільова версія, так званий спір-фішинг, використовує конкретні імена, проєкти й рахунки, тому її набагато важче розпізнати.
Для фірм найнебезпечніше шахрайство з рахунком і зміною реквізитів. Зловмисник видає себе за знайомого постачальника чи директора й вимагає оплату на новий рахунок. За миттєвого платежу гроші зникають за кілька секунд.
Як це працює на практиці
Перший захист - технічне налаштування пошти. Ми радимо фірмам запровадити SPF, DKIM і DMARC, що ускладнюють підробку їхнього домену, і ввімкнути двофакторну автентифікацію для пошти, банку й бухгалтерської системи.
Паролі працівникам не варто ні запам’ятовувати, ні записувати, їх краще зберігати в менеджері паролів. Він до того ж підставляє пароль лише на правильному домені, тому на підробленій сторінці не спрацює, і це добрий тривожний сигнал.
У нашій роботі з клієнтами діє правило: зміну банківського рахунку постачальника чи незвичне платіжне прохання ми завжди перевіряємо дзвінком на номер, який у нас уже є, а не на номер із листа. Той самий порядок ми радимо закріпити у внутрішніх правилах платежів.
На що звернути увагу
Перехід за фішинговим посиланням може стати початком більшої атаки, наприклад вірусу-вимагача, який зашифрує дані фірми. Хто натиснув, має одразу повідомити, а не приховувати. Швидка реакція, зміна паролів і відключення пристрою помітно зменшують збиток.
Якщо під час атаки витекли персональні дані, фірма може бути зобов’язана повідомити про інцидент наглядовий орган за GDPR і сповістити зачеплених осіб. Кіберстрахування може покрити частину витрат, але, як правило, вимагає, щоб у фірмі були запроваджені базові заходи безпеки.
Потрібно пояснити термін на вашій конкретній ситуації? Консультації від 55 € / година без ПДВ, залежно від теми та складності.