פישינג הוא עסק לכל דבר. איך לזהות ולהימנע מהתקפות Phishing?
מאת: אריה דנון, 27.7.18, 07:27

חלק מהאסטרטגיות של פושעי סייבר כוללות מתן שירותי פישינג, קיטים מוכנים מהמדףAttacks-as-a- Service  (גם בחינם, להורדה ברשת האפלה) והטרנד האחרון - .Business Email Compromise כעת כל תוקף יכול לשגר התקפה ללא קשר ליכולותיו הטכניות. כיצד על ארגונים להגן על עצמם?
 
פישינג הוא אחד מווקטורי התקיפה הנפוצים ביותר בהם האקרים משתמשים כדי לנצל התנהגות של משתמש הקצה, כחוליה החלשה ביותר בהגנת הסייבר של הארגון. במשך שנים פושעים הסוו את ההתקפות שלהם באימיילים והיום אנו רואים, שאימיילים של פישינג הפכו לאמצעי ההעברה העיקרי לכופרות.

אימיילים אלה הובילו לחשיפת מידע רב, שגרם לנזק למוניטין ולנזק כלכלי לפרטים וארגונים במגזר הפרטי, הציבורי והעסקי בשנים האחרונות. פושעי הסייבר ממשיכים לארוב לעובדים ולנקוט באמצעים כדי להישאר צעד אחד לפניהם. בארגון, כל מה שצריך הוא עובד אחד, שיבלע את הפיתיון.
 
התקפות הפישינג של היום הן שכיחות ומשכנעות, והן פוגעות במגוון של ארגונים. מה שהתחיל בפשטות כ"פישינג" התפתח כעת ל-3 ענפים של התקפות:

הקלאסית,
פישינג במאסות (mass phishing),
פישינג ממוקד (spear phishing),
והטרנד האחרון, שהפציע לאחרונה, של טקטיקת האימייל העסקי (Business Email Compromise), שמהווה תת קטגוריה לפישינג ממוקד.

Business Email Compromise היא טקטיקה המיוחסת לחשבונות אימייל של עובדים שנפגעו, בניגוד לכתובת השולח שזויפה. הדבר הופך את זיהוי ההתקפה לקשה יותר ע"י משתמש הקצה. לאחרונה דווח, שכ-91% מהתקפות הסייבר והפריצות למידע, שנבעו מהן, מתחילות כיום בפישינג ממוקד באימייל.
 
פישינג התפתח שלב אחר שלב עם תופעת ה"Malware-as-a-Service" (נוזקה כשרות). אימיילים של פישינג מגיעים בכל הגדלים והצורות ולמרבה הצער אין מוצר אחד היכול להגן על העסק מפני התקפות אלו. פישינג מתנהל כיום כמו עסק לכל דבר ופושעי הסייבר משתמשים באסטרטגיות תקיפה שונות כדי להשיג מידע מהמטרות שלהם. חלק מהאסטרטגיות כוללות שירותי פישינג, קיטים מוכנים מהמדף ו-Business Email Compromise.
 
קיטים חינם של פישינג
היבט מעניין באקוסיסטם של הפישינג הוא, שקיים מספר גדול של שחקנים המבצעים התקפות, אבל רק מספר קטן של התוקפים, המתוחכמים ביניהם, יודעים ליצור קיט של פישינג מאפס. מסיבה זאת, קיטים של פישינג זמינים באופן נרחב להורדה מפורומים ברשת האפלה ומפלטפורמות מרקטפלייס, דבר המספק לתוקפים את כל הכלים, שהם זקוקים להם כדי לשגר התקפות פישינג מוצלחות: אימיילים, קוד לדף ווב, תמונות ועוד.
 
Attacks-as-a-Service - התקפות כשרות
למעשה, תוקפים לא צריכים אפילו לדעת איך ליצור נוזקה או לשלוח אימיילים. פתרונות As-a-Service  ו- Pay-as-you-go מאפשרים להשיג את רוב הטכנולוגיות און-ליין, ופישינג אינו יוצא דופן, עם טווח רחב של שירותים הזמינים יותר ויותר לתוקפים:

• Ransomeware-as-a-service (כופרה כשרות) מאפשרת למשתמש ליצור חשבון און ליין ולמלא טופס ווב מהיר, כולל מחיר הכופר ההתחלתי לקורבן ומחיר מאוחר. הספק של השירות אז לוקח עמלה מכל כופר שמשולם, עם הנחות המוצעות אם המשתמש יכול לתרגם את קוד הנוזקה לשפה חדשה או אם נפח של ההתקפה עולה על רמה מסוימת.
• Phishing-as-a-Service (פישינג כשרות) מאפשר למשתמשים לשלם עבור התקפות פישינג, שנשלחות אליהם באמצעות בוטנט גלובלי, כדי להימנע מטווחי IP מסוכנים ידועים. אפילו האחריות נעשית רק עבור משתמשי החשבון, ממש כמו כל שירות שיווק לגיטימי למשלוח אימיילים.

שירותים אלה הובילו להתפוצצות בהתקפות פישינג, שכן כל תוקף יכול לשגר התקפה ללא קשר ליכולותיו הטכניות.
 
מניעת התקפות פישינג: כיצד ארגונים חייבים להגן על עצמם?
 
עצרו את האיומים בדלת
ההגנה הטובה ביותר מפני אימיילים של פישינג היא הגנת השער לאימיילים. הגנת אימייל היא הש"ג החוסם 99%  מהאימיילים הלא רצויים בשער, הרבה לפני שהמשתמש רואה אותם, כולל קבצים מצורפים זדוניים, תוכן וכתובות URL.
הגנה נוספת וחשובה, שחייבת להיות מותקנת בארגון, היא Web-filtering , שמסננת וחוסמת כתובות URL נגועות במידה שהמשתמשים מקליקים על לינק באימייל. בנוסף לכך, sandbox לקבצים מבטיח, שהורדות של הנוזקות הנבזיות הללו תוסרנה משרשרת האיומים בשלב מוקדם.
 
הגנו על החוליה החלשה: המשתמש
אפילו עם הפילטרים החדישים ביותר, שיטות תקיפה דוגמת BEC ללא קבצי הרצה או לינקים, שניתן לזהות, עדיין יכולות לחדור פנימה. הדרכה מתאימה וחינוך למודעות הם קריטיים כדי להבטיח, שכל העובדים יודעים לזהות ולהתמודד עם סוגי האימייל הללו.
 
אבטחו את קו ההגנה האחרון
אם האצבע של המשתמשים קלה על המקלדת, והם שחררו בטעות נוזקה עוצמתית ופוטנטית למערכות, יש עדיין הזדמנות טובה לעצור את הנזק ואפילו להחזיר אחורה את תוצאות הנוזקה. פתרונות הדור הבא (Next Generation) נגד ניצול פרצות אבטחה יזהו, יבצעו אנליזה וינטרלו את האפקט של הנוזקה המתקדמת ביותר והבלתי ידועה וינקו כל זכר להדבקה. כך, שניתן יהיה להמשיך כרגיל ביום העבודה.
 
הכירו את התהליכים בעסק שלכם
ודאו, שהתהליכים בחברה מובנים, שיש עידוד של העובדים להטיל ספק בבקשות, שנראות לא הגיוניות, מעובדים אחרים ומנהלים בכירים, ויותר חשוב מהכל אולי, ודאו שיש 2  סבבי אישורים לכל העברת כספים משמעותית. ללא בדיקות נאותות ומערכת איזונים, כל ההגנות בעולם לא יוכלו לעצור מעובד לשלוח בלא יודעין תשלומים גדולים לגנב.
 
לסיכום, פישינג היא בעיה שלא צפויה להיעלם. אבל אתם יכולים להיות זהירים יותר ולאמן את עצמכם לזהות רמזים, שיעזרו לכם להבין אם ביקרתם באתר פישינג. פושעי הסייבר ימשיכו לנצל הזדמנויות כל עוד הם מרוויחים מזה כסף. המאבק מאתגר, אבל אפשר לנצח אותו.

מאת: אריה דנון, יולי 2018.
מנהל מחלקת אבטחת המידע באבנט המפיצה את פתרונות Sophos בישראל.
 
 

SECURITY REPORT 2018 -ראה כאן "מבט על" על תחום סייבר ב-2018.