Sådan beskytter du dig selv mod spear phishing hacking teknik

Så sofistikeret som planen var af russiske efterretningsagenter til at blande sig i præsidentvalget i 2016, de brugte en simpel hackingteknik, blandt andre, at infiltrere e -mail -konti for demokratiske agenter, ifølge specialadvokat Robert Muellers seneste anklageskrift. Og den teknik - kendt som "spyd-phishing - er fortsat en trussel, ikke kun for kampagnens embedsmænd, men for medarbejdere og forbrugere.

Spear phishing er et fupnummer, hvor cyberkriminelle optræder som betroede kilder og sender falske elektroniske beskeder til målrettede personer for at narre dem til at afsløre følsomme oplysninger.

I tilfældet med John Podesta, formanden for Hillary Clintons præsidentkampagne, det var en vildledende e-mail, der lignede en sikkerhedsmeddelelse fra Google, beder Podesta om at ændre sin adgangskode ved at klikke på et indlejret link, ifølge anklageskriftet fredag. Podesta fulgte e-mailens instruktioner, ændre sin adgangskode og give hackere adgang til 50, 000 af hans e -mails.

Men spydfiskeri kan komme i form af en e-mail, der ser ud til at komme fra din chef, beder dig sende din W2-formular. Eller en besked med en forventet faktura, anmoder om, at du overfører pengene til en konto, der kontrolleres af dårlige skuespillere.

"Anklageskriftet illustrerer virkelig de mange anvendelser, denne teknologi kan bruges, " sagde Edward McAndrew, en tidligere føderal cyberkriminalitetsanklager og medleder for Ballard Spahrs privatlivs- og datasikkerhedsgruppe i Philadelphia. "Det handler ikke kun om at stjæle nogens personlige oplysninger. Det handler om økonomisk bedrageri, eller i dette tilfælde, selv valgsvindel."

Hvordan det gøres

I typiske phishing-svindel, cyberkriminelle sender blanket -e -mails til et stort antal brugere, håber nogen vil tage lokket og downloade en inficeret vedhæftet fil eller klikke på et link til en falsk hjemmeside.

Spyd phishing -svindel, derimod er skræddersyet til specifikke mål. Hackere vil undersøge en person på forhånd, scanning af konti på sociale medier og offentlige oplysninger for at lære en persons job at kende, venner eller interesser til at lave en troværdig e-mail.

"De finder ud af, hvor du arbejder, og hvem dine kolleger er, og prøver at sende en falsk e-mail, der ser ud som om den er fra en af ​​dine kolleger, sagde Gabriel Weinberg, CEO og grundlægger af Paoli-baserede DuckDuckGo, en internetsøgemaskine, der ikke sporer eller gemmer brugerdata.

Det er, hvad der skete tirsdag hos Weinbergs firma. En af hans medarbejdere modtog en e-mail fra en afsender, der brugte Weinbergs navn og spurgte, "Jeg har brug for dig til at hjælpe med at udføre en opgave. Sig til, hvis du er ledig, " ifølge en kopi af beskeden. Afsenderen, der udgav sig for at være Weinberg, ønskede at "give nogle Apple-gavekort ud til nogle kunder." Weinberg og hans kollega bed ikke.

Personen, der udgav sig for at være Weinberg, brugte en e-mailadresse, der ikke engang var tæt på at ligne den ægte vare. Men Michael Levy, chefen for computerkriminalitet for den amerikanske anklagemyndighed i Philadelphia, nævnte cyberkriminelle vil typisk oprette e-mail-adresser, der er næsten identiske med dem, der tilhører betroede kilder, snige et ekstra bogstav ind eller bruge et nul i stedet for et stort "O, " for eksempel.

I nogle tilfælde, såsom det russiske hack af den demokratiske kongreskampagnekomité, spear phishing-e-mails vil dirigere brugere til falske websteder, hvor ofre vil indtaste deres legitimationsoplysninger og uforvarende give hackere deres brugernavne og adgangskoder. I DCCC-sagen, Russiske agenter installerede derefter malware på mindst 10 af udvalgets computere, ifølge anklageskriftet, giver dem mulighed for at overvåge individuelle medarbejderes computeraktivitet, stjæle adgangskoder og bevare adgangen til DCCC-netværket.

"Der er to måder at komme ind på computere på, " sagde Levy. "Der er den sofistikerede hacking, hvor du finder ud af, hvordan du bryder igennem et sikkerhedssystem ... [eller] du angriber det svageste led i sikkerhedssystemet, og det er brugeren."

Når hackere har adgang til en virksomheds e-mail-system, "de vil sidde og se for at lære så meget som de kan om mennesker, "Sagde Levy, tilføjer, at cyberkriminelle kan hente alt fra medarbejderes e-mail-vaner til navnet på virksomhedens præsidents kone.

McAndrew, af Ballard Spahr, sagde, når hackere får adgang til en e-mail-konto, de kan læse en brugers beskeder, arbejdskalendere og kontakter, som om nogen "stort set kigger dem over skulderen."

"Du er i stand til at vide om begivenheder, før de sker, ved at læse om dem, " sagde McAndrew. "Du ved, hvad der kommer op."

Hackere, der er opmærksomme på en kommende betaling, kan kaste sig ud ved at sende spear phishing-e-mails for at narre modtagere til at overføre penge til konti under hackernes kontrol. sagde McAndrew.

Ofre for internetforbrydelser led mere end $1,4 milliarder i tab i 2017, næsten fordoblet siden 2013, ifølge en FBI-rapport om spørgsmålet udgivet i maj. Forbrydelser opført som "forretnings-e-mail-kompromittering/-kompromering af e-mail-konto" tegnede sig for mere end $676 millioner af det samlede 2017, repræsenterer den største tabskategori.

Sådan beskytter du dig selv

En måde at reducere risikoen for spear phishing er at bruge multi-faktor autentificering, som tilføjer et ekstra lag af sikkerhed ved ikke kun at kræve et brugernavn og en adgangskode, men viden eller besiddelse af noget, som kun denne bruger har, såsom en kode sendt til en mobiltelefon.

"Selv hvis du bliver narret, og du går til en falsk side og indtaster din adgangskode, det vil være nytteløst uden" den anden information, sagde Anthony Vance, direktør for Temple University's Center for Cybersecurity.

Vance foreslog at bruge twofactorauth.org, som fortæller brugerne, om websteder understøtter multifaktorgodkendelse. Større tjenester som Google eller Yahoo giver brugerne mulighed for at aktivere tjenesten.

Eksperter sagde, at enkeltpersoner også burde bruge noget sund fornuft. Modstå trangen til at klikke på links eller vedhæftede filer fra en ukendt kilde eller uventet besked. Forhør dig hos dine kolleger, før du svarer på en mistænkelig e-mail.

"Det første, folk kan gøre, er at undersøge hver eneste e -mail, de modtager, " sagde McAndrew.

© 2018 The Philadelphia Inquirer
Distribueret af Tribune Content Agency, LLC.