Phishing: metody ataków

Przeczytaj także: Świąteczne prezenty: robaki i trojany

Scenariuszy ataków komputerowych czy sieciowych jest tak samo wiele, jak wielka i rozległa jest wiedza i pomysłowość atakującego. Są metody bardziej wyrafinowane i skomplikowane oraz takie, do których wystarczy podstawowa wiedza informatyczna. W artykule skupiono się na metodach podrabiania wiadomości, wyłudzania pieniędzy i danych osobowych, a także przejmowania i wykorzystywania maszyn niczego nieświadomych użytkowników do atakowania innych komputerów.

Phishing to forma wyłudzenia danych użytkownika, takich jak nr konta, identyfikatory używane podczas logowania i hasła. Oczywiście wykraść można wiele więcej informacji, ale najczęściej chodzi o banki, gdyż te przynoszą największe zyski. Metoda nie jest skomplikowana, narzędzi do przeprowadzenia ataku jest w sieci mnóstwo, tak więc do jej wykorzystania nie trzeba mieć specjalistycznej wiedzy. Na szczęście, jak pokazują najnowsze badania, phishing, jest coraz mniej opłacalny, rośnie także wykrywalność sprawców tego typu przestępstw. Zacznijmy zatem od początku. Jak wygląda typowy atak phishingowy?

1. Pierwszym krokiem dla atakującego jest wybór ofiary. Jeżeli będzie chciał okraść klientów banku X, to do nich musi adresować korespondencję i z ich uwzględnieniem tworzy sfałszowaną witrynę.
2. Kiedy już atakujący ustali, jaki typ użytkowników będzie atakowany, tworzy spreparowaną witrynę będącą w rzeczywistości trojanem. Strona do złudzenia przypomina oryginalny serwis, jednak w miejscu gdzie podawany jest login i hasło (w przypadku np. banku) wszystkie znaki są zapisywane i przesyłane do twórcy/właściciela trojana.
3. Kiedy witryna jest już gotowa, należy rozpowszechnić link wśród jak największej ilości osób. Najłatwiej osiągnąć ten cel poprzez rozesłanie go e-mailami. Wiadomość taka na pierwszy rzut oka jest wiarygodna. Nadawca wydaje się być prawdziwy, odnośnik prowadzi faktycznie do istniejącej strony (coraz częściej odnośnik ma w adresie https, co oznacza, że strona jest szyfrowana - a nie zabezpieczona poprzez certyfikaty! Nie można mylić tych pojęć. Szyfrowanie jest pewną formą bezpieczeństwa, ale nie autentyczności witryny).
4. Następnie pozostaje czekać i obserwować, ile osób da się "złowić" na przynętę i poda swoje dane dostępowe do konta.

Jeśli chodzi o procentowy udział krajów w hostingu phishingowych stron WWW to dane ze styczniowego (2009 r.) badania serwisu PhishTank niewiele się różnią od danych za rok 2007. Procentowy udział jednych państw się zwiększył, innych zmniejszył, jednak cały czas obejmuje te same kraje, ze Stanami Zjednoczonymi i Rosją na czele.