피싱 작동 방식

어느 날 이메일 을 확인 하고 은행에서 보낸 메시지를 발견 했다고 가정해 보겠습니다 . 이전에 그들로부터 이메일을 받은 적이 있지만 특히 즉시 회신하지 않으면 계정을 폐쇄하겠다고 위협하기 때문에 이 이메일은 의심스러운 것 같습니다. 너 뭐하니?

이 메시지와 이와 유사한 다른 메시지 는 온라인 신원 도용의 한 방법인 피싱의 예입니다 . 개인 및 금융 데이터를 훔치는 것 외에도 피셔는 컴퓨터를 바이러스로 감염시키고 사람들이 무의식적으로 자금 세탁에 가담하도록 유도할 수 있습니다.

대부분의 사람들은 피싱을 은행 , 신용 카드 회사 또는 Amazon 및 eBay 와 같은 기타 비즈니스 를 스푸핑 하거나 모방 하는 이메일 메시지와 연관시킵니다 . 이러한 메시지는 진정성 있어 보이며 피해자가 개인 정보를 공개하도록 유도합니다. 그러나 전자 메일 메시지는 피싱 사기의 작은 부분일 뿐입니다.

처음부터 끝까지 프로세스에는 다음이 포함됩니다.

피셔가 다른 공격을 조정하려는 경우 완료된 사기의 성공과 실패를 평가하고 주기를 다시 시작합니다.

피싱 사기는 클라이언트와 서버 측 모두에서 소프트웨어와 보안 취약점을 이용합니다. 그러나 가장 첨단 기술의 피싱 사기조차도 사기꾼이 자신이 신뢰할 수 있고 신뢰할 수 있다고 확신시키는 구식 사기꾼 직업처럼 작동합니다.

­

피싱 출처

"피싱"이라는 단어의 문서화된 최초 사용은 1996년에 발생했습니다. 대부분의 사람들은 "to fish for information"[출처: Next Generation Security Software ] 에서와 같이 "fishing"의 대체 철자에서 유래했다고 생각합니다 .

1. 피싱 사기
2. 주소 스푸핑
3. 사칭 방지

대부분의 사람들은 자신의 은행 계좌, 신용 카드 번호 또는 비밀번호를 아무에게도 공개하지 않기 때문에 피싱 공격자는 피해자가 이 정보를 포기하도록 속이기 위해 추가 조치를 취해야 합니다. 정보를 얻으려는 이러한 종류의 기만적인 시도를 사회 공학 이라고 합니다.

피셔는 종종 실제 회사 로고를 사용하고 합법적인 전자 메일 메시지를 복사 하여 링크를 피해자를 사기성 페이지로 안내하는 링크로 대체합니다. 그들은 메시지의 "보낸 사람:" 및 "답장" 필드에 스푸핑된 또는 가짜 전자 메일 주소를 사용하고 링크를 난독화하여 합법적인 것처럼 보이게 합니다. 그러나 공식 메시지의 모양을 다시 만드는 것은 프로세스의 일부일 뿐입니다.

대부분의 피싱 메시지는 피해자가 즉각적인 조치를 취해야 하는 이유를 제공하여 먼저 행동하고 나중에 생각하도록 유도합니다. 메시지는 피해자가 즉시 응답하지 않으면 계정을 취소하겠다고 위협하는 경우가 많습니다. 일부는 피해자가 한 번도 구매하지 않은 것에 대해 감사를 표합니다. 피해자는 실제로 지출하지 않은 돈을 잃고 싶지 않기 때문에 메시지의 링크를 따라가서 피싱 사기꾼에게 처음에 그들이 두려워했던 정보를 정확히 제공합니다.

또한 많은 사람들이 자동 프로세스를 신뢰하여 인간의 실수가 없다고 믿습니다. 그렇기 때문에 많은 메시지가 전산화된 감사 또는 기타 자동화된 프로세스를 통해 피해자의 계정에 문제가 있음이 밝혀졌다고 주장합니다. 피해자는 감사를 수행하는 컴퓨터가 실수를 했다고 믿는 것보다 누군가가 자신의 계정에 침입하려고 시도했다고 믿을 가능성이 더 큽니다.

피싱: 이메일뿐만 아니라

이메일은 피싱 미끼를 배포하는 가장 일반적인 방법이지만 일부 사기꾼은 다음을 통해 피해자를 찾습니다.

• 인스턴트 메시지
• 휴대폰 문자( SMS ) 메시지
• 대화방
• 가짜 배너 광고
• 게시판 및 메일링 리스트
• 가짜 구직 사이트 및 구인 제안
• 가짜 브라우저 도구 모음

웹 브라우저나 이메일 클라이언트가 복잡할수록 피싱 공격자들은 더 많은 허점과 약점을 찾을 수 있습니다. 이것은 프로그램이 더욱 정교해짐에 따라 피싱 사기꾼이 속임수를 추가한다는 것을 의미합니다. 예를 들어 스팸 및 피싱 필터가 더 효과적이 되면서 피셔는 이를 더 잘 통과합니다.

가장 일반적인 트릭은 주소 스푸핑 입니다. 많은 전자 메일 프로그램은 사용자가 "보낸 사람" 및 "답장" 필드에 원하는 정보를 입력할 수 있도록 합니다. 여러 전자 메일 주소를 사용하는 사람들에게는 편리하지만, 이를 통해 피싱 공격자는 합법적인 출처에서 온 것처럼 보이는 메시지를 쉽게 만들 수 있습니다. 일부 전자 메일 서버에서는 컴퓨터가 암호를 사용하지 않고도 SMTP(Simple Mail Transfer Protocol) 포트에 연결할 수 있습니다. 이를 통해 피싱 공격자는 전자 메일 서버에 직접 연결하여 피해자에게 메시지를 보내도록 지시할 수 있습니다.

다른 트릭은 다음과 같습니다.

난독화된 링크. 이러한 URL은 실제처럼 보이지만 피해자를 피싱 공격자의 웹 사이트로 안내합니다. 일부 난독화 기술에는 다음이 포함됩니다.

제도법. 피싱 공격자는 피해자가 사용 중인 이메일 클라이언트와 브라우저를 확인하여 실제 상태 및 주소 표시줄 위에 주소 표시줄 및 보안 자물쇠 이미지를 배치할 수 있습니다.

팝업 창 및 프레임. 악성 팝업 창이 사이트 위에 나타나거나 주변의 보이지 않는 프레임에 악성 코드가 포함될 수 있습니다.

HTML. 일부 피싱 이메일은 일반 텍스트처럼 보이지만 실제로는 메시지가 스팸 방지 소프트웨어를 우회하는 데 도움이 되는 보이지 않는 단어와 지침이 포함된 HTML 마크업이 포함되어 있습니다.

DNS 캐시 중독. 파밍 이라고도 하며 , 피셔(종종 고객 서비스 담당자와 대화)가 DNS 서버 정보를 변경 하는 경우 입니다. 이로 인해 스푸핑된 회사의 웹 사이트에 도달하려는 모든 사람이 다른 사이트로 이동하게 됩니다. 파밍은 감지하기 어려울 수 있으며 한 번에 여러 희생자를 덫에 걸릴 수 있습니다.

피셔는 피해자와 사이트 사이에 위치한 프록시 컴퓨터 를 사용 하여 피해자의 거래를 기록 할 수 있습니다 . 또한 회사 웹 페이지의 취약한 보안을 이용하여 특정 페이지에 악성 코드를 삽입할 수도 있습니다. 이러한 방법을 사용하는 피싱 공격자는 정보 도난이 발생했을 때 피해자가 합법적인 웹 사이트에 있기 때문에 링크를 가장할 필요가 없습니다.

피셔는 또한 사기에 악성 프로그램을 사용합니다.

방화벽 및 바이러스 백신 소프트웨어를 사용하는 것과 같이 컴퓨터를 보호하기 위해 일반적으로 취하는 단계 는 피싱으로부터 사용자를 보호하는 데 도움이 될 수 있습니다. 추가 안전 조치를 위해 웹 사이트의 SSL 인증서와 은행 및 신용 카드 명세서를 검토할 수 있습니다 .

또한 피싱 공격자는 전자 메일 메시지와 웹 페이지에 몇 가지 명백한 징후를 남기는 경향이 있습니다. 이메일을 읽을 때 다음 사항에 주의해야 합니다.

다행히 기업과 정부는 피싱과 싸우고 있습니다. 미국 정부는 은행 에 2006년 말까지 온라인 거래를 위해 암호와 토큰 또는 생체 인식 스캐너 와 같은 물리적 개체를 모두 포함하는 두 가지 보안 방법을 사용하기 시작하도록 지시했습니다 [출처: Wired ]. 많은 인터넷 서비스 공급자(ISP) 및 소프트웨어 개발자는 보안 인증서를 확인하고 방문하는 사이트가 등록된 위치를 알려주고 링크를 분석하는 피싱 도구 모음을 제공합니다. 또한 피싱 시도 보고를 위한 도구도 제공합니다. 다른 프로그램은 시각적 신호를 사용하여 합법적인 사이트에 도달했는지 확인합니다.

피싱 대응 ­

피싱 시도라고 생각되는 이메일을 받으면 답장을 보내거나 링크를 클릭하거나 개인 정보를 제공해서는 안 됩니다. 대신 스푸핑 중인 비즈니스에 시도를 보고해야 합니다. 의심되는 이메일에 있는 링크를 따라가기 보다는 웹사이트나 전화번호를 사용하십시오. 또한 알릴 수 국립 사기 정보 센터 와 안티 피싱 워킹 그룹을.

개인 정보를 피싱 사기꾼에게 제공했다고 생각되면 다음 주소로 사건을 보고해야 합니다.

또한 스푸핑되었다고 생각되는 사이트의 비밀번호도 변경해야 합니다. 다른 사이트에서 동일한 비밀번호를 사용한다면 그곳에서도 비밀번호를 변경해야 합니다.

피싱 사실

• 2005년 8월에는 5,259개의 웹 사이트와 연결된 13,776건의 피싱 공격이 발생했습니다.
• 그들은 84개의 다른 기업을 표적으로 삼았지만 3개의 기업이 공격의 80%를 받았습니다.
• 공격의 85%는 은행 및 기타 금융 기관을 대상으로 했습니다.
• 피셔는 의도한 희생자의 최대 5%로부터 개인 정보를 얻는 데 성공합니다.
• 5,700만 명의 미국 인터넷 사용자가 최소 한 번 이상의 피싱 이메일을 수신했으며 최대 170만 명이 공격자에게 개인 정보를 제공했습니다. 출처: NGS Software 및 AntiPhishing.org

관련 기사

더 좋은 링크