ฟิชชิ่ง

เราทุกคนมักได้ยินเกี่ยวกับบริษัทที่ถูกแฮ็กและมีรายงานความเสียหายอันเป็นผลมาจากการโจมตี เช่น การรั่วไหลของเอกสาร บริการไม่พร้อมใช้งาน ข้อมูลประจำตัวที่ถูกบุกรุก และอื่นๆ แต่หลายครั้ง ทุกอย่างเริ่มต้นด้วยฟิชชิง มาดูกันว่าการโจมตีครั้งนี้เป็นอย่างไรบ้าง!

● ฟิชชิ่งคืออะไร?

ฟิชชิ่งเป็นการโจมตีความปลอดภัยทางไซเบอร์ประเภทหนึ่ง แม่นยำยิ่งขึ้น การโจมตีแบบวิศวกรรมสังคม มีหลายวิธีในสิ่งนี้: อีเมล โทรศัพท์ SMS และอื่น ๆ ประเด็นก็คือผู้โจมตีจะพยายามปลอมตัวเป็นใครบางคนหรือบางสิ่งเพื่อหลอกลวงคุณและรับรายการต่างๆ เช่น ข้อมูลประจำตัว ข้อมูลบัตรเครดิต หรือให้คุณติดตั้งหรือเรียกใช้ซอฟต์แวร์ที่จะทำให้อุปกรณ์ของคุณติดไวรัสหรือขโมยข้อมูล

ในบทความนี้ เราจะมุ่งเน้นไปที่อีเมลฟิชชิ่ง เนื่องจากในความคิดของฉัน มันเป็นวิธีที่พบได้บ่อยที่สุดที่เราพบการโจมตีนี้

● ไปไกลกว่ารูปลักษณ์ - ดูข้อมูลอีเมลที่ซ่อนอยู่

เมื่อเรามักจะได้รับอีเมล มีบางสิ่งที่เราสามารถเห็นได้ เช่น ใครคือผู้ส่ง (ชื่อและที่อยู่อีเมล) หัวเรื่อง วันที่ อีเมลของผู้รับ (โดยปกติคือคุณ) ข้อความ และไฟล์แนบบางรายการ (ถ้าเป็นกรณี). โดยพื้นฐานแล้วใคร ๆ ก็สามารถพูดได้ว่ามันเพียงพอแล้ว

แต่คุณจะตอบสนองอย่างไรหากฉันบอกคุณว่ามีข้อมูลมากกว่าที่เห็น เราสามารถดูรายละเอียดทั้งหมดได้หากเราตรวจสอบเวอร์ชันดิบของอีเมล ฉันจะแสดงวิธีการทำสิ่งนี้สำหรับ Yahoo และ Gmail แต่ขั้นตอนอื่นๆ ควรคล้ายกัน

Yahoo - หลังจากเปิดอีเมล เพียงกดปุ่ม "จุดแนวนอน 3 จุด" แล้วคลิก "ดูข้อความดิบ"

Gmail -หลังจากเปิดอีเมลแล้ว ให้กด "ปุ่มจุดแนวตั้ง 3 จุด" แล้วคลิก "แสดงต้นฉบับ"

ด้านล่างนี้คือภาพหน้าจอบางส่วนจากอีเมลฉบับดิบที่ได้รับจาก Duolingo ซึ่งฉันรู้ว่าถูกต้อง

● ส่วนหัวจะช่วยเราได้อย่างไร

สิ่งหนึ่งที่เราสามารถตรวจสอบได้คือมีการจับคู่ระหว่างส่วนหัวจากและตอบกลับไปยัง หรือไม่ บางครั้ง คุณไม่จำเป็นต้องดูอีเมลฉบับจริงด้วยซ้ำ เนื่องจากความแตกต่างระหว่างชื่อและที่อยู่อีเมลของผู้ส่งนั้นใหญ่มากและชัดเจน แต่ในกรณีที่มองไม่เห็นในครั้งแรก คุณสามารถสังเกตได้เมื่อคุณดูที่ส่วนหัว 2 ส่วนหัวนี้

อาจมีบางกรณีที่อีเมลนั้นถูกต้องและส่วนหัวทั้งสองมีที่อยู่ต่างกัน แต่แม้ว่าจะเกิดเหตุการณ์นี้ โดเมนก็ยังเหมือนกัน ในภาพหน้าจอด้านบน เราจะเห็นว่าFromและReply-Toตรงกัน ในขั้นตอนเพิ่มเติม คุณสามารถตรวจสอบส่วนหัวของเส้นทางย้อนกลับ ได้ ในตัวอย่างของเรา มีโดเมนที่เกี่ยวข้องกับผู้ส่งของเรา

X-Originating-IPน่าจะช่วยได้เช่นกัน การตรวจสอบ IP นี้อาจทำให้คุณได้รับข้อมูลที่อาจยืนยันว่าอีเมลที่ได้รับเกี่ยวข้องกับฟิชชิง เว็บไซต์หนึ่งที่คุณสามารถตรวจสอบ IP ได้คือIPInfo X-Relaying-Domainสามารถให้คำใบ้ที่คล้ายกันแก่คุณได้

คุณสามารถใช้เครื่องมือต่างๆ เพื่อวิเคราะห์ส่วนหัวของอีเมลที่ได้รับ ฉันทดสอบหลายอย่าง สิ่งที่ฉันชอบมากที่สุดคือMailHeader ฉันขอแนะนำในกรณีที่คุณจำเป็นต้องตรวจสอบสิ่งเหล่านี้

● การเปิดเผยสัญญาณของอีเมลที่เกี่ยวข้องกับฟิชชิง

มีองค์ประกอบสองสามอย่างที่ชี้ให้เห็นว่าอีเมลไม่ถูกต้องและเป็นฟิชชิ่งจริงๆ ลองดูสิ่งเหล่านี้:

▪ ไวยากรณ์ไม่ดี

คุณมักจะพบไวยากรณ์ที่ไม่ดีในอีเมลฟิชชิ่ง นอกจากนี้ หลายครั้ง การสะกดคำยังเป็นปัญหา ตัวอย่างเช่น คุณได้รับอีเมลแจ้งว่า บัญชี Netflix ของคุณ หมดอายุ อย่าแปลกใจหากคุณเห็นว่าผู้ส่งเขียนว่าNetflx อีกแง่มุมหนึ่งที่ทำให้เกิดฟิชชิงคือประโยคที่ไม่สมเหตุสมผล ฉันคิดว่าสิ่งนี้สามารถสังเกตได้เป็นส่วนใหญ่เมื่อภาษาของข้อความไม่ใช่ภาษาอังกฤษ ข้อผิดพลาดเหล่านั้นอาจมาจากการแปลอัตโนมัติที่ไม่ถูกต้อง สุดท้ายอย่าลืมพิมพ์ผิดนะครับ

▪ เร่งด่วน

ส่วนใหญ่เมื่อคุณได้รับอีเมลฟิชชิ่ง คุณจะสังเกตเห็นองค์ประกอบนี้ได้ บัญชี “Apple” ของคุณถูกบล็อก? คุณต้องเข้าลิงค์นี้ทันที! รายละเอียดบัญชีธนาคารของคุณต้องอัปเดต? คุณต้องทำในขณะนั้น! คุณถูกลอตเตอรี่รางวัลที่? คุณต้องอ้างสิทธิ์ทันทีโดยคลิกลิงก์นั้น ไม่เช่นนั้นคุณจะสูญเสียมันไป! เมื่อใดก็ตามที่คุณเห็นความเร่งด่วนที่เกี่ยวข้อง คุณควรเริ่มสงสัย

▪ การใช้สูตรทั่วไปเท่านั้น

ธนาคารของคุณส่งอีเมลถึงคุณโดยแจ้งว่าบัญชีของคุณถูกบล็อก และคุณต้องคลิกลิงก์ที่พวกเขาให้มาเพื่อปลดล็อก (แน่นอน คุณต้องทำตอนนี้ :)) แต่บรรทัดแรกของข้อความคือ “เรียน ลูกค้า"? ถ้าธนาคารคุณเป็นคนส่งจริงๆ มันน่าจะรู้ชื่อ/นามสกุลคุณอยู่แล้ว ท้ายที่สุด มันมีรายละเอียดเหล่านี้อยู่ในระบบของมัน

▪ ที่อยู่อีเมลของคุณไม่ได้อยู่ใน To แต่เป็น BCC

อีเมลที่คุณได้รับควรจะเป็นของคุณใช่ไหม คือคุณนั่นแหละที่ต้องอัพเดทรายละเอียดของบัญชีอย่างเร่งด่วนใช่ไหม? ทำไมคุณถึงอยู่ในBCCและไม่อยู่ในTo ? ไม่มีเหตุผลและควรถูกมองว่าเป็นธงสีแดงทันที

● “นักแสดง” ที่เป็นอันตราย

เมื่อเราได้รับอีเมลฟิชชิ่ง จุดประสงค์ของอีเมลเหล่านี้คือเพื่อให้เราดำเนินการบางอย่าง ไม่ว่าจะเป็นการดาวน์โหลดบางอย่าง เรียกใช้ไฟล์บางไฟล์ หรือคลิกที่ลิงก์เฉพาะ ลองตรวจสอบบางอย่าง:

▪ ไฟล์แนบ

อีเมลฟิชชิ่งจำนวนมากมาพร้อมกับไฟล์แนบ อาจเป็นไฟล์เก็บถาวรที่มีไฟล์เรียกทำงานที่เป็นอันตรายอยู่ภายใน มีบางกรณีที่คุณได้รับไฟล์ PDF และมีลิงก์ที่เปลี่ยนเส้นทางคุณไปยังเว็บไซต์ที่น่ารังเกียจ หรือไฟล์ในอีเมลอาจเป็น Excel ที่มีมาโครที่เป็นอันตราย ตัวอย่างที่ผมเจอเอง มีไฟล์ที่ดูเหมือนเป็น PDF อย่างไรก็ตาม ผู้ส่งมีความคิดที่น่าสนใจซึ่งอาจหลอกคนบางคนได้หากพวกเขาไม่ระมัดระวังเพียงพอ เห็นได้ชัดว่าไม่ใช่ใบแจ้งหนี้ที่ถูกต้อง แต่ชื่อของไฟล์เป็นดังนี้:

"Invoice_20210312172833.pdf                                          .exe"

▪ ชื่อโดเมนที่ทำให้เข้าใจผิด

คุณมีอีเมลจากFacebookแจ้งให้คุณทราบเกี่ยวกับการรับรางวัลในเกมยอดนิยมที่ผู้คนเล่นบนไซต์นี้ (อาจเป็นคุณด้วยซ้ำ) ในการอ้างสิทธิ์ คุณต้องเข้าสู่ระบบและรวบรวม แน่นอน คุณได้รับลิงค์สำหรับการเข้าสู่ระบบ สมมติว่าคุณเข้าถึงและเปิดหน้าเว็บที่ดูเหมือนเข้าสู่ระบบอย่างเป็นทางการจากFacebook ไม่มีอะไรผิดใช่มั้ย? แต่เมื่อคุณพิจารณาให้ดียิ่งขึ้น คุณจะพบว่าไม่ใช่facebook.comแต่เป็นfaceb00k.com ผู้โจมตีใช้กลอุบายนี้เพื่อขโมยข้อมูลรับรองสำหรับแพลตฟอร์มต่างๆ โดยการโคลนหน้าเข้าสู่ระบบและใช้ชื่อโดเมนที่แตกต่างกันเล็กน้อย แทนที่ตัวอักษรด้วยอักขระที่คล้ายกัน ( mกับn , oด้วย0 , iกับlเป็นต้น). โดยปกติแล้ว หน้าเหล่านี้จะแสดงข้อความแสดงข้อผิดพลาด ไม่ว่าคุณจะใส่อะไรก็ตาม ฉันคิดว่ายังมีกลอุบายที่น่ารังเกียจกว่าที่ผู้โจมตีสามารถทำได้ ในกรณีของเรา โดยการป้อนอีเมลและรหัสผ่านและกดปุ่มเข้าสู่ระบบ ข้อความแสดงข้อผิดพลาดพร้อมข้อมูลรับรองที่ไม่ถูกต้องอาจปรากฏขึ้น บางครั้งก็ไม่มีอะไรเกิดขึ้น (ก็ไม่มีอะไรที่คุณจะเห็น :) ) แต่เมื่อผู้โจมตีโคลนหน้าเข้าสู่ระบบอย่างเป็นทางการ เขาสามารถแก้ไขรหัสสำหรับการเข้าสู่ระบบ ได้ด้วยวิธีนี้: แสดงข้อความแสดงข้อผิดพลาดแก่ผู้ใช้ และหลังจากนั้น ให้เปลี่ยนเส้นทางหน้าปลอมไปยังหน้าเข้าสู่ระบบอย่างเป็นทางการทันที คุณลองอีกครั้งและตอนนี้คุณเข้าสู่ระบบเรียบร้อยแล้ว คุณจะคิดว่าบางทีคุณอาจสะกดอักขระของรหัสผ่านผิดและทุกอย่างเรียบร้อยดี ในสถานการณ์เช่นนี้ ผู้โจมตีมีข้อมูลประจำตัวของคุณอยู่แล้ว และส่วนที่ไม่ดีคือคุณไม่รู้ด้วยซ้ำ

▪ URL แบบย่อ

คุณเป็นผู้โชคดีได้รับบัตรกำนัลซื้อของที่ซูเปอร์มาร์เก็ตชื่อดัง อย่างน้อยนั่นคือสิ่งที่อีเมลกล่าว ในการรับสิทธิ์ คุณเพียงแค่กดปุ่ม คุณเลื่อนเคอร์เซอร์ของเมาส์ไปที่ปุ่มนั้น และคุณจะเห็นลิงก์เช่น bit.ly/d87hBB3m ที่ด้านล่างซ้ายของหน้า คุณอาจเคยคลิกวิดีโอที่คล้ายกันมาก่อน แล้วพวกเขาก็เปิดวิดีโอ YouTube ที่คุณต้องการดู ดังนั้นจึงไม่มีอะไรต้องกังวล ท้ายที่สุด ลิงก์ไม่ใช่http://hexorveetlol.xyz/steal-passwordใช่ไหม นั่นจะทำให้คุณคิดสองครั้งก่อนที่จะเข้าถึง น่าเสียดายที่เบื้องหลังลิงก์แบบย่อนั้นอาจเทียบเท่ากับลิงค์ด้านบน เหตุผลที่ผู้โจมตีใช้ลิงก์แบบย่อเพื่อซ่อน URL แปลก ๆ ที่คุณไม่เคยคลิก

▪ ไฟล์แนบ MS Word/Excel/Powerpoint พร้อมมาโคร

ไฟล์บางไฟล์ที่เกี่ยวข้องกับโปรแกรมจากแพ็คเกจ MS Office สามารถมีมาโครได้ เมื่อคุณได้รับอีเมล (โดยเฉพาะอย่างยิ่งที่ไม่ต้องการหรือไม่คาดคิด) พร้อมไฟล์แนบดังกล่าว คุณจะต้องระมัดระวังอย่างมาก คุณได้รับอีเมลที่ทำงานพร้อมไฟล์ excel ที่มีรายการค่าใช้จ่ายและราคาแสดงเป็น $ ในบรรทัดแรก คุณจะเห็นข้อความแจ้งว่าคุณต้องเปิดใช้งานมาโครเพื่อแปลงค่าเป็นสกุลเงินท้องถิ่น คุณต้องการเห็นค่าเหล่านั้น ไม่ใช่ใน $ ใช่ไหม ฉันจะคิดสองครั้งก่อนที่จะเปิดใช้งานเหล่านั้น

คุณสามารถหาข้อมูลเพิ่มเติมเกี่ยวกับมาโครได้จากวิดีโอด้านล่าง ซึ่งฉันจะพูดถึงเรื่องนี้และแก้ปัญหาเกี่ยวกับฟิชชิงที่เกี่ยวข้องกับมาโคร ลองดูสิ!

● ฉันต้องการปกป้องตัวเอง ฉันควรทำอย่างไร?

▪ ใช้ตรรกะ หลีกเลี่ยงอารมณ์

คุณถูกลอตเตอรี่รางวัลนั้นและคุณมีความสุขมากไหม? เดี๋ยวก่อน คุณเคยเล่นลอตเตอรี่ไหม? ไม่? แล้วพวกเขาหาคุณให้รางวัลได้อย่างไร?

คุณได้รับบัตรกำนัลซื้อของมูลค่า 1,000 ดอลลาร์จากซุปเปอร์มาร์เก็ตแห่งนั้นหรือไม่? ลองคิดดูสักนิด คุณเคยซื้อของจากมันไหม? คุณไม่เคยซื้อของที่นั่นเหรอ? แล้วมันจะมีที่อยู่อีเมลของคุณได้อย่างไร?

บัญชี Netflix ของคุณถูกล็อก และคุณต้องกดปุ่มใหญ่นั้นเพื่อปลดล็อก มิเช่นนั้นจะถูกปิดใช้งาน? คุณมีบัญชี Netflix หรือไม่? คุณไม่? แล้วทำไมคุณถึงได้รับอีเมลดังกล่าว?

“ธนาคาร” ของคุณขอให้คุณอัปเดตหมายเลขบัญชี? อืม บัญชีนั้นออกโดยธนาคารเองไม่ใช่เหรอ เหตุใดจึงขอให้คุณอัปเดตบางสิ่งที่เจ้าหน้าที่ดูแล

▪ ติดต่อหน่วยงานที่เป็นทางการ

จากตัวอย่างข้างต้น หากคุณได้รับอีเมลนั้นจาก Netflix ให้ไปที่เว็บไซต์ของ Netflix แล้วมองหาส่วนการติดต่อ (ที่อยู่อีเมล หมายเลขโทรศัพท์ หรือวิธีการอื่นใด) แล้วถามว่าบัญชีของคุณถูกล็อกจริงๆ หรือไม่ นอกจากนี้ เมื่อพิจารณาจากอีเมลจาก "ธนาคาร" ให้ทำสิ่งเดียวกันและโทรสอบถามว่าทีมของพวกเขาส่งมาจริงหรือไม่ พวกเขาอาจขอให้ส่งต่อข้อความเพื่อการวิเคราะห์ นอกจากนี้ยังสามารถช่วยคนอื่นๆ ได้ด้วย ไม่ใช่แค่คุณเท่านั้น

▪ ให้ความสนใจกับชื่อโดเมน

ความแตกต่างเล็กน้อยของอักขระอาจทำให้บัญชีของคุณถูกบุกรุกได้ ดังนั้นให้ตรวจสอบเว็บไซต์ที่คุณกำลังเข้าถึงให้ดี

▪ ขยาย URL ที่สั้นลง

เนื่องจากผู้โจมตีใช้เทคนิคประเภทนี้เพื่อซ่อนลิงก์ที่เป็นอันตราย ทำไมคุณไม่ทำสิ่งที่ตรงกันข้ามและดูว่าพวกเขาพยายามปกปิดอะไร มีเว็บไซต์มากมายที่สามารถช่วยคุณได้ หนึ่งในนั้นคือExpandURL

▪ ตรวจสอบเอกสารแนบ

คุณควรตรวจสอบว่าไฟล์ที่แนบมากับอีเมลที่คุณได้รับนั้นถูกต้องหรือไม่ คุณสามารถใช้เว็บไซต์ต่าง ๆ สำหรับสิ่งนี้ มีหน้าเว็บที่ให้รายงานเกี่ยวกับสิ่งต่าง ๆ หากพบว่าสิ่งนั้นเป็นอันตราย มีหลายวิธีตั้งแต่การอัปโหลดไฟล์ไปจนถึงการให้ URL ที่พบสิ่งนี้หรือค่าแฮชที่เกี่ยวข้อง ตัวอย่างของหน้าดังกล่าวคือVirusTotal

▪ ปิดการใช้งานมาโครตามค่าเริ่มต้นสำหรับเอกสาร MS Office

อีกสิ่งที่เราสามารถทำได้คือการบล็อกการทำงานของมาโครโดยอัตโนมัติ ด้วยวิธีนี้ เรามั่นใจว่าคำสั่งที่เป็นอันตรายจะไม่ถูกดำเนินการโดยตรงเมื่อเปิดเอกสารหรือแผ่นงาน Excel หากไฟล์มีมาโครแต่เราได้ปิดการใช้งานไว้ อย่างน้อยเราก็สามารถดูได้ว่ามีอะไรอยู่ข้างใน

นั่นคือทั้งหมดที่สำหรับตอนนี้. ฉันหวังว่าคุณจะสนุกกับมัน ขอขอบคุณที่สละเวลาอ่านบทความนี้ และฉันกำลังรอคุณสำหรับบทความถัดไปของฉัน!