Η δύναμη του vishing: Γιατί είναι αποτελεσματικό και πώς να αποφύγετε να πέσετε θύμα

Χάρη στις προσπάθειες των εργοδοτών και των τραπεζών, οι περισσότεροι από εμάς γνωρίζουμε τον όρο phishing. Γνωρίζουμε αν κάτι ακούγεται πολύ καλό για να είναι αληθινό, πιθανότατα είναι – και έχουμε παρακολουθήσει εκπαίδευση και λάβαμε τα προειδοποιητικά μηνύματα ηλεκτρονικού ταχυδρομείου από τους εργοδότες μας, τις τράπεζες και άλλους οργανισμούς με τους οποίους αλληλεπιδρούμε σε τακτική βάση για να είμαστε ενήμεροι για απόπειρες απάτης στον κυβερνοχώρο. και διαβάστε μέσω email και μηνυμάτων με κριτικό μάτι.

Οι κυβερνοεγκληματίες, ωστόσο, δεν επαναπαύονται ποτέ – και όσο υπάρχει κάποιος εκεί έξω που μπορεί να πέσει θύμα, θα συνεχίσουν τις προσπάθειές τους.

Το

Vishing – το οποίο στοχεύει στην επίτευξη των ίδιων στόχων με το phishing – χρησιμοποιεί λογισμικό αλλαγής φωνής, τηλεφωνικές κλήσεις και κοινωνική μηχανική για να εξαπατήσει τους χρήστες να αποκαλύψουν ευαίσθητες πληροφορίες. Πολλοί οργανισμοί εκπαιδεύουν τους υπαλλήλους να εντοπίζουν μηνύματα ηλεκτρονικού ψαρέματος, αλλά λιγότεροι αυξάνουν την ευαισθητοποίηση σχετικά με τις απάτες μέσω τηλεφώνου – και σε έναν κόσμο όπου όλο και περισσότερες από τις καθημερινές μας επικοινωνίες γίνονται μέσω γραπτών μηνυμάτων σε αντίθεση με τις τηλεφωνικές κλήσεις, οι προσπάθειες vishing αξιοποιούν την ικανότητα ενός ειδικευμένου απατεώνας για να χειραγωγήσει και να δημιουργήσει κοινωνικά ένα θύμα.

Ανατομία απάτης

Οι επιθέσεις phishing γενικά λειτουργούν μέσω της αποστολής τεράστιων ποσοτήτων μηνυμάτων ηλεκτρονικού ταχυδρομείου σε λίστες πιθανών στόχων. Μιμούμενοι τα γνήσια μηνύματα ηλεκτρονικού ταχυδρομείου ή φέρνοντας μια αίσθηση επείγουσας ανάγκης ή ανησυχίας, οι phishers στοχεύουν να εξαπατήσουν τους χρήστες για να απαντήσουν ή να κάνουν κλικ σε έναν σύνδεσμο όπου φιλοξενείται κακόβουλο λογισμικό.

Οι επιτιθέμενοι Vishing, εν τω μεταξύ, συνήθως χρησιμοποιούν δύο στρατηγικές για να ξεγελάσουν τους στόχους τους. Ένας τρόπος είναι η αποστολή μηνυμάτων κειμένου σε μια μακροσκελή λίστα αριθμών τηλεφώνου –ίσως αποκτήθηκαν νόμιμα ή αγοράστηκαν από άλλους εγκληματίες του κυβερνοχώρου– ζητώντας από τους χρήστες να καλέσουν τον αριθμό του εισβολέα ή ζητώντας άλλες λεπτομέρειες. Μια άλλη στρατηγική περιλαμβάνει την κλήση μέσω της λίστας αριθμών χρησιμοποιώντας λογισμικό και την αναπαραγωγή ενός αυτοματοποιημένου φωνητικού μηνύματος. Αυτό μπορεί να ζητήσει από το θύμα να μεταβεί σε έναν ιστότοπο που βρίσκεται υπό τον έλεγχο ενός εισβολέα ή μπορεί να εξαπατήσει το θύμα για να συνδεθεί με έναν άνθρωπο απατεώνα, ο οποίος μπορεί να συνεχίσει τη συνομιλία και να τον πείσει να μοιραστεί τραπεζικά στοιχεία, να μεταφέρει χρήματα ή άλλου είδους επιβλαβείς ενέργειες .

Μόλις ένας κυβερνοεγκληματίας αποκτήσει πρόσβαση σε ένα θύμα κατά τη διάρκεια μιας κλήσης, μπορεί να χρησιμοποιήσει μια ποικιλία στρατηγικών κοινωνικής μηχανικής για να παίξει με την έμφυτη εμπιστοσύνη, τον φόβο, την απληστία και την επιθυμία του θύματος να βοηθήσει. Ενώ οι προθέσεις μπορεί να διαφέρουν από το ένα σχέδιο στο άλλο, ουσιαστικά ο εγκληματίας στοχεύει να πείσει το θύμα ότι ενεργεί ηθικά.

Ένας απατεώνας θα μπορούσε, για παράδειγμα, να τηλεφωνήσει ισχυριζόμενος ότι είναι από την τράπεζα ενός θύματος και να ζητήσει λεπτομέρειες στο πλαίσιο μιας διεκδικούμενης έρευνας για απάτη. Ή θα μπορούσαν να παρουσιαστούν ως σύζυγος εργαζομένου, να καλέσουν τον εργοδότη τους και να ζητήσουν από το τμήμα ανθρώπινου δυναμικού να λάβει αμέσως τον αριθμό τηλεφώνου του εργαζομένου. Μια άλλη συνηθισμένη περίπτωση είναι όταν κάποιος υποδύεται ως εγγόνι και πλησιάζει τους παππούδες του για οικονομική βοήθεια σε μια δοκιμαστική στιγμή.

Το οικονομικό κέρδος είναι το κύριο κίνητρο των απατεώνων. Θα αναζητήσουν τρόπους για να κάνουν το θύμα να νιώσει ότι χρειάζεται να δράσει αμέσως, ώστε να μην έχει στιγμή να σκεφτεί, να ζητήσει τη συμβουλή κάποιου άλλου ή να αλλάξει γνώμη. Ελλείψει φυσικής διάρρηξης σε εγκαταστάσεις ή

υποδομή

πληροφορικής, η κλήση και η χειραγώγηση ενός θύματος μπορεί να είναι ένας πολύ αποτελεσματικός τρόπος για να το κάνετε να στείλει χρήματα, ευαίσθητα δεδομένα μέσω email ή να δώσει πληροφορίες για την εταιρεία του.

Μείνετε ενήμεροι για την κατάσταση

Το Vishing χρειάζεται χρόνο για να πείσει και να οικοδομήσει εμπιστοσύνη. Οι απατεώνες πρέπει να κυνηγούν τα λάθη που έχουμε όλοι ως ανθρώπινα όντα, προκειμένου να αποσπάσουν την προσοχή και να ενθαρρύνουν τη μη σκεπτόμενη δράση. Η χρήση της πίεσης χρόνου είναι μια άλλη κοινή τακτική. Γενικά, οι οργανισμοί πρέπει να είναι ξεκάθαροι με τους υπαλλήλους τους σχετικά με το πώς μοιάζουν οι επιθέσεις vishing και να ενθαρρύνουν την αναφορά και την κριτική σκέψη. Όλοι θα πρέπει να είναι προσεκτικοί όσον αφορά την κοινή χρήση προσωπικών πληροφοριών ως απάντηση σε αυτόκλητη επαφή. Κάθε νόμιμος που έρχεται σε επαφή θα παρέχει αποδεικτικά στοιχεία για να βοηθήσει τους χρήστες να επαληθεύσουν ότι είναι γνήσιο πριν κοινοποιήσουν τυχόν ευαίσθητες λεπτομέρειες, όπως την παροχή ενός κύριου αριθμού για να καλέσουν – οι τράπεζες, για παράδειγμα, δεν θα καλούν ποτέ ή δεν θα στέλνουν μηνύματα χωρίς να επαληθευτούν πρώτα από άλλες πηγές.

Τα άτομα θα πρέπει επίσης να ασκούν την ίδια κριτική σκέψη και επίγνωση της κατάστασης όπως θα έκαναν με τις απόπειρες phishing για την καταπολέμηση των απειλών vishing. Αφιερώστε μια στιγμή, σκεφτείτε τη συζήτηση και μην βιαστείτε να ενεργήσετε. Οι τράπεζες και άλλοι χρηματοοικονομικοί πάροχοι, για παράδειγμα, δεν θα ζητήσουν ποτέ κανένα είδος οικονομικών πληροφοριών από εσάς.

Επιπλέον

, μπορείτε πάντα να επικοινωνείτε με το ενδιαφερόμενο άτομο εάν ένας απατεώνας προσποιείται ότι είναι κάποιος άλλος, όπως ένα στενό μέλος της οικογένειας, συνάδελφος εργασίας ή διευθυντής.

Τέλος, ο έλεγχος και ο αποκλεισμός κλήσεων και μηνυμάτων από άγνωστους αριθμούς στο τηλέφωνό σας είναι εύλογες προφυλάξεις. Οι απατεώνες θα συνεχίσουν να προσπαθούν πάντα σε έναν κόσμο όπου μπορούν να αυτοματοποιήσουν τις επιθέσεις και η πιθανή ανταμοιβή μπορεί να είναι τόσο μεγάλη – αλλά με την παραμονή και την

άσκηση

ενός καλού επιπέδου κριτικής σκέψης, οι χρήστες μπορούν να προστατεύσουν τόσο τον εαυτό τους όσο και τον οργανισμό για τον οποίο εργάζονται.

Παρουσιάσαμε τα καλύτερα διαδικτυακά μαθήματα ασφάλειας στον κυβερνοχώρο.

Αυτό το άρθρο δημιουργήθηκε ως μέρος του καναλιού Expert Insights της TechRadarPro, όπου παρουσιάζουμε τα καλύτερα και πιο έξυπνα μυαλά στον κλάδο της τεχνολογίας σήμερα. Οι απόψεις που εκφράζονται εδώ είναι αυτές του συγγραφέα και δεν είναι απαραίτητα αυτές της TechRadarPro ή της Future plc. Αν ενδιαφέρεστε να συνεισφέρετε, μάθετε περισσότερα εδώ:


https://www.techradar.com/news/submit-your-story-to-techradar-pro