Jak se tyto útoky liší?

Phishing je jednou z nejpopulárnějších a nejběžnějších forem útoků sociálního inženýrství.

Jako kybernetický útok, který se zaměřuje a využívá lidskou inteligenci, se phishing v minulosti úspěšně zaměřoval na několik malých i velkých společností. Podle průzkumu přes 80 % organizací zažil v roce 2020 alespoň jeden úspěšný pokus o phishingový útok.

Navíc a Zpráva Trendy phishingové aktivity naznačuje, že phishingové útoky mezi lety 2019 a 2022 výrazně vzrostly o 150 % a zaznamenaly rekordní počet 4,7 milionů útoků v roce 2022.

Zatímco phishing je široká kategorie kybernetických útoků, pod kterou spadá, další typy phishingových útoků zahrnují vishing, email phishing, spear phishing, klonovací phishing a další.

Z nich je spear phishing jedním z nejrozšířenějších a nejsofistikovanějších kybernetických útoků, který je počátkem nebo výchozím bodem 91 % kybernetických útoků.

Jak se však phishing a spear phishing od sebe liší? Jaké klíčové prvky odlišují tyto dva kybernetické útoky a jak jim můžete zabránit?

V tomto článku se ponoříme hluboko do phishingu vs. spear phishing a podíváme se na hlavní funkce, které tyto phishingové útoky vzájemně odlišují.

Pojďme!

Co je phishing?

Phishingový útok je typ kybernetického útoku, který šíří podvody prostřednictvím e-mailů zaměřených na náhodné osoby prostřednictvím různých kanálů a médií, jako jsou textové zprávy (smishing), e-maily (e-mail phishing) nebo telefonní hovory (vising).

Útočníci odesílají phishingové e-maily ve velkém a ve velkých objemech, aby získali citlivé informace o uživatelích a obchodní údaje, a doufají, že z tisíců pokusů o phishing bude alespoň jeden nebo několik úspěšných.

Moderní phishingoví útočníci vytvářejí tyto e-maily a zprávy široce a chytře, takže vypadají legitimně z důvěryhodného zdroje, jako je firma nebo banka. Hackeři zasílají tyto e-maily náhodně uživatelům, lstí je a manipulují s nimi, aby klikli na škodlivé odkazy nebo dokumenty v e-mailu nebo provedli konkrétní akci, která spouští další útoky.

Při phishingovém útoku útočníci většinou používají naléhavý tón hlasu, vyvolávají u příjemců pocit strachu a manipulují je ke stažení infikovaných dokumentů nebo klikání na škodlivé odkazy – kompromitují tak jejich osobní údaje, jako jsou bankovní údaje nebo přihlašovací údaje.

Jak název napovídá, phishing tedy označuje náhodné a široké e-mailové kybernetické útoky, které využívají nevinné uživatele nebo příjemce e-mailů ke kompromitaci důvěrných dat a informací.

Různé kybernetické útoky však spadají pod phishing v závislosti na médiu nebo taktice. Mezi různé mechanismy phishingových útoků patří:

• Smishing: Také známý jako SMS phishing, smishing je útok prováděný prostřednictvím SMS nebo textových zpráv s cílem infikovat telefon nebo mobilní zařízení uživatele malwarem.

• Vishing: Vishing je phishingový kybernetický útok prováděný prostřednictvím telefonních hovorů nebo stažených internetových protokolů, jako je VoIP nebo Voice Over Internet Protocol.

• Pop-up phishing: Tento útok se provádí spuštěním naléhavého vyskakovacího okna nebo zpráv na obrazovce uživatele ve formě vyskakovacích oken o zabezpečení jeho zařízení.

• Faxové phishing: Tento phishingový útok spočívá v tom, že útočník odešle uživateli phishingový e-mail s oznámením, že obdržel fax v příloze e-mailu, což obvykle vede uživatele na falešné nebo falešné webové stránky a žádá je, aby zadali své přihlašovací údaje.

• Phishing bankovním převodem: Tento útok zahrnuje bankovní převody za účelem provádění podvodných aktivit.

Pokud se tedy jedná o různé typy phishingových útoků, pojďme také pochopit, co je spear phishing a jak se liší od výše uvedených.

Co je Spear Phishing?

Spear phishing je pokročilejší a sofistikovanější forma phishingového útoku, který se zaměřuje na konkrétní nebo cílené jednotlivce, organizace nebo oběti, na rozdíl od phishingových útoků, které se zaměřují na širokou škálu jednotlivců.

Typicky, namísto cílení na skupinu jednotlivců, spear phishing útoky primárně cílí na konkrétní firmu nebo organizaci pomocí taktiky sociálního inženýrství, jako jsou falešné e-maily.

Při spear phishingu se útočníci často vydávají za zaměstnance, kolegy nebo obchodní známé, aby ohrozili důvěrné informace organizace. Zde nemusí být cílem jen ukrást osobní údaje jednotlivce, ale také nabourat se a dostat se na firemní server za účelem provedení cílené škodlivé činnosti.

Kyberzločinci často používají techniky sociálního inženýrství, jako jsou falešné e-maily, zasíláním vysoce personalizovaných e-mailů obětem tím, že shromažďují osobní údaje, jako je jejich jméno a společnost, prostřednictvím svých profilů na sociálních sítích, takže falešné e-maily vypadají opravdověji, legitimněji a věrohodněji.

To pomáhá kyberzločincům budovat důvěru v oběti, čímž se zvyšuje šance, že příjemci e-mailu provedou požadovanou akci. Kromě e-mailového spoofingu mohou útočníci využívat dynamické adresy URL a stahované soubory ke kompromitaci bezpečnostních opatření společnosti a provést spear phishingový útok.

Kyberzločinci často používají dva typy útoků při provádění spear phishingu:

• Lov velryb: Tento útok typu spear phishing se zaměřuje především na vedoucí pracovníky s pravomocí nebo oprávněním přistupovat k důvěrným informacím společnosti. Zacílení na takové jednotlivce umožňuje útočníkům získat přístup k citlivým údajům, zahájit převod prostředků nebo provést únik dat.

• Podvody generálních ředitelů: Zatímco velrybářské útoky se zaměřují na vedoucí zaměstnance, phishingové útoky na podvodné na generálních ředitelích se zaměřují především na nižší nebo nižší zaměstnance tím, že se vydávají za vyšší nebo vyšší vedoucí pracovníky, jako je generální ředitel společnosti, a předstírají, že jsou tak vysoce postavenou autoritou; útočníci mohou snadno přesvědčit nebo donutit mladší zaměstnance k neoprávněným akcím. Tento útok je také označován jako Business Email Compromise (BEC) útok.

Nyní, když rozumíme základní definici a myšlence phishingu a spear phishingu, pojďme se blíže seznámit s tím, jak se tyto dva útoky liší prostřednictvím svých klíčových odlišujících faktorů.

Phishing vs. Spear Phishing: Rychlý pohled

FaktoryPhishingSpear Styl phishingu Útoky ve velkém měřítku, zaměřené na širší a náhodnou skupinu jednotlivců. Útočí na konkrétní organizaci nebo jednotlivce prostřednictvím taktiky sociálního inženýrství. Úroveň personalizace Vyskytuje se často a je méně časově náročná. Vysoce personalizované, protože útočník provádí hluboký průzkum své cílové oběti – včetně jména, organizace, pracovního profilu atd. Stupeň naléhavosti Používá přesvědčivý a naléhavý jazyk, aby oběti okamžitě zasáhly bez rozmýšlení. Obsahuje minimální až žádný prvek naléhavosti, např. zaměřuje se nejprve na získání důvěry oběti, než ji přiměje provést požadovanou akci. Primární cíl: kompromitovat a získat přístup k citlivým datům oběti, jako jsou přihlašovací údaje. Zatímco spear phishing se může také pokusit získat přístup k údajům, jako jsou údaje o kreditní kartě nebo přihlašovací údaje, konečný cíl by mohl být mnohem vyšší, jako je získání obchodních tajemství společnosti atd. Frekvence banky posílají obecné e-maily požadující aktualizaci hesla. Vyskytuje se méně často, protože jeho provedení vyžaduje spoustu času, úsilí a výzkumu. Úroveň úsilí Nízká, protože zprávy jsou zcela obecné a upravené podle šablony. Vysoká, protože zprávy jsou koncipovány pečlivě s vylepšenou personalizací. Tonalita obsahu zprávy Obecná a formální (oběť někdy neznámá). Známé a personalizované, často zahrnuty se jménem oběti v pozdravech. Příklady Banky posílají obecné e-maily požadující aktualizaci hesla. Zaměstnanec vysoké nebo vyšší autority žádající o bankovní převod peněz na projekt. Preventivní opatření Filtrování e-mailů a základní školení a povědomí o kybernetické bezpečnosti. Pokročilé brány firewall, filtrování e-mailů a konzistentní povědomí o kybernetické bezpečnosti se simulacemi phishingu.

Phishing vs. Spear Phishing: Vysvětlení funkcí

Zatímco phishing a spear phishing mohou mít podobné vlastnosti, liší se jeden od druhého, pokud jde o jejich primární cíl, taktiku nebo metodologii útoku, bezpečnostní opatření přijatá k jejich obraně a další faktory.

Pojďme se na každý z nich podívat jeden po druhém.

#1. Útokové vektory

Standardní phishingové útoky vrhají širší síť prostřednictvím útoků sociálního inženýrství, jako jsou hromadné e-maily, škodlivé webové stránky nebo SMS zprávy. Často se tedy pokoušejí zacílit na širokou skupinu jednotlivců prostřednictvím více útočných vektorů nebo taktik a pokoušejí se oslovit velké množství potenciálních obětí.

Na druhou stranu jsou spear phishingové útoky mnohem cílenější, konkrétnější a personalizované a zaměřují se na konkrétní organizaci nebo skupinu jednotlivců. Zatímco spear phishing často používá falešné e-maily jako svůj vektor útoku, může také využívat sociální média, telefonní hovory nebo osobní interakce k cílení na konkrétní jednotlivce.

#2. Klamavá taktika

Phishingové útoky hromadně využívají a odesílají obecné a špatně napsané e-maily nebo zprávy, čímž se vydávají za legitimní organizace nebo služby. Používají zastrašovací taktiky nebo vytvářejí pocit naléhavosti ve zprávách a klamou oběti, aby se vzdaly svých citlivých údajů, jako jsou přihlašovací údaje nebo údaje o bankovním účtu.

Útočníci tak často používají obecné e-mailové šablony k oklamání uživatelů a používají taktiku strachu, spoléhající se na škodlivé odkazy, falešné webové stránky a přílohy vyvolávající malware, díky čemuž oběti provádějí požadovanou akci, aby zajistili bezpečnost zařízení nebo účtu.

Zatímco phishing spoléhá na obecnou taktiku klamání, spear phishing využívá přesvědčivé a vysoce personalizované taktiky tím, že provádí důkladný průzkum týkající se jejich cílových obětí za účelem navrhování personalizovaných a věrohodných zpráv.

Zahrnují konkrétní podrobnosti o oběti, jako je její jméno, společnost, pracovní pozice atd., napodobují styl a tón hlasu legitimního obchodního e-mailu, takže vypadají legitimněji a odlišují je od obecných phishingových e-mailů.

#3. Cílení

Útočníci se při phishingových útocích zaměřují na více jednotlivců najednou pomocí obecných e-mailů, takže mají široké a širší oportunistické zaměření. Phishingové útoky tedy odesílají e-maily hromadně, místo aby se zaměřovaly na konkrétní lidi nebo organizace, v naději, že alespoň několik procent obětí podlehne jejich klamavé taktice.

Naopak, spear phishing využívá cílené sociální inženýrství, nejen pouhé štěstí. Útočníci jsou velmi jasní, soustředění a přesní ohledně svých cílových obětí a posílají personalizované e-maily vybraným jedincům z ptačí perspektivy.

Vybírají si nebo se zaměřují na vysoce hodnotné vedoucí pracovníky nebo vedoucí zaměstnance, aby udělali kompromis, aby získali přístup k citlivým obchodním datům organizace. Čím vyšší úroveň manažerů se zaměřují, tím větší je potenciální dopad jejich kompromitace.

Při útoku spear phishing tedy může být cílová oběť považována za prostředek k dosažení cíle, který kompromituje samotnou cílovou organizaci.

#4. Cíle

Primárním cílem phishingových útoků je shromáždit velké množství důvěrných a citlivých informací zacílením na širší síť jednotlivců. Tyto informace mohou zahrnovat čísla kreditních karet, přihlašovací údaje, hesla k bankovním účtům nebo jiné osobní údaje od co největšího počtu cílových osob.

Na druhou stranu je cíl spear phishingových útoků cílenější a může se značně lišit v závislosti na konečném cíli útočníka, kterým je, jak chtějí kompromitovat konkrétní podnik nebo organizaci.

Cíle spear phishingu mohou zahrnovat přístup ke konkrétním obchodním účtům, pronikání důvěrných informací, krádeže proprietárních aktiv nebo dat, zahajování kybernetických útoků uvnitř organizace nebo provádění cílené podnikové špionáže.

#5. Detekční výzvy

Organizace mohou detekovat phishingové útoky prostřednictvím černé listiny domén, filtrování e-mailů a firewallů a antivirového softwaru.

Odhalení několika phishingových e-mailů však může být náročné s vyvíjejícími se sofistikovanými útoky sociálního inženýrství, které manipulují s lidskou inteligencí a taktikou, jako je vydávání se za autoritativní osoby, používání HTTPS na falešných webech, zamlžování adres URL, pharming a další.

Ve srovnání s phishingovými útoky může být detekce spear phishingových útoků ještě náročnější, protože jsou navrženy přizpůsobenějším způsobem. Tradiční bezpečnostní opatření, jako jsou firewally, je proto často neodhalí.

Odhalování spear phishingu tedy do značné míry závisí na vzdělání uživatelů, informovanosti a bystrém oku nebo schopnosti odhalit jemné, klamavé znaky v e-mailech.

#6. Preventivní opatření

Zaměstnanci a organizace mohou zabránit phishingovým útokům používáním firewallů, antivirového softwaru, e-mailu a filtrování webu, pravidelnou aktualizací hesel, instalací bezpečnostních záplat atd.

Je také důležité šířit povědomí o kybernetické bezpečnosti a provádět školení zaměstnanců, aby se mezi zaměstnanci podpořila ostražitost ohledně snadného rozpoznání pokusů o phishing.

Prevence spear phishing zahrnuje vícevrstvý přístup a vyžaduje kombinaci robustních řešení zabezpečení e-mailů a vzdělávání uživatelů. Ty mohou zahrnovat použití přísných kontrol přístupu, dvoufaktorové ověřování (2FA), školení a informovanost zaměstnanců, robustní řešení zabezpečení e-mailů, která identifikují podezřelé vzory e-mailů, a informace o hrozbách.

#7. Příklady z reálného života

Falešné a škodlivé e-maily vydávající se za renomované organizace a banky, jako je PayPal nebo profily na sociálních sítích, jsou běžnými příklady toho, jak jsou prováděny phishingové útoky.

• Zdravotní systém spektra, zdravotnická organizace, ohlásila útok vishing v září 2020, kdy pacienti a členové organizace obdrželi telefonáty od lidí vydávajících se za zaměstnance, aby získali jejich osobní údaje, včetně ID člena a dalších podrobností souvisejících s jejich účty. Útočníci používali výhrůžky a lichotky k nátlaku na oběti, aby jim poskytly požadovaná data, přístup k osobním zařízením nebo penězům.

• Dalším skutečným příkladem phishingového útoku je kdy Tripwire ohlásil vražedný útok v září 2020. Útočník posílal SMS zprávy obětem převlečeným za United States Post Office (USPS). Zpráva požádala oběti, aby kliknutím na odkaz zobrazily kritické podrobnosti o jejich nadcházející dodávce USPS, která je nasměrovala na falešné webové stránky, aby ukradli přihlašovací údaje k účtu Google.

Podobně zde jsou dva skutečné příklady kampaní typu spear phishing.

• Jeden z nejznámějších skutečných incidentů spear phishingového útoku je, když byly Google a Facebook oklamány, aby zaplatily 122 milionů dolarů v letech 2013 až 2015 kvůli rozšířené kampani BEC spear phishing. Útočník se vydával za společnost Quanta, společného dodavatele pro obě společnosti, a posílal e-maily s falešnými fakturami, které zaplatily Google a Facebook. Společnosti však později mohly získat zpět 49,7 milionu dolarů z ukradené částky.

• Dalším příkladem útoku typu spear phishing je případ, kdy Pathe, přední francouzská filmová skupina, prohrála 19,2 milionu eur kvůli podvodu generálního ředitelekdy útočník poslal několik e-mailů, ve kterých se vydával za generálního ředitele Marca Lacana, a žádal nizozemskou kancelář, aby převedla částku na čtyřech rančích společnosti Towering Stars General Trading LLC v Dubaji.

#8. Míra úspěchu

I když se míra úspěšnosti phishingových útoků značně liší, je poměrně nižší než phishingové útoky spear, protože jsou obecné a méně cílené.

Míra úspěšnosti phishingového útoku navíc primárně závisí na kvalitě a klamavé taktice použité v rámci zpráv, informovanosti oběti o kybernetické bezpečnosti a schopnosti odhalit podvrženou zprávu.

Na druhou stranu, spear phishingové útoky mají vyšší úspěšnost kvůli jejich přesvědčivé a personalizované povaze. Příjemci e-mailů pravděpodobněji důvěřují podvrženým e-mailům a podlehnou pokusům o spear phishing, protože vypadají věrohodněji a obsahují relevantní a konkrétní informace.

Způsoby, jak se chránit před phishingem a spear phishingem

Nebezpečí a potenciální dopad phishingových a spear phishingových útoků jsou větší, reálné a velmi složité a organizace stojí miliony dolarů.

Proto je nezbytné přijmout kritická preventivní opatření k zastavení nebo alespoň omezení rizik těchto phishingových útoků. Zde je několik způsobů, jak můžete chránit sebe a svou organizaci, aby se nestali obětí sofistikovaných phishingových a spear phishingových útoků.

• Zašifrujte důvěrná data a informace ve svém počítači a mobilních zařízeních pomocí šifrování dat, abyste zajistili, že útočníci nebudou mít přístup k těmto datům bez správného hesla.

• Falešné phishingové e-maily jsou primárním prostředkem pro útočníky ke krádeži přihlašovacích údajů. Proto ověřte svou e-mailovou adresu pomocí metod, jako je konfigurace SPF, DMARC a DKIM.

• Použijte Multi-Factor Authentication (MFA) k ochraně vašeho důvěrného přístupu k firemnímu účtu, a to i v případě, že dojde ke kompromitaci vašich přihlašovacích údajů nebo hesel. Díky MFA je pro útočníky ještě náročnější nabourat se do vašich účtů.

• Udržujte veškerý svůj interní software, aplikace, operační systémy a síťové nástroje aktualizované a zabezpečené instalací nejnovějších bezpečnostních záplat, ochrany proti malwaru a antivirového a antispamového softwaru.

• Vzdělávejte své zaměstnance a rozšiřte povědomí o kybernetické bezpečnosti o negativních dopadech a důsledcích phishingových útoků, detekčních mechanismech a o tom, jak jim předcházet, a propagujte dodržování osvědčených postupů k omezení jejich rizik.

• Provádějte pravidelné školicí programy v oblasti kybernetické bezpečnosti a simulace phishingu, abyste byli zaměstnanci informováni o nejnovějších trendech a hrozbách v oblasti kybernetické bezpečnosti a otestovali jejich schopnost identifikovat a hlásit podvodné a škodlivé e-maily.

Vytvoření organizační kultury zaměřené na kybernetickou bezpečnost a začlenění osvědčených postupů a praktik tak může významně pomoci snížit potenciální dopad phishingových a spear phishingových útoků.

Závěrečná slova

Jak phishingové, tak spear phishingové útoky jsou nevyhnutelnou a tvrdou realitou dnešního digitálního světa. Kyberzločinci dnes používají sofistikované taktiky ke kompromitování jednotlivců a organizací, což vede k masivním finančním škodám a poškození pověsti.

I když oba útoky mohou poškodit důvěryhodnost organizace, lze jim zabránit tím, že zůstanete na vrcholu nejnovějších trendů v oblasti kybernetické bezpečnosti a začleníte ty nejlepší bezpečnostní postupy – a začíná to pochopením a prostudováním samotných útoků.

Tento článek vám pomůže pochopit rozdíl mezi phishingem a spear phishingem a jak se liší z hlediska jejich primárního cíle, cíle, dopadu, míry úspěšnosti, taktiky, vektorů útoků a metod prevence.

Dodržujte tedy výše uvedené osvědčené bezpečnostní postupy, abyste se vy a vaše společnost nestali obětí škodlivých phishingových a spear phishingových kampaní.

Dále se podívejte na řešení zabezpečení e-mailu, která vás ochrání před spamem, spoofingem a phishingovými útoky.