Smishing a phishing představují techniky sociálního inženýrství, jejichž cílem je manipulovat s uživateli, aby prozradili důvěrné informace.
Phishing se projevuje rozesíláním emailů obsahujících škodlivé odkazy nebo přílohy. Smishing, naopak, kombinuje SMS a phishing, a spočívá v odesílání textových zpráv se škodlivými odkazy nebo telefonními čísly, na které má oběť kliknout nebo zavolat.
Při obou typech útoků, smishingových i phishingových, pachatelé vyhrožují potenciálním obětem vážnými důsledky, pokud nebudou okamžitě reagovat. Oběti, které na takové hrozby zareagují, mohou nakonec neúmyslně vyzradit citlivé údaje, jako jsou hesla nebo informace o bankovních účtech.
Než se podíváme na to, co smishing a phishing spojuje a v čem se liší, objasněme si význam jednotlivých pojmů.
Co je Smishing
Smishing je útok, při kterém kyberzločinci rozesílají textové zprávy s nebezpečnými odkazy nebo falešnými telefonními čísly, a to s cílem oklamat uživatele mobilních telefonů. Využívá manipulační textové zprávy psané přesvědčivým jazykem, aby přiměl uživatele k interakci.
Útočník může vyvolávat pocit naléhavosti, například tím, že žádá o okamžitou platbu za doručení balíku, potvrzení finanční transakce, nebo urgentní uhrazení nezaplacené faktury, a podobně.
Co je phishing
Phishing spočívá v rozesílání podvodných emailů, které obsahují nebezpečné odkazy nebo přílohy. Tyto odkazy nebo přílohy uživatele přesměrují na servery ovládané útočníky, nebo instalují malware, který může ukrást citlivé informace.
V případě phishingu se web útočníka může tvářit jako legitimní, nicméně jeho doména bude mít chybně napsané jméno. Na takové stránce se může objevit přihlašovací formulář, který útočníkům umožní odcizit uživatelská jména a hesla, když je oběť zadá v domnění, že je na důvěryhodné stránce.
Smishing vs. phishingové útoky: Podobnosti
Smishingové a phishingové útoky využívají taktiky sociálního inženýrství, aby nic netušící uživatele donutili prozradit citlivé, či důvěrné informace. Tyto dva typy útoků mají několik společných rysů:
- Oba používají přesvědčivý jazyk k varování potenciálních obětí před nebezpečím, pokud nebudou reagovat okamžitě. Například, oběti se dozví, že jejich bankovní účet nebo kreditní karta bude zrušena, že jim bude odpojena elektřina nebo telefon, pokud nekliknou na daný odkaz.
- Oba typy útoků obsahují škodlivé odkazy, které řídí útočníci a které mohou odcizit přihlašovací údaje, nainstalovat malware nebo viry, nebo kompromitovat zařízení uživatele.
- Naléhavost: Oba útoky vytvářejí pocit naléhavosti a používají hrozby, aby varovali potenciální oběti před negativními důsledky, pokud nebudou okamžitě jednat.
- Klamání: Oba útoky využívají techniky sociálního inženýrství k oklamání a manipulaci oběťmi. Útočníci se často vydávají za známé a legitimní společnosti, jako je Microsoft, Amazon, Google a další známé značky, aby tak získali důvěru potenciálních obětí.
- Stejný cíl: Hlavním účelem smishingu a phishingu je přimět oběť, aby odhalila důvěrné firemní nebo osobní údaje, jako jsou přihlašovací údaje, údaje o kreditní kartě nebo bankovním účtu.
Smishing vs. phishingové útoky: Rozdíly
Následující tabulka shrnuje klíčové rozdíly mezi smishingem a phishingem:
| Vlastnost | Smishing | Phishing |
| Vektor útoku | Využívá SMS textové zprávy se zkrácenými URL adresami nebo falešnými telefonními čísly. | Využívá emaily se škodlivými odkazy nebo přílohami. |
| Médium | Telefon nebo mobilní zařízení | Počítač nebo mobilní zařízení, které má přístup k emailu. |
| Rozsah a dopad | Průměrně 2,65 miliardy nevyžádaných textových zpráv odesláno a přijato za týden v dubnu 2022. Míra kliknutí na odkazy v textových zprávách je vyšší než v emailech. Více uživatelů může být kompromitováno pomocí smishingu. | Každý den je odesláno přibližně 3,4 miliardy phishingových emailů. Míra kliknutí je však nižší než u smishingu. |
| Mechanismus doručení | Textové zprávy na mobilní telefony | E-mailové zprávy na výpočetní zařízení |
| Povědomí uživatelů | Průměrně 2,65 miliardy spamových textových zpráv byly odesílány a přijímány týdně v dubnu 2022. Míra kliknutí na odkazy v textových zprávách je vyšší než u emailů. Více uživatelů je pravděpodobně kompromitováno smishingem ve srovnání s phishingem. | Většina uživatelů emailu si je vědoma phishingových útoků. |
| Odkazy | Zkrácené škodlivé odkazy a falešná telefonní čísla. | Škodlivé odkazy a přílohy. |
| Zneužití zařízení | Přibližně 60 % uživatelů si neuvědomuje smishing a pravděpodobně se stane obětí. | Útočníci mohou získat přístup k důvěrným informacím z počítače a mohou také použít napadené zařízení k šíření malwaru do počítačů ve stejné síti. |
| Naléhavost | Použití naléhavějších a přesvědčivějších zpráv, které vyžadují okamžitou odpověď. | Naléhavé emailové zprávy, ale méně naléhavé než smishing. |
Jak se chránit?
Zde jsou uvedeny některé osvědčené postupy, které vám pomohou chránit se před smishingem a phishingem:
- Používejte silné řešení zabezpečení emailu: Instalujte účinná bezpečnostní řešení, jako jsou antiviry, firewally, filtry nevyžádané pošty, nástroje pro analýzu odkazů, anti-phishing software, a další. Ty pomáhají odhalit a zabránit doručování phishingových emailů uživatelům.
- Využívejte vícefaktorové ověřování (MFA): Nasazení MFA přidává další úroveň ochrany tím, že vyžaduje, aby uživatel kromě hesla poskytl dodatečné ověření. Typická řešení MFA vyžadují, aby uživatel zadal uživatelské jméno, heslo a další formu ověření, jako je kód zaslaný do mobilního telefonu.
- Pravidelně aktualizujte a opravujte operační systémy a softwarové aplikace: Aktualizace operačního systému, aplikací a bezpečnostních řešení zajišťuje, že jsou aktuální a obsahují nejnovější opravy, které řeší většinu zranitelností a chyb, které mohou zločinci zneužít.
- Dodržujte bezpečné bezpečnostní postupy: I když instalace antiviru a dalších bezpečnostních řešení do počítače nebo mobilního zařízení pomáhá detekovat a chránit před potenciálními útoky, je důležité praktikovat bezpečné online aktivity. Seznamte se se stávajícími i novými triky, které útočníci používají, a naučte se, jak rozpoznat varovné příznaky sociálního inženýrství, jako jsou pravopisné chyby, naléhavost, nesprávné názvy domén, neznámí odesílatelé atd.
- Vytvářejte povědomí o bezpečnosti: Organizace by měly svým zaměstnancům poskytovat adekvátní a pravidelné školení o phishingu, smishingu a dalších kybernetických útocích. Měly by také používat nástroje pro simulaci phishingu k testování povědomí zaměstnanců. Jednotliví uživatelé by měli informovat svou rodinu a přátele o nebezpečí spamu a o tom, jak jednat a zůstat v bezpečí.
- Nahlaste pokus o útok: Oznámte událost příslušné organizaci, jako je banka, aby mohla zabezpečit daný účet. Informujte také instituci pro prevenci podvodů ve vaší zemi.
- Testujte povědomí pomocí simulovaných phishingových útoků: Simulované testy umožňují administrátorům otestovat povědomí zaměstnanců a jejich reakci na reálné phishingové pokusy. Simulační software obvykle odesílá phishingové emaily, které jsou podobné těm, které by odeslali útočníci, ale bez škodlivých odkazů nebo příloh.
- Chraňte citlivé informace: Kromě používání antiviru a šifrování, omezte, kdo má přístup k datům a co s nimi může dělat. Udělujte uživatelům co nejmenší oprávnění, která jim umožní přístup pouze k nezbytným datům. I když útočník získá neoprávněný přístup, nemůže způsobit velké škody.
- Ignorujte nebo odstraňte jakékoli podezřelé textové zprávy nebo emaily. Neklikejte na podezřelé zprávy, přílohy nebo odkazy a neodpovídejte na zprávy, které vyžadují zaslání osobních údajů.
Co dělat po útoku?
I přes veškeré snahy o odhalování a blokování smishingových a phishingových zpráv, se stále miliony falešných zpráv dostanou k zamýšleným obětem.
Bohužel, mnoho uživatelů se nechá oklamat a klikne na škodlivé odkazy. Zatímco nejlepší strategií je ignorovat a vyhýbat se reagování na falešné zprávy, je důležité vědět, co dělat, když k útoku dojde.
#1. Zjistěte, jak k útoku došlo
Zjistěte, proč k útoku došlo a zda vaše bezpečnostní opatření vyžadují zlepšení.
#2. Zkontrolujte účinek útoku
Prozkoumejte phishingový email a zjistěte jeho záměr, data, na která útočník cílil, a jeho účel. K vyhledání podezřelých IP adres a adres URL použijte firewall. Zkontrolujte účty a data, která mohla být ohrožena. Sledujte také své online a bankovní účty a transakce, zda nevykazují jakékoli podezřelé aktivity.
#3. Informujte zainteresovanou organizaci
Kontaktujte příslušnou legitimní společnost a dejte jí vědět, že útočníci používají její název k oklamání uživatelů. Tyto informace umožní organizaci varovat své zákazníky před podvodem.
#4. Izolujte zařízení od sítě
Pokud je váš telefon nebo počítač infikován, odpojte jej od sítě, abyste zabránili malwaru nahrávat citlivá data. Pomáhá to také chránit ostatní zařízení v síti.
Odpojení zařízení od sítě zajistí, že nebudou ukradena citlivá data a že se malware nebude šířit na další počítače v síti.
#5. Vyčistěte zařízení
Použijte spolehlivý nástroj k vyčištění infikovaného zařízení. Můžete také zvážit obnovení systému do předchozího funkčního stavu. Změňte také hesla a kódy PIN u napadených účtů.
Závěr
Každý, kdo používá mobilní zařízení a počítače, je zranitelný vůči smishingovým a phishingovým útokům. Smishing se často zaměřuje na uživatele mobilních telefonů, zatímco phishing na uživatele emailů.
Spammeři využívají techniky sociálního inženýrství, aby uživatele donutili k odhalení hesel, bankovních údajů a dalších citlivých informací. Většina phishingových a smishingových emailů a textových zpráv dokáže obejít spamové filtry. Z tohoto důvodu se uživatelé mohou domnívat, že jsou zprávy legitimní.
Buďte ostražití a seznamte se s osvědčenými postupy v oblasti kybernetické bezpečnosti. Naučte se rozeznávat příznaky smishingových a phishingových útoků, jako je naléhavost, neznámí odesílatelé a žádosti o odhalení citlivých informací. Jakmile máte podezření na útok, ignorujte zprávu a ověřte si, zda vám daná organizace zprávu skutečně odeslala.
A dále, co jsou to spoofingové útoky a jak se před nimi chránit?