داستان نگران کننده از باج خواهی خطرات صید نیزه را نشان می دهد

هشدار: این مقاله حاوی کراهت است و جنایتی از جنس جنسی را به تصویر می کشد.
reddit phishing 1

"او با گفتن من شروع می کند که نمی خواهد هیچ درام و اشک بخورد. البته من در ابتدا ناراحت بودم اما بعد خودم را آرام کردم و از او پرسیدم که او چه می خواهد. او به من گفت که نوع شخصیت من را می داند. او تمام عکس های من را دیده است ، تمام iMessages های من و چت های WhatsApp را خوانده است. عکس های دارای رتبه ای x او به بسیاری از اطلاعات من دسترسی دارد که نمی خواهم آنها را به اشتراک بگذارم. او به من سخنرانی می کند که چگونه من یک دختر بد هستم ، که من علف هرز دودی کرده ام و رابطه جنسی برقرار کرده ام. اگر والدین من بدانند که او چه کاری انجام داده است ، آنها خوشحال خواهند شد که [...] بدانند که دخترشان به خاطر "اعمال بد" مجازات می شود. "

این داستان کاربر reddit Zedevile است که به شرط ناشناس بودن با Comparitech صحبت کرده است. او قربانی ماهیگیری نیزه است. با وجود مزاحمت و خصوصی بودن برخورد وی ، زیدویل - زد ، برای مدت کوتاهی درباره قسمت خود با جنایتکار که او را باج خواهی می کرد ، نوشت و داستان را به صورت مجدد منتشر کرد. او می گوید هدف او رسیدن به هرچه بیشتر مردم است تا آنچه که برایش اتفاق افتاده است تکرار نشود.

وی گفت: "وی گفت كه من به دلیل تعداد روابطی كه در آن بوده ام / افرادی كه از زمان تلفن داشتن با آنها ارتباط برقرار كرده ام ، شلخته ام. من از او پرسیدم که آیا او پول می خواهد ، هر نوع دیگری. او گفت که می تواند من را با پول بخرد ، بنابراین باید آن را رها کنم. بنابراین من از او پرسیدم که او از من چه می خواهد. "

وی گفت: "او از من خواست كه لباسهایم را بردارم و خودم را در مقابل او در FaceTime لمس كنم. او را راضی کنید. فقط در این صورت او حسابهای من را پس می داد. "

این کار از زمانی شروع شد که یک هکر که به عنوان یک آشنا آشنا بود ، با Zed در فیس بوک تماس گرفت و از وی خواست که در یک رقابت مدل سازی بصورت آنلاین رای دهد. او شناسنامه های اپل و گوگل خود را تحویل داد تا به گروه اضافه شوند. بعد همه چیز ترش خورد. اشکال در سیستم به نوعی مانع شده است که دوست زید از شخصی دیگر به این گروه اضافه کند. او برای رفع آن نیاز به حذف Zed از این گروه داشت و برای انجام این کار رمز عبور لازم بود.

التماس می گوید: "کارش به خاطر نیکی در معرض خطر بود. بعد از رفتن به عقب و جلو برای کمی .. من لعنتی کردم. من بهش اعتماد کردم فکر کردم هیچ آسیبی نباشد و پس از آن فقط پسورد را تغییر دهم. این رمز عبور یک شناسه Gmail است که من به هیچ وجه از آن استفاده نمی کنم ، به جز ثبت نام در وب سایت های تصادفی در جایی که نمی خواهم نامه اسپم آنها را دریافت کنم اما نیاز به ایجاد یک حساب کاربری دارم ، می دانید که همه ما یکی از آن ها را داریم. "

لحظه ای که Zed رمز عبور خود را فاش کرد ، این حمله موفقیت آمیز بود.

فیشینگ نیزه

فیشینگ از روانشناسی رفتاری برای فریب قربانیان در اعتماد به مهاجم به منظور دستیابی به اطلاعات حساس استفاده می کند. هر کسی که به طور مرتب از اینترنت استفاده می کند ، احتمالاً با تلاش های فیشینگ روبرو بوده است. آنها به عنوان پیوندهای بد بو در ایمیلهای جعلی ، وب سایتهای مالی جعلی که جزئیات ورود به سیستم و تماسهای تلفنی مشکوک از بانکها و بیمارستانها به شهروندان سالخورده را نشان می دهند ، ظاهر می شوند. بخش عمده ای از تلاش های فیشینگ مخاطبان عظیمی را هدف قرار می دهد - اغلب هزاران نفر - و امیدوارند که تعداد انگشت شماری کوچک فریب خورده شود.

فیشینگ نیزه شیوع کمتری دارد اما بسیار خطرناک تر است. فیشینگ Spear یک گروه خاص یا کوچک از افراد را هدف قرار می دهد. مهاجم می تواند اطلاعات شخصی را در مورد هدف خود جمع کند تا شخصیتی باورنکردنی تر ایجاد کند. به گفته یک محقق مؤسسه SANS ، 95 درصد از حملات موفقیت آمیز به شبکه های سازمانی نتیجه فیشینگ نیزه است. 91 درصد از پاسخ دهندگان در یک نظرسنجی Cloudmark گفتند که آنها حملات فیشینگ نیزه را تجربه کرده اند.

فیشرهای Spear معمولاً مدیران سطح بالا و مدیر IT را برای محافظت از بانکهای اطلاعاتی حساس هدف قرار می دهند. مجرمان سایبری حساب های ایمیل شرکت را برای جعل هویت مدیران و فریب دادن کارمندان در حسابداری یا منابع انسانی به سیم کشی پول و یا ارسال اطلاعات محرمانه ، فریب می دهند. اما داستان Zed نشان می دهد که چگونه می تواند برای هر کسی اتفاق بیفتد.

Comparitech چندین تصویر از مکالمه Zed با هکر و همچنین چندین موضوع ایمیل ارسال شده از مکالمات وی با پشتیبانی مشتری در مایکروسافت ، اینستاگرام و فیس بوک را بررسی کرد تا داستان وی را بررسی کند. ما همچنین یک نفر از وکلای مشتری مایکروسافت را در خدمات اسکالیشن جهانی این شرکت با شماره شخصی وی ، تهیه شده توسط Zed ، برای تأیید هویت خود تماس گرفتیم.

رمز عبور ایمیلی که Zed به تحمیل کننده تحویل داده بود ، فقط یک حساب نامه ناخواسته نبود. این همچنین ایمیل بازیابی برای حساب اصلی ایمیل وی در Hotmail بود. اندکی پس از مبادله ، وی ایمیل هایی را درباره ورود به سیستم از پاکستان دریافت کرد. در عرض چند دقیقه ، مهاجم او را از چندین حساب امضا کرد.

وی افزود: "هر حسابی که در اینترنت داشته باشم اگر مهم باشد با Hotmail مرتبط است. حسابهای بانکی ، Facebook ، LinkedIn ، Squarespace ، Amazon ، شما آنرا نامگذاری می کنید. او رمز عبور Hotmail ، ایمیل و تلفن بازیابی را تغییر داد. Hotmail من همچنین Apple ID من بود. "

هنگامی که مهاجم کنترل حساب Hoted Zed را به دست آورد ، همه چیز را در اختیار داشت.

او شماره تلفن بازیابی ، ایمیل ، تولد و سوالات امنیتی مربوط به Apple Apple خود را تغییر داد. Zed تأیید صحت دو مرحله ای را فعال نکرده است ، که نیاز به یک فرم ثانویه تأیید به طور معمول از طریق پیام متنی هنگام ورود به سیستم از یک دستگاه جدید ، روی حسابهای خود تنظیم کرده است.

"من نمی توانم هویت خود را تأیید کنم زیرا جواب های من نادرست بود ، خانم تلفن نمی تواند به من اجازه ورود بدهد."

مهاجم کنترل حساب Facebook Zed را به دست گرفت. با استفاده از دوست پسرش به عنوان وكیل ، زید با او تماس تلفنی در فیس بوك مسنجر برقرار كرد. این زمانی است که باج خواهی شروع شد. مهاجم علاقه ای به پول نداشت.

وی به او گفت كه اگر او به درخواست او تسلیم نشود ، می تواند عکس های سازنده از iCloud خود را در فیس بوك به عنوان تصویر نمایه خود ارسال كند. او گفت که اگر او را به اجرای قانون گزارش داده است اهمیتی نمی دهد.

زید امتناع کرد.

"[...] من در طول این تماس ناراحت شدم و به او گفتم که او حق ندارد مرا از نظر اخلاقی پلیس راهنمایی کند و من می توانم در هر روابطی که می خواهم باشم و با هر کس که می خواهم بخوابم و این هیچ یک از کارهای او نیست. این او را عصبانی کرد. او گفت ، "[تصویر نمایش] خود را در دو دقیقه بررسی کنید."

مهاجم تهدید خود را دنبال کرد. او عکس را ارسال کرد. دوست پسر Zed تیمی از دوستان خود را سرگرم کرده بود تا حساب وی را نظارت کنند و عکس را در فیس بوک به محض ظاهر پرچم گذاری کنند.

reddit phishing 2

"من در اشک ریختم. در عرض دو دقیقه ، یک دوست تصادفی که من به سختی با او صحبت می کنم با تلفن من تماس گرفت و از من پرسید که آیا می دانم چه چیزی در فیس بوک من است. او مرا گریه کرد و من گفتم که نمی توانم صحبت کنم. دوستانم گزارش می دادند ، گزارش می دادند ، گزارش می دادند. دیدم نمایه من تغییر کرده است. این لعنتی شد. "

مشخصات وی در کمتر از 10 دقیقه غیرفعال شد ، اما برای انجام برخی آسیب ها کافی بود.

"من فکر می کنم حداقل 15 نفر باید آن را دیده باشند. حداقل 5-7 از طریق روش یا روش دیگری بلافاصله به من رسید. "

بهبود

زید ماه بعد را گذراند و زندگی آنلاین خود را دوباره جمع کرد.

مهاجم از حساب فیس بوک خود برای ارسال پیام 20 تا 25 از دوستان زن زید در فیس بوک استفاده کرده بود. او با موفقیت یکی از آنها را فریب داد ، که او نیز همه چیز را از دست داد. زد می گوید: "او در واقع از طریق تلفن با او تماس گرفت ، اما دوست پسرش با او صحبت کرد و آنها به نوعی مسابقه فریاد زدند..

reddit phishing 3

پلیس به زید گفت که کارهایی که می توانند انجام دهند وجود دارد. ظاهرا این جنایتکار در پاکستان بوده و پرونده وی "به اندازه کافی برای تحقیقات جنایات سایبری مهم نبود".

زد خاطرنشان كرد كه اپل ، فیس بوک ، اینستاگرام و گوگل همه خدمات مناسب و معقول مشتری را برای کمک به بازیابی حساب های خود داشتند. مایکروسافت - که مالک Hotmail است - و Snapchat پشتیبانی "وحشتناکی" داشتند و او قادر به بازیابی آن حساب ها نبود.

داستان Zed نه تنها نشان می دهد که ماهیگیری نیزه می تواند هر کسی را هدف قرار دهد ، بلکه این احتمالاً معمولی تر از آن است که بیشتر مردم بدانند. Zed نه تنها به این دلیل که تسلیم نشد ، شهامت داشت ، بلکه به این دلیل که تصمیم گرفت داستان خود را به صورت reddit و با Comparitech به عنوان یک داستان احتیاط آمیز برای دیگران به اشتراک بگذارد. او استثناء از هنجار است. بسیار محتمل است که این نوع حملات شخصی غالباً به گزارش های انتظامی و رسانه ها گزارش نشود.

چگونه از خود محافظت کنید

Zed پست ساده خود را با استفاده از توصیه های ساده جمع می کند: "اکنون همه چیز بهتر است ، اما بچه ها را بخاطر بسپارید: هرگز اطلاعات شخصی خود را حتی به یک دوست صمیمی یا دوست عزیز خود دور نکنید."

کلمات عبور

به خصوص ، باید از گذرواژه‌ها محافظت کنید. اگر اصرار دارید یک حساب کاربری با شخصی مانند حساب Netflix در اشتراک بگذارید ، خودتان رمز عبور را از طرف آنها وارد کنید. آنها را در رایانه ، تلفن هوشمند یا حتی نوت بوک خود بنویسید. رمز عبور خود را از طریق تلفن یا پیام متنی به کسی نگویید. این رسانه ها معمولاً رمزگذاری نشده اند و هیچ وقت واقعاً نمی دانید چه کسی در پایان دریافت است.

گذرواژه‌ها نیز باید قوی و متنوع باشند. ایجاد رمزعبور قوی به معنای استفاده از یک ترکیب تصادفی از حروف ، اعداد و نمادهایی است که حداقل 12 کاراکتر دارند. در اینجا می توانید اطلاعات بیشتری درباره نحوه ساخت رمزهای عبور قوی بخوانید.

هرگز از همان رمز عبور برای چندین حساب استفاده نکنید. اگر در به خاطر سپردن رمزهای عبور خود مشکلی دارید ، از یک مدیر رمز عبور استفاده کنید. مدیران گذرواژه رمزهای عبور خود را در یک برنامه یا برنامه افزودنی مرورگر رمزگذاری و ذخیره می کنند ، بنابراین فقط باید یک رمزعبور اصلی را برای دسترسی به همه حسابهای خود حفظ کنید..

Zed می گوید: "من به دنبال یک مدیر رمزعبور مانند Keepass یا LastPass هستم زیرا آنها توسط Redditor های دیگر در موضوع پیشنهاد شده بودند ، اما من هنوز هیچکدام را نصب نکرده ام." "هنوز هم می خواهم قبل از این کار تحقیقاتی انجام دهم."

در آخر ، در صورت لزوم رمزهای عبور خود را تغییر دهید. رهنمودهای امنیتی قدیمی پیشنهاد می کند هر 30 تا 180 روز یکبار کلمه عبور را تغییر دهید و بر اساس مدت زمان لازم برای وارد کردن زور پسورد - برای حدس زدن هر ترکیب احتمالی کاراکتر - اما بهترین توصیه اکنون تغییر آنهاست هر زمان که نقض داده ها روی یک شرکت تأثیر گذاشته باشد. که شما یک حساب کاربری دارید باز هم ، مدیران رمز عبور می توانند در اینجا مفید باشند. برخی نه تنها به شما در ذخیره رمزهای عبور کمک می کنند ، بلکه می توانند رمزهای عبور منحصر به فردی تصادفی را نیز از طرف شما تولید کنند.

2FA و 2SV

همیشه تأیید اعتبار دو عاملی (2FA) و / یا تأیید دو مرحله ای روی حساب های خود را در صورت امکان فعال کنید. این اقدامات امنیتی به شخصی نیاز دارد که از یک دستگاه جدید یا ناآشنا به یکی از حساب های شما وارد شود تا هویت خود را از طریق برخی روش های جایگزین تأیید کند.

2FA شامل فن آوری هایی مانند کارت های هوشمند ، Yubikeys و اسکن های بیومتریک برای تأیید هویت شما است.

یک نمونه معمول 2SV هنگامی رخ می دهد که پس از وارد کردن نام کاربری و رمز عبور خود ، باید یک شماره PIN یا کد ارسال شده از طریق پیامک به دستگاه خود را نیز وارد کنید. Google Authenticator و Authy برنامه هایی قابل اعتماد هستند که برای 2SV استفاده می شوند و اگر شماره تلفنی نداشته باشید یا مرتباً شماره را تغییر دهید گزینه خوبی است..

تأیید ایمیل شکل دیگری از 2SV است ، اما ضعیف ترین گزینه است. تأیید پست الکترونیکی به Zed کمک نمی کند تا زمانی که مهاجم وی حساب های ایمیل خود را کنترل کرد.

زید می گوید: "من از [2FA / 2SV] در هر حساب کاربری که ارائه می دهد استفاده می کنم.".

پیوندها و بدافزارها

مهاجم Zed تا آنجا که می دانیم دستگاههای خود را با بدافزار آلوده نکرده است ، اما فریب کاربران به سایتهای تقلید که در آن اطلاعات شخصی را وارد می کند یا در بارگیری و نصب بدافزار فریب خورده است ، روشهای رایج است. مخصوصاً برای مدیران و کارکنان فناوری اطلاعات ، این اغلب هدف مجرمانه است.

بدافزار می تواند به سیستم های رایانه ای آسیب برساند ، داده ها را سرقت کند و حتی درایوهای کل را رمزگذاری کرده و آنها را برای باج نگه دارد. آخرین مورد ، معروف به "باج افزار" ، از اواخر بسیار محبوب و مؤثر است. سازمانها می توانند دسترسی به داده های حیاتی را از دست بدهند و مجبور به پرداخت مبلغ هنگفتی از بیت کوین به هکرها می شوند تا بتوانند رمزعبور خود را رمزگشایی کنند..

مهم است که همیشه نسبت به پیوندها محتاط باشید. بر روی پیوندها در ایمیل ، پیام یا صفحات وب که نمی شناسید کلیک نکنید. کلاهبرداری از آدرس هایی که ایمیل از طریق آن ارسال شده یا به آنها پاسخ داده شده است رایج است. درباره نحوه یابی ایمیل های فیشینگ در اینجا بیشتر بخوانید.

در مرورگرهای دسک تاپ ، می توانید روی یک لینک (لینک) به بالا بپیوندید تا مکان واقعاً در گوشه پایین سمت چپ پنجره مرورگر نمایش داده شود. از زیر دامنه هایی استفاده کنید که URL ها را قانونی جلوه دهند. به عنوان مثال ، وب سایت Paypal "www.paypal.com" است. یک وب سایت تحمیل کننده می تواند "paypal" را به عنوان زیر دامنه خود و یک دامنه سطح بالا به دنبال رسمی قرار دهد ، بنابراین از URL "paypal.official-paypal.com" استفاده می کند.

همیشه از اسکنر در زمان واقعی از ضد بدافزارها استفاده کنید و آن را به روز نگه دارید.

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me

About the author

Leave a Reply

Your email address will not be published. Required fields are marked *

9 + 1 =

Adblock
detector