Povestea tulburătoare a șantajului unei femei arată pericolele phishingului de suliță

Avertisment: acest articol conține profanitate și înfățișează o infracțiune de natură sexuală.
reddit phishing 1

"Începe prin a-mi spune că nu vrea o dramă sau lacrimi. Bineînțeles că m-am deranjat la început, dar apoi m-am calmat și l-am întrebat ce vrea. Mi-a spus că știe genul de persoană care sunt. El a văzut toate fotografiile mele, mi-a citit toate chat-urile iMessages și WhatsApp. S-au văzut fotografii evaluate x. El a acces la o mulțime de informații pe care nu aș dori să le împărtășesc. El mă vorbește despre cum sunt o fată rea, că am fumat buruieni și am făcut sex. Că dacă părinții mei ar ști ce a făcut, ei ar fi fericiți […] să știe că fiica lor este pedepsită pentru „faptele ei greșite”. ”

Aceasta este povestea utilizatorului reddit Zedevile, care a vorbit cu Comparitech în condiții de anonimat. Este victima phishingului de suliță. În ciuda naturii tulburătoare și privată a întâlnirii sale, Zedevile – Zed, pentru scurt timp - a scris despre episodul ei cu criminalul care a șantajat-o și a postat povestea pe reddit. Ea spune că intenția ei este să ajungă la un număr cât mai mare de oameni, astfel încât ceea ce s-a întâmplat cu ea să nu se repete.

„El a spus că sunt o curvă datorită numărului de relații în care am fost / persoane pe care le-am întâlnit de când am avut acel telefon. L-am întrebat dacă vrea bani, ceva de genul acesta. El a spus că mă poate cumpăra cu bani, așa că ar trebui să renunț la asta. L-am întrebat, așadar, ce vrea de la mine. ”

„Mi-a cerut să-mi scot hainele și să mă ating în fața lui pe FaceTime. Satisfaceți-l. Abia atunci îmi va da socotelile înapoi. ”

A început când un hacker care se prezintă ca un cunoscut cunoscut a contactat-o ​​pe Zed pe Facebook, cerându-i să voteze într-o competiție de modelare online. Ea a predat ID-urile Apple și Google pentru a fi adăugate într-un grup. Atunci lucrurile au mers acru. O eroare a sistemului a împiedicat cumva prietenul lui Zed să adauge pe oricine altcineva în grup. Avea nevoie să-l scoată pe Zed din grup pentru a-l repara și pentru a face asta, era necesară o parolă.

„A implorat cariera ei de dragul bunătății. După ce m-am întors și înapoi pentru un pic .. m-am futut. Am avut încredere în ea. M-am gândit că nu este rău și o să schimb parola imediat după. A fost parola pentru un ID Gmail pe care nu îl folosesc niciodată, cu excepția înscrierii pe site-uri web aleatorii unde nu vreau să primesc mail-urile lor de spam, dar trebuie să creez un cont, știți cum avem toți unul dintre acestea. "

În momentul în care Zed și-a dezvăluit parola, atacul a fost un succes.

Pescuit cu sulita

Phishingul folosește psihologia comportamentală pentru a păcăli victimele să aibă încredere în atacator pentru a obține informații sensibile. Oricine folosește regulat internetul a întâmpinat probabil încercări de phishing. Acestea apar ca link-uri neplăcute în e-mailuri false, site-uri web falsificate care solicită detalii de conectare și apeluri telefonice suspecte de la bănci și spitale către persoane în vârstă. Cea mai mare parte a încercărilor de phishing vizează un public masiv - adesea mii de oameni - și sper că o mică mână va fi păcălită.

Phishingul de suliță este mai puțin răspândit, dar mult mai periculos. Phishingul de lance vizează un individ sau un grup mic de oameni. Atacatorul poate strânge informații personale despre ținta sa pentru a construi o persoană mai credibilă. 95% din toate atacurile de succes asupra rețelelor de întreprinderi sunt rezultatul phishingului de lance, potrivit unui cercetător al Institutului SANS. 91 la sută dintre respondenți într-un sondaj Cloudmark au spus că au suferit atacuri de phishing de suliță.

Aparatorii de tip Spear vizează, de regulă, executivi la nivel înalt și administrator IT pentru a proteja bazele de date sensibile. Cybercriminalii răsfăță conturile de e-mail ale companiei pentru a-i imputa pe executivi și să-i păcălească pe angajați în contabilitate sau în resurse umane pentru a conecta bani sau a trimite informații confidențiale. Dar povestea lui Zed arată cum i se poate întâmpla oricui.

Comparitech a examinat mai multe capturi de ecran ale conversației lui Zed cu hackerul, precum și mai multe fire de e-mail transmise ale conversațiilor sale cu asistență pentru clienți la Microsoft, Instagram și Facebook pentru a-i verifica povestea. De asemenea, am apelat la un avocat al clientului Microsoft la serviciile de descărcare globală a companiei la numărul personal, furnizat de Zed, pentru a-i verifica identitatea.

Parola de e-mail pe care Zed a transmis-o impostorului nu a fost doar un cont de poștă neplăcută. A fost, de asemenea, e-mailul de recuperare pentru contul ei principal de e-mail de pe Hotmail. La scurt timp după schimb, a primit e-mailuri despre o conectare din Pakistan. În câteva minute, atacatorul a semnat-o din mai multe conturi.

„Fiecare cont pe care îl am pe internet dacă este important este legat de Hotmail. Conturi bancare, Facebook, LinkedIn, Squarespace, Amazon, îl numiți. El a schimbat parola Hotmail, e-mail de recuperare și telefon. Hotmail-ul meu a fost și ID-ul meu Apple. ”

Odată ce atacatorul a câștigat controlul contului Hotmail al lui Zed, el a avut totul.

El i-a schimbat numărul de telefon de recuperare, e-mail, ziua de naștere și întrebările de securitate pentru ID-ul Apple. Zed nu a activat verificarea în doi pași, ceea ce necesită o formă secundară de verificare, de obicei prin intermediul unui mesaj text atunci când vă conectați de pe un dispozitiv nou, configurat pe conturile ei.

"Nu am putut să-mi verific identitatea, deoarece răspunsurile mele au fost incorecte, doamna de la telefon nu m-a putut lăsa să intru."

Atacatorul a preluat contul de Facebook al lui Zed. Folosind iubitul ei ca reprezentant, Zed a creat un apel pe Facebook Messenger cu el. Atunci a început șantajul. Atacatorul nu era interesat de bani.

El i-a spus că, dacă nu va da curs cererii sale, el va posta fotografii compromițătoare de pe iCloud-ul ei pe Facebook, ca poza de profil. El a spus că nu-i pasă dacă l-a raportat forțelor de ordine.

Zed a refuzat.

„[…] Am început să mă enervez în timpul acestui apel și să-i spun că nu are dreptul să mă poliționeze moral și că pot fi în atâtea relații cât doresc și să dorm cu oricine vreau și nu este treaba lui. Acest lucru l-a înfuriat. El a spus: „Verificați [imaginea dvs. afișată] în două minute”.

Atacatorul a urmărit amenințarea. A postat fotografia. Iubitul lui Zed a reunit o echipă de prieteni care să-i monitorizeze contul și să semneze fotografia pe Facebook imediat ce a apărut.

reddit phishing 2

„Am fost în lacrimi. În câteva minute, un prieten întâmplător cu care vorbesc cu greu mi-a sunat telefonul și m-a întrebat dacă știu ce se află pe Facebook. M-a auzit plângând și am spus că nu pot vorbi. Prietenii mei făceau raporturi, raportau, raportau. Am văzut cum se schimbă profilul meu. A fost futut. "

Profilul ei a fost dezactivat în mai puțin de 10 minute, dar a fost suficient pentru a face unele pagube.

„Cred că cel puțin 15 oameni trebuie să fi văzut asta. Cel puțin 5-7 m-au adresat imediat, printr-o metodă sau alta. ”

Recuperare

Zed și-a petrecut luna următoare împărțindu-și viața online împreună.

Atacatorul își folosise contul de Facebook pentru a transmite mesajele între 20 și 25 dintre prietenele femeilor Zed de pe Facebook. I-a păcălit cu succes pe unul dintre ei, care a pierdut tot. "El a sunat-o telefonic, dar prietenul ei a vorbit cu el și au avut un fel de meci strigător, la sfârșitul căruia părea să renunțe", spune Zed.

reddit phishing 3

Poliția i-a spus lui Zed că nu prea au putut face nimic. Infracționala ar fi fost în Pakistan și cazul ei „nu a fost suficient de important pentru o anchetă a criminalității informatice”.

Zed observă că Apple, Facebook, Instagram și Google au toate serviciile pentru clienți rezonabile și responsive pentru a o ajuta să își recupereze conturile. Microsoft - care deține Hotmail - și Snapchat au avut asistență „teribilă” și nu a putut recupera aceste conturi.

Povestea lui Zed nu scoate în evidență doar că phishingul de suliță poate viza orice persoană, dar este probabil mai frecvent decât își dau seama majoritatea oamenilor. Zed a fost curajos nu numai pentru că nu a renunțat, ci pentru că a ales să-și împărtășească povestea pe reddit și cu Comparitech ca poveste de precauție pentru alții. Ea este însă o excepție de la normă. Este foarte probabil ca aceste tipuri de atacuri personale să fie adesea nereportate, atât pentru aplicarea legii, cât și pentru mass-media.

Cum să te protejezi

Zed își înfășoară postarea reddit cu o simplă bucată de sfaturi solide: „Lucrurile sunt mai bune acum, dar amintiți-vă de copii: NU Dă niciodată informații personale departe, nici măcar unui prieten apropiat sau a unei persoane dragi.”

Parole

Parolele, în special, trebuie păzite îndeaproape. Dacă insistați să partajați un cont cu cineva, cum ar fi un cont de familie Netflix, introduceți parola în numele lor. Nu le scrieți pe computer, smartphone sau chiar caiet. Nu spuneți cuiva parola dvs. la telefon sau într-un mesaj text. Aceste medii nu sunt adesea criptate și nu știți niciodată cu adevărat cine este la capătul de primire.

Parolele trebuie, de asemenea, să fie puternice și variate. Crearea unei parole puternice înseamnă utilizarea unei combinații aleatorii de litere, numere și simboluri care au cel puțin 12 caractere. Puteți citi mai multe despre cum să construiți parole puternice aici.

Nu folosiți niciodată aceeași parolă pentru mai multe conturi. Dacă aveți probleme să vă amintiți parolele, utilizați un manager de parole. Administratorii de parole criptează și stochează toate parolele într-o aplicație sau într-o extensie de browser, astfel încât nu trebuie decât să memorezi o parolă principală pentru a accesa toate conturile..

„Am căutat într-un manager de parole precum Keepass sau LastPass, deoarece acestea au fost recomandate de alți Redditors pe thread, dar nu am instalat încă niciunul”, spune Zed. „Totuși vreau să fac niște cercetări înainte de a intra în asta.”

În cele din urmă, schimbați-vă parolele când este cazul. Ghidurile de securitate mai vechi au sugerat schimbarea parolelor la fiecare 30 până la 180 de zile, în funcție de cât timp a durat să forțeze o parolă - să ghicești fiecare combinație posibilă de caractere - dar cel mai bun sfat acum este să le schimbi oricând o încălcare a datelor a afectat o companie cu de care ai un cont. Din nou, managerii de parole pot veni la îndemână aici. Unele nu numai că vă ajută să stocați parolele, dar pot genera, de asemenea, parole unice aleatorii.

2FA și 2SV

Activați întotdeauna autentificarea cu doi factori (2FA) și / sau verificarea în doi pași pe conturile dvs., atunci când este posibil. Aceste măsuri de securitate necesită oricine să se conecteze la unul dintre conturile dvs. de pe un dispozitiv nou sau necunoscut pentru a-și verifica identitatea prin intermediul unor mijloace alternative.

2FA include tehnologii precum carduri inteligente, Yubikeys și scanări biometrice pentru a vă verifica identitatea.

Un exemplu obișnuit de 2SV apare atunci când, după introducerea numelui de utilizator și a parolei, trebuie să introduceți și un număr PIN sau un cod trimis dispozitivului prin SMS. Google Authenticator și Authy sunt aplicații de încredere folosite pentru 2SV și sunt o opțiune bună dacă nu aveți un număr de telefon sau schimbați frecvent numere.

Verificarea prin e-mail este o altă formă de 2SV, dar este cea mai slabă opțiune. Verificarea prin e-mail nu ar fi ajutat-o ​​pe Zed până când atacatorul ei a preluat controlul asupra conturilor de e-mail.

„Folosesc [2FA / 2SV] pe fiecare cont pe care îl oferă”, spune Zed.

Link-uri și malware

Atacatorul lui Zed nu și-a infectat dispozitivele cu malware, după cum știm, dar păcălirea utilizatorilor pe site-uri de imitație în care fie introduc informații private, fie sunt păcăliți să descarce și să instaleze malware sunt tactici comune. În special pentru executivi și personal IT, acesta este adesea obiectivul criminalului.

Programele malware pot deteriora sistemele computerizate, pot fura date și chiar cripta unități întregi și le pot reține pentru răscumpărare. Cea mai recentă, cunoscută sub numele de „ransomware”, este deosebit de populară și eficientă până la sfârșitul anului. Organizațiile pot pierde accesul la datele vitale și sunt obligate să plătească sume uriașe de bitcoin hackerilor în schimbul unei parole care le poate decripta dispozitivele.

Este important să fiți mereu atenți la legături. Nu faceți clic pe linkurile din e-mailurile, mesajele sau paginile web pe care nu le recunoașteți. Răspândirea adreselor la care e-mailul este trimis sau răspuns la este frecventă. Citiți mai multe despre modul de localizare a e-mailurilor de tip phishing aici.

Pe browserele desktop, puteți trece peste un hyperlink pentru a afișa unde se duce de fapt în colțul din stânga jos al ferestrei browserului. Ferește-te de subdomeniile folosite pentru a face URL-uri să pară legitime. De exemplu, site-ul Paypal este „www.paypal.com”. Un site web de impostori poate pune „paypal” ca subdomain și ca domeniu de nivel superior cu aspect oficial, astfel încât să folosească adresa URL „paypal.official-paypal.com”.

Utilizați întotdeauna anti-malware cu scanarea în timp real și țineți-o la curent.

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me

About the author

Leave a Reply

Your email address will not be published. Required fields are marked *

9 + 1 =

Adblock
detector