Hva er phishing som en tjeneste, og hvordan fungerer det?

Phishing er en kraftig teknikk for å få folk til å avsløre informasjon. Angriperen sender ut en e-post som ser ut til å være fra en legitim kilde, for eksempel en bank. Offeret klikker på den koblingen, prøver å logge på kontoen sin, og påloggingsdetaljene blir stjålet.

Suksessen til en phishing-kampanje er avhengig av hvor realistisk den er. Dette krever en kompetanse som mange nettkriminelle ikke har, og dette pleide å være en betydelig adgangsbarriere. Men phishing as a Service endrer det.

Så hva er phishing som en tjeneste?

Hva er phishing som en tjeneste?

Phishing as a Service (PaaS) er en del av en trend der nettkriminelle blir tjenesteleverandører. I stedet for å utføre nettangrep på egen hånd, hjelper de andre med å utføre angrep mot et gebyr.

Den er basert på Software as a Service-forretningsmodellen der kunder gis tilgang til programvare mot en månedlig avgift.

Dette gir nettkriminelle en ny inntektsstrøm, og det lar hvem som helst utføre mer profesjonelle angrep.

Hvordan fungerer PaaS?

PaaS-leverandører annonserer produktene sine som phishing-sett. De selges hovedsakelig på det mørke nettet, men noen phishing-sett er nå tilgjengelig på overflatenettet (dvs. det vanlige internett).

Et phishing-sett inneholder alt som kreves for å starte en vellykket phishing-angrep. De inkluderer e-postmaler for å sende e-poster som ser ut til å komme fra legitime selskaper, samt maler for nettsteder å sende ofre til. Noen phishing-sett inkluderer også lister over potensielle mål.

Fordi phishing-sett er rettet mot de uten tekniske ferdigheter, inkluderer de også ofte detaljerte instruksjoner og kundestøtte.

Phishing-sett annonseres som produkter som lar hvem som helst tjene penger på å utføre phishing-angrep uavhengig av deres ferdigheter. Dette er en populær tjeneste for de som ønsker å engasjere seg i nettkriminalitet, men mangler den nødvendige kunnskapen.

Hva skjer med de stjålne legitimasjonene?

Etter at et offers legitimasjon er stjålet, er det en rekke muligheter. Angriperen kan bruke legitimasjonen selv. Hvis det er en finanskonto, kan de forsøke å overføre penger. Eller hvis det er tilgang til et nettverk, kan de bruke den tilgangen til å starte et løsepenge-angrep.

Legitimasjon kan også selges videre på det mørke nettet. Dette gjør at noen kan tjene på stjålne legitimasjon selv om de faktisk ikke har bruk for dem.

Noen phishing-sett er også laget for å beholde en kopi av eventuell legitimasjon og sende dem til phishing-sett-utgiveren. Dette gir ytterligere potensielle inntekter for phishing kit-utgiveren. Det betyr også at legitimasjon ofte selges videre på det mørke nettet selv om personen som stjal dem hadde andre intensjoner.

Hvorfor er PaaS et problem?

PaaS er et problem fordi det fjerner adgangsbarrieren til phishing. Normalt vil en nettkriminell måtte forstå HTML for å lage en effektiv e-post. De må også forstå hvordan man bygger et nettsted som både virker realistisk og stjeler passord. Hvis noen kjøper et phishing-sett, trenger de ikke disse ferdighetene for å utføre et angrep.

PaaS gjør folk som allerede utfører phishing-angrep mer vellykkede. Suksessen til en kampanje er ofte begrenset av gjerningspersonenes evner. Hvis denne personen betaler for et phishing-sett, er det sannsynlig at flere mennesker vil falle for angrepene deres.

PaaS gjør også rettsforfølgelse av phishing-angrep vanskeligere.

Det lar folk som er flinke til å designe phishing-sett tjene på aktiviteten uten å utføre phishing-angrep selv. Hvis personen som bruker et phishing-sett blir tatt, vil sannsynligvis personen som leverte phishing-settet unngå straffeforfølgelse. De kan da fortsette å selge til andre.

Hvem er målrettet av phishing?

Phishing-angrep utføres både mot bedrifter og privatpersoner. Hvis en privatperson er målrettet, kan påloggingsinformasjonen for deres økonomiske og personlige kontoer bli stjålet.

Et vellykket phishing-angrep på en bedrift kan resultere i andre cyberangrep. Hvis angriperen stjeler legitimasjonen til et nettverk, kan den private informasjonen til kundene bli stjålet eller løsepengeprogramvare kan installeres.

Slik unngår du phishing

Mens PaaS gjør phishing-angrep vanskeligere å oppdage, kan de fortsatt unngås hvis du forstår hva du skal se etter.

Sjekk avsenderen

Phishing-e-poster er avhengige av at mottakeren ikke ser riktig på avsenderens navn. Avsenderen kan bruke e-postforfalskning for å fremstå som legitim, men det er umulig å unngå mindre stavevariasjoner.

Se etter formateringsfeil

PaaS-produkter inkluderer ofte svært realistiske e-poster, men de er fortsatt ikke så profesjonelle som ekte vare. Se etter feil i både formatering og språk som brukes.

Uansett hvem avsenderen er, bør du aldri klikk på en lenke i en e-post. Du bør heller aldri laste ned et e-postvedlegg med mindre du er sikker på hva det inneholder.

Vær på vakt mot informasjonsforespørsler

Alle phishing-e-poster ber deg om å gjøre noe. Du bør være mistenksom overfor alle e-poster som ber deg om å oppgi informasjon eller logge på en konto.

Bedrifter bør lære opp ansatte

Phishing-angrep mot bedrifter er først og fremst rettet mot ansatte. For å dempe denne trusselen, må alle ansatte opplæres deretter.

Bedrifter kan bruke anti-phishing-programvare

Programvare er allment tilgjengelig for å oppdage phishing-e-poster og hindre dem i å nå ansattes innbokser. Selv om denne programvaren ikke er et tilstrekkelig alternativ til opplæring av ansatte, kan den redusere størrelsen på trusselen som ansatte står overfor.

PaaS gjør phishing til en større trussel

Phishing er en betydelig trussel for både privatpersoner og bedrifter. Det fører til kontohack på enkeltpersoner og nettverksinntrenging i bedrifter. PaaS legger til denne trusselen ved å la hvem som helst utføre slike angrep uavhengig av deres ferdigheter.

Innføringen av PaaS øker ikke bare phishing-frekvensen, men gjør også hvert angrep potensielt mer effektivt. Mens phishing-e-poster ofte er åpenbare, kan alle som bruker et betalt for phishing-sett være i stand til å stjele langt mer legitimasjon.

Kan Netflix-kontoen din bli hacket?

Les Neste