Phishing je veľmi populárna taktika počítačovej kriminality, ktorú používajú aktéri hrozieb na celom svete. V priebehu rokov sa phishing diverzifikoval do rôznych typov vrátane phishingu so súhlasom. Ale ako presne funguje phishing so súhlasom a predstavuje pre vás hrozbu?
Čo je phishing so súhlasom?
Phishing so súhlasom je phishingová taktika, ktorá vyžaduje určitú úroveň overenia, aby bola úspešná. Tieto útoky zahŕňajú použitie škodlivých aplikácií, aby boli úspešné, pričom aplikácie OAuth sú obzvlášť populárnou voľbou. Poďme si prejsť príkladom phishingu na získanie súhlasu so škodlivou aplikáciou OAuth, aby sme pochopili, ako tento proces funguje.
Ako je to často v prípade phishingu vo všeobecnosti, útoky typu phishing so súhlasom začínajú e-mailom, pričom útočník tvrdí, že je oficiálnou entitou. Pretože na prístup sa používa phishing so súhlasom účty cloudového úložiska, ako príklad použijeme Google Workspace. Upozorňujeme, že účty, do ktorých už boli prihlásené, sú zacielené na phishing na získanie súhlasu.
Povedzme, že útočník pošle e-mail cieľu, ktorý tvrdí, že je zamestnancom Google. V tomto e-maile útočník oznámi cieľu, že sa musí prihlásiť do svojho účtu Google Workspace, aby mohol vykonať nejakú funkciu. Cieľovi môže byť napríklad povedané, že sa musí prihlásiť, aby si overil svoju identitu.
Útočník poskytne odkaz vo svojom e-maile, o ktorom tvrdí, že vedie na prihlasovaciu stránku Google Workspace. Ak si cieľ nie je vedomý podvodu, môže kliknúť na odkaz.
Toto je bod, v ktorom sa phishing na získanie súhlasu líši od typického phishingu poverení. V ďalšom kroku útoku aktér hrozby použije škodlivú aplikáciu hostenú legitímnym poskytovateľom na prístup k údajom obete. Keď obeť klikne na škodlivý odkaz, dostane sa na stránku povolení, kde bude požiadaná, aby poskytovateľovi udelila určitý prístup.
Pretože sa obeť domnieva, že má do činenia s legitímnou stránkou, je pravdepodobné, že tieto povolenia udelí. V tomto momente však útočníkovi bol udelený prístup k účtu Google Workspace obete.
Prečo by však útočník chcel mať prístup k účtu niekoho cloudového úložiska?
Účinky phishingu na získanie súhlasu
V hre proti počítačovej kriminalite môžu byť údaje neoceniteľné. Existujú rôzne druhy informácií, ktoré môže útočník využiť vo svoj vlastný prospech, napríklad informácie o platbe. Je však nepravdepodobné, že cloudový účet bude obsahovať takéto údaje. Aký je teda zmysel phishingu so súhlasom?
Mnoho útočníkov má tendenciu zameriavať sa na účty organizačného cloudového úložiska, aby získali prístup k firemným údajom. Takéto údaje môžu byť užitočné mnohými spôsobmi.
Po prvé, útočník môže byť schopný predávať organizačné údaje na tmavom webovom trhu. Takéto nelegálne zákutia internetu sú medzi počítačovými zločincami veľmi obľúbené, pretože predajom údajov možno dosiahnuť obrovské zisky. Kyberzločinci môžu tiež ukradnúť firemné dáta a žiadať výkupné za ich vrátenie, čo sa môže ukázať ako výnosnejšie, ako jednoduchý predaj týchto dát na temnom webe. Teda ak to neurobia aj oni...
Ako zabrániť phishingu so súhlasom
Phishing so súhlasom sa často používa skôr proti organizáciám než jednotlivcom (preto je Google Workplace dobrým príkladom; je ideálny pre firmy). Je preto dôležité, aby vedúci predstavitelia spoločností vzdelávali svojich zamestnancov o tom, ako funguje phishing so súhlasom. Mnoho ľudí vôbec nepozná phishing a červené vlajky, na ktoré by si mali dávať pozor, takže ukázať zamestnancom, ako identifikovať možný podvodný e-mail, môže byť pre bezpečnosť spoločnosti neoceniteľné.
Okrem toho môže byť užitočné mať zoznam vopred autorizovaných aplikácií, ku ktorým má daný zamestnanec prístup na svojich pracovných zariadeniach. To môže vylúčiť možnosť, že ktorýkoľvek zamestnanec nevedome udelí povolenia škodlivej aplikácii.
Prospešné môže byť aj použitie iných bezpečnostných opatrení, ako sú antispamové filtre a Dvojfaktorová autentifikácia (2FA).
Chráňte svoje údaje tým, že budete vedieť, čo hľadať
Phishing so súhlasom a phishing vo všeobecnosti môže mať zničujúce následky. Tento druh kybernetického útoku je znepokojivo účinný pri podvádzaní obetí. Existujú však spôsoby, ako zachytiť phishing so súhlasom a zastaviť ho. Prostredníctvom vzdelávania a ostražitosti môžete svoje údaje účinne chrániť a držať ich mimo dosahu zlomyseľných aktérov.
