menu
Ang Kinatibuk-ang Giya Sa Pagsabot sa Phishing Sa 2023
Mao na, unsa man phishing?
Ang phishing usa ka porma sa social engineering nga naglimbong sa mga tawo sa pagpadayag sa ilang mga password o bililhon impormasyon. Ang mga pag-atake sa phishing mahimong sa porma sa mga email, mga text message, ug mga tawag sa telepono.
Kasagaran, kini nga mga pag-atake nagpaila nga mga sikat nga serbisyo ug kompanya nga dali mailhan sa mga tawo.
Kung ang mga tiggamit mag-klik sa usa ka link sa phishing sa lawas sa usa ka email, ipadala sila sa usa ka hitsura nga bersyon sa usa ka site nga ilang gisaligan. Gihangyo sila alang sa ilang mga kredensyal sa pag-login sa kini nga punto sa phishing scam. Sa higayon nga ilang masulod ang ilang impormasyon sa peke nga website, ang tig-atake adunay ilang gikinahanglan aron ma-access ang ilang tinuod nga account.
Ang mga pag-atake sa phishing mahimong moresulta sa kinawat nga personal nga impormasyon, impormasyong pinansyal, o impormasyon sa panglawas. Kung maka-access na ang tig-atake sa usa ka account, ibaligya nila ang pag-access sa account o gamiton kana nga kasayuran aron ma-hack ang ubang mga account sa biktima.
Kung mabaligya na ang account, ang usa nga nahibal-an kung giunsa ang kita gikan sa account mopalit sa mga kredensyal sa account gikan sa ngitngit nga web, ug pahimuslan ang gikawat nga datos.
Ania ang usa ka visualization aron matabangan ka nga masabtan ang mga lakang sa pag-atake sa phishing:
Ang mga pag-atake sa phishing moabut sa lainlaing mga porma. Mahimong molihok ang phishing gikan sa usa ka tawag sa telepono, text message, email, o mensahe sa social media.
Ang mga generic nga email sa phishing mao ang labing kasagaran nga matang sa pag-atake sa phishing. Ang mga pag-atake nga sama niini kasagaran tungod kay gamay ra ang ilang paningkamot.
Ang mga hacker nagkuha ug lista sa mga email address nga nalangkit sa Paypal o mga social media account ug nagpadala ug a bulk email blast sa mga potensyal nga biktima.
Kung gi-klik sa biktima ang link sa email, kanunay nga dad-on sila sa usa ka peke nga bersyon sa usa ka sikat nga website ug gihangyo sila nga mag-log in gamit ang impormasyon sa ilang account. Sa diha nga ilang gisumite ang ilang impormasyon sa account, ang hacker adunay kung unsa ang ilang gikinahanglan aron ma-access ang ilang account.
Sa usa ka diwa, kini nga matang sa phishing sama sa pag-itsa ug pukot ngadto sa grupo sa mga isda; samtang ang ubang mga porma sa phishing mas gipunting nga mga paningkamot.
Ang spear phishing mao kung kanus-a gipuntirya sa usa ka tig-atake ang usa ka piho nga indibidwal kay sa pagpadala ug generic nga email ngadto sa grupo sa mga tawo.
Ang mga pag-atake sa spear phishing misulay sa espesipikong pagtubag sa target ug pagtakuban sa ilang kaugalingon isip usa ka tawo nga mahimong nailhan sa biktima.
Kini nga mga pag-atake mas sayon alang sa usa ka scammer kung ikaw adunay personal nga makaila nga impormasyon sa internet. Ang tig-atake makahimo sa pagsiksik kanimo ug sa imong network aron makahimo og usa ka mensahe nga may kalabutan ug makapakombinsir.
Tungod sa taas nga gidaghanon sa pag-personalize, ang mga pag-atake sa spear phishing mas lisud mailhan kung itandi sa regular nga mga pag-atake sa phishing.
Sila usab dili kaayo komon, tungod kay sila nagkinahanglan og dugang nga panahon alang sa mga kriminal sa pagbira kanila nga malampuson.
Pangutana: Unsa ang rate sa kalampusan sa usa ka spearphishing email?
Tubag: Ang mga email sa Spearphishing adunay kasagaran nga open-rate sa email 70% ug 50% sa mga nakadawat i-klik ang usa ka link sa email.
Kung itandi sa mga pag-atake sa spear phishing, ang mga pag-atake sa whaling mas gipunting.
Ang mga pag-atake sa whaling mogukod sa mga indibidwal sa usa ka organisasyon sama sa chief executive officer o chief financial officer sa usa ka kompanya.
Usa sa labing komon nga mga tumong sa pag-atake sa whaling mao ang pagmaniobra sa biktima sa pag-wire og dagkong kantidad sa salapi ngadto sa tig-atake.
Sama sa regular nga phishing nga ang pag-atake sa porma sa email, ang whaling mahimong mogamit mga logo sa kompanya ug parehas nga mga adres aron itago ang ilang kaugalingon.
Sa pipila ka mga higayon, ang tig-atake magpakaaron-ingnon nga CEO ug gamita kana nga persona aron kombinsihon ang laing empleyado sa pagpadayag sa pinansyal nga datos o pagbalhin sa salapi ngadto sa account sa mga tig-atake.
Tungod kay ang mga empleyado dili kaayo mobalibad sa usa ka hangyo gikan sa usa ka tawo nga mas taas, kini nga mga pag-atake labi ka malimbungon.
Ang mga tig-atake kanunay nga mogugol og daghang oras sa paghimo og usa ka pag-atake sa whaling tungod kay sila adunay mas maayo nga bayad.
Ang ngalan nga "whaling" nagtumong sa kamatuoran nga ang mga target adunay mas daghang pinansyal nga gahum (CEO's).
Angler phishing kay medyo bag-ong matang sa pag-atake sa phishing ug anaa sa social media.
Wala nila gisunod ang tradisyonal nga format sa email sa mga pag-atake sa phishing.
Hinuon, nagtakuban sila isip mga representante sa serbisyo sa kostumer sa mga kompanya ug gilimbongan ang mga tawo sa pagpadala kanila og impormasyon pinaagi sa direktang mga mensahe.
Usa ka kasagarang pangilad mao ang pagpadala sa mga tawo sa usa ka peke nga website sa suporta sa kustomer nga mag-download sa malware o sa lain nga mga pulong ransomware sa device sa biktima.
Ang usa ka pag-atake mao ang kung ang usa ka scammer nagtawag kanimo sa pagsulay sa pagkuha sa personal nga impormasyon gikan kanimo.
Ang mga scammer kasagaran magpakaaron-ingnon nga usa ka inila nga negosyo o organisasyon sama sa Microsoft, IRS, o bisan sa imong bangko.
Gigamit nila ang mga taktika sa kahadlok aron mapadayag nimo ang hinungdanon nga datos sa account.
Kini nagtugot kanila sa direkta o dili direkta nga access sa imong importante nga mga asoy.
Lisud ang mga pag-atake sa Vishing.
Ang mga tig-atake dali nga makasundog sa mga tawo nga imong gisaligan.
Tan-awa ang Hailbytes Founder nga si David McHale nga naghisgot kung giunsa ang mga robocall mawala sa umaabot nga teknolohiya.
Kadaghanan sa mga pag-atake sa phishing mahitabo pinaagi sa mga email, apan adunay mga paagi aron mailhan ang ilang pagkalehitimo.
Kung magbukas ka ug email susiha aron makita kung gikan ba kini sa usa ka domain sa publiko nga email (ie. @gmail.com).
Kung gikan kini sa usa ka domain sa publiko nga email, lagmit usa kini ka pag-atake sa phishing tungod kay ang mga organisasyon wala mogamit mga publiko nga domain.
Hinunoa, ang ilang mga dominyo talagsaon sa ilang negosyo (ie. Ang email domain sa Google kay @google.com).
Bisan pa, adunay labi ka labi nga pag-atake sa phishing nga naggamit usa ka talagsaon nga domain.
Mapuslanon ang paghimo sa usa ka dali nga pagpangita sa kompanya ug susihon ang pagkalehitimo niini.
Ang mga pag-atake sa phishing kanunay nga mosulay sa pagpakighigala kanimo sa usa ka nindot nga pagtimbaya o empatiya.
Pananglitan, sa akong spam dili pa lang dugay nakakita ko og email sa phishing nga adunay pagtimbaya sa "Minahal nga higala".
Nahibal-an ko na nga kini usa ka email sa phishing sama sa linya sa hilisgutan nga giingon, "MAAYONG BALITA BAHIN SA IMONG PONDO 21/06/2020".
Ang pagtan-aw sa mga tipo sa pagtimbaya kinahanglan nga dali nga pula nga mga bandila kung wala ka pa nakigsulti sa kana nga kontak.
Ang mga sulod sa usa ka phishing email importante kaayo, ug imong makita ang pipila ka talagsaon nga mga bahin nga naglangkob sa kadaghanan.
Kung ang mga sulud daw dili makatarunganon, nan lagmit nga kini usa ka scam.
Pananglitan, kung ang linya sa hilisgutan nag-ingon, "Nadaog nimo ang Lottery $1000000" ug wala ka mahinumdom sa pag-apil nan kana usa ka pula nga bandila.
Kung ang sulud makamugna usa ka pagbati sa pagkadinalian sama sa "kini nagdepende kanimo" ug kini modala sa pag-klik sa usa ka kadudahang link nan kini lagmit usa ka scam.
Ang mga email sa phishing kanunay adunay kadudahang link o file nga gilakip niini.
Usa ka maayong paagi sa pagsusi kung ang usa ka link adunay virus mao ang paggamit sa VirusTotal, usa ka website nga nagsusi sa mga file o mga link alang sa malware.
Pananglitan sa Email sa Phishing:
Sa pananglitan, gipunting sa Google nga ang email mahimong peligroso.
Giila niini nga ang sulod niini motakdo sa ubang susamang mga email sa phishing.
Kung ang usa ka email nakab-ot ang kadaghanan sa mga pamatasan sa ibabaw, nan girekomenda nga ireport kini sa reportphishing@apwg.org o phishing-report@us-cert.gov aron kini ma-block.
Kung naggamit ka sa Gmail adunay kapilian sa pagreport sa email alang sa phishing.
Bisan kung ang mga pag-atake sa phishing gitumong sa mga random nga tiggamit kanunay nila nga target ang mga empleyado sa usa ka kompanya.
Bisan pa, ang mga tig-atake dili kanunay nga nangita sa salapi sa usa ka kompanya apan ang datos niini.
Sa mga termino sa negosyo, ang datos labi ka bililhon kaysa salapi ug makadaot kini sa usa ka kompanya.
Ang mga tig-atake mahimong mogamit sa mga leaked data aron maimpluwensyahan ang publiko pinaagi sa pag-apekto sa pagsalig sa mga konsumedor ug pagdaot sa ngalan sa kompanya.
Apan dili lamang kana ang mga sangputanan nga mahimong moresulta gikan niana.
Ang uban nga mga sangputanan naglakip sa negatibo nga epekto sa pagsalig sa mamumuhunan, pagsamok sa negosyo, ug pag-aghat sa mga multa sa regulasyon ubos sa General Data Protection Regulation (GDPR).
Ang pagbansay sa imong mga empleyado aron atubangon kini nga problema girekomenda aron makunhuran ang malampuson nga pag-atake sa phishing.
Ang mga paagi sa pagbansay sa mga empleyado sa kasagaran mao ang pagpakita kanila sa mga pananglitan sa mga email sa phishing ug ang mga paagi aron makita kini.
Ang laing maayong paagi sa pagpakita sa mga empleyado sa phishing mao ang pinaagi sa simulation.
Ang mga simulation sa phishing sa kasagaran peke nga mga pag-atake nga gidisenyo aron matabangan ang mga empleyado nga mailhan mismo ang phishing nga wala’y negatibo nga epekto.
Among ipaambit karon ang mga lakang nga kinahanglan nimong buhaton aron makadagan ang malampuson nga kampanya sa phishing.
Ang phishing nagpabilin nga nag-una nga hulga sa seguridad sumala sa taho sa estado sa cybersecurity sa WIPRO 2020.
Usa sa labing kaayo nga paagi sa pagkolekta sa datos ug pag-edukar sa mga empleyado mao ang pagpadagan sa usa ka internal nga kampanya sa phishing.
Mahimong sayon ra ang paghimo og email sa phishing nga adunay plataporma sa phishing, apan adunay daghan pa niini kaysa sa pag-igo sa pagpadala.
Atong hisgutan kung giunsa pagdumala ang mga pagsulay sa phishing gamit ang mga internal nga komunikasyon.
Unya, among hisgotan kung giunsa nimo pag-analisar ug paggamit ang datos nga imong nakolekta.
Ang kampanya sa phishing dili bahin sa pagsilot sa mga tawo kung mahulog sila sa usa ka scam. Ang usa ka simulation sa phishing mahitungod sa pagtudlo sa mga empleyado unsaon pagtubag sa mga email sa phishing. Gusto nimong masiguro nga transparent ka bahin sa pagbuhat sa pagbansay sa phishing sa imong kompanya. Unaha ang pagpahibalo sa mga lider sa kompanya bahin sa imong kampanya sa phishing ug ihulagway ang mga katuyoan sa kampanya.
Human nimo ipadala ang imong una nga baseline phishing email nga pagsulay, mahimo ka nga maghimo usa ka pahibalo sa tibuuk nga kompanya sa tanan nga mga empleyado.
Usa ka importante nga aspeto sa internal nga komunikasyon mao ang pagpadayon sa mensahe nga makanunayon. Kung naghimo ka sa imong kaugalingon nga mga pagsulay sa phishing, nan maayo nga ideya nga maghimo usa ka hinimo nga brand alang sa imong materyal sa pagbansay.
Ang paghimo og usa ka ngalan alang sa imong programa makatabang sa mga empleyado nga mailhan ang imong pang-edukasyon nga sulud sa ilang inbox.
Kung naggamit ka usa ka gidumala nga serbisyo sa pagsulay sa phishing, nan lagmit masakop nila kini. Ang sulud nga pang-edukasyon kinahanglan nga himuon sa una aron adunay ka dayon nga pag-follow-up pagkahuman sa imong kampanya.
Hatagi ang imong mga empleyado og mga instruksyon ug impormasyon mahitungod sa imong internal nga phishing email protocol human sa imong baseline test.
Gusto nimong hatagan ug higayon ang imong mga kauban sa trabaho nga makatubag sa husto sa pagbansay.
Ang pagtan-aw sa gidaghanon sa mga tawo nga husto nga nakakita ug nagtaho sa email hinungdanon nga impormasyon nga makuha gikan sa pagsulay sa phishing.
Unsa man ang imong prayoridad sa imong kampanya?
Pagdugtong
Mahimo nimong sulayan nga ibase ang imong mga resulta sa gidaghanon sa mga kalampusan ug kapakyasan, apan kana nga mga numero dili kinahanglan nga makatabang kanimo sa imong katuyoan.
Kung nagpadagan ka usa ka simulation sa pagsulay sa phishing ug wala’y nag-klik sa link, nagpasabut ba kana nga malampuson ang imong pagsulay?
Ang mubo nga tubag mao ang "dili".
Ang pagbaton ug 100% nga rate sa kalampusan wala gihubad nga usa ka kalampusan.
Mahimong ipasabot nga ang imong pagsulay sa phishing sayon ra kaayo nga makita.
Sa laing bahin, kung nakakuha ka usa ka grabe nga rate sa kapakyasan sa imong pagsulay sa phishing, mahimo’g magkalainlain ang kahulugan niini.
Mahimong ipasabot nga ang imong mga empleyado dili pa makakita sa mga pag-atake sa phishing.
Kung nakakuha ka usa ka taas nga rate sa mga pag-klik alang sa imong kampanya, adunay usa ka maayong higayon nga kinahanglan nimo nga ipaubos ang kalisud sa imong mga email sa phishing.
Paggahin og dugang nga panahon sa pagbansay sa mga tawo sa ilang kasamtangan nga lebel.
Sa katapusan gusto nimong pakunhuran ang rate sa mga pag-klik sa link sa phishing.
Mahimong naghunahuna ka kung unsa ang maayo o dili maayo nga rate sa pag-klik sa usa ka simulation sa phishing.
Sumala sa sans.org, ang imong Ang una nga simulation sa phishing mahimong makahatag usa ka average nga rate sa pag-klik nga 25-30%.
Morag taas kaayo kana nga numero.
Suwerte, ilang gitaho kana pagkahuman sa 9-18 ka bulan nga pagbansay sa phishing, ang rate sa pag-klik alang sa pagsulay sa phishing ubos sa 5%.
Kini nga mga numero makatabang ingon usa ka kasarangan nga pagbanabana sa imong gitinguha nga mga resulta gikan sa pagbansay sa phishing.
Aron masugdan ang imong unang phishing email simulation, siguroha nga i-whitelist ang IP address sa testing tool.
Kini nagsiguro nga ang mga empleyado makadawat sa email.
Sa paghimo sa imong una nga simulate nga phishing nga email ayaw paghimo niini nga sayon o lisud kaayo.
Kinahanglan usab nimong hinumdoman ang imong mamiminaw.
Kung ang imong mga kauban sa trabaho dili bug-at nga tiggamit sa social media, nan tingali dili maayo nga ideya nga mogamit usa ka peke nga LinkedIn password reset phishing email. Ang tester email kinahanglan adunay igo nga lapad nga pag-apelar nga ang tanan sa imong kompanya adunay hinungdan sa pag-klik.
Ang pipila ka mga pananglitan sa mga email sa phishing nga adunay lapad nga pag-apelar mahimong:
Hinumdumi lang ang sikolohiya kung giunsa pagkuha ang mensahe sa imong mamiminaw sa wala pa maigo ang ipadala.
Padayon sa pagpadala sa mga email sa pagbansay sa phishing sa imong mga empleyado. Siguruha nga hinayhinay nimo nga gipadaghan ang kalisud sa paglabay sa panahon aron madugangan ang lebel sa kahanas sa mga tawo.
Girekomenda nga buhaton ang binulan nga pagpadala sa email. Kung kanunay nimo nga "phish" ang imong organisasyon, lagmit dali ra kaayo sila makadakop.
Pagdakop sa imong mga empleyado, ang usa ka gamay nga off-guard mao ang pinakamaayong paagi aron makakuha og mas realistiko nga mga resulta.
Kung magpadala ka sa parehas nga klase sa "phishing" nga mga email matag higayon, dili nimo tudloan ang imong mga empleyado kung giunsa ang reaksyon sa lainlaing mga scam.
Mahimo nimong sulayan ang daghang lainlaing mga anggulo lakip ang:
Samtang nagpadala ka og bag-ong mga kampanya, siguruha kanunay nga imong giayo ang kahinungdanon sa mensahe sa imong mamiminaw.
Kung magpadala ka ug email nga phishing nga wala’y kalabutan sa usa ka butang nga interesado, mahimo nga dili ka makadawat daghang tubag gikan sa imong kampanya.
Human ipadala ang lain-laing mga kampanya sa imong mga empleyado, i-refresh ang pipila sa mga daan nga kampanya nga naglimbong sa mga tawo sa unang higayon ug paghimo og bag-ong spin sa maong kampanya.
Mahimo nimong isulti ang pagkaepektibo sa imong pagbansay kung makita nimo nga ang mga tawo nagkat-on ug nag-uswag.
Gikan didto mahibal-an nimo kung kinahanglan nila ang dugang nga edukasyon kung giunsa makit-an ang usa ka piho nga klase sa email sa phishing.
Adunay 3 ka hinungdan sa pagtino kung maghimo ka ba sa imong kaugalingon nga programa sa pagbansay sa phishing o i-outsource ang programa.
Kung ikaw usa ka inhenyero sa seguridad o adunay usa sa imong kompanya, dali ka nga makahimo og usa ka server sa phishing gamit ang usa ka nauna nga platform sa phishing aron mahimo ang imong mga kampanya.
Kung wala kay bisan unsang mga inhenyero sa seguridad, ang paghimo sa imong kaugalingon nga programa sa phishing mahimong wala’y pangutana.
Mahimong adunay usa ka engineer sa seguridad sa imong organisasyon, apan dili sila makasinati sa social engineering o mga pagsulay sa phishing.
Kung ikaw adunay usa ka tawo nga eksperyensiyado, nan sila igo nga kasaligan sa paghimo sa ilang kaugalingon nga programa sa phishing.
Kini usa ka dako nga hinungdan alang sa gagmay hangtod sa tungatunga nga kadako nga mga kompanya.
Kung gamay ra ang imong team, mahimong dili kombenyente ang pagdugang og laing buluhaton sa imong security team.
Mas sayon nga adunay lain nga eksperyensiyado nga team nga mobuhat sa trabaho alang kanimo.
Nabasa nimo kining tibuok nga giya aron mahibal-an kung unsaon nimo pagbansay ang imong mga empleyado ug andam ka nga magsugod sa pagpanalipod sa imong organisasyon pinaagi sa pagbansay sa phishing.
Unsa karon?
Kung ikaw usa ka security engineer ug gusto nga magsugod sa pagpadagan sa imong una nga mga kampanya sa phishing karon, adto dinhi para makat-on ug dugang bahin sa usa ka phishing simulation tool nga imong magamit para makasugod karon.
O…
Kung interesado ka nga makat-on bahin sa gidumala nga mga serbisyo sa pagpadagan sa mga kampanya sa phishing alang kanimo, pagkat-on og dugang dinhi mismo kon unsaon nimo pagsugod sa imong libreng pagsulay sa pagbansay sa phishing.
Gamita ang checklist aron mahibal-an ang dili kasagaran nga mga email ug kung sila phishing dayon i-report kini.
Bisan kung adunay mga filter sa phishing nga makapanalipod kanimo, dili kini 100%.
Ang mga email sa phishing kanunay nga nag-uswag ug dili gyud parehas.
Sa panalipdan ang imong kompanya gikan sa mga pag-atake sa phishing mahimo nimong maapil mga simulation sa phishing aron makunhuran ang kahigayonan sa malampusong pag-atake sa phishing.
Kami nanghinaut nga igo ka nga nakakat-on gikan niini nga giya aron mahibal-an kung unsa ang imong kinahanglan nga buhaton aron makunhuran ang imong kahigayonan sa pag-atake sa phishing sa imong negosyo.
Palihug pagbilin ug komento kung aduna kay pangutana para kanamo o kung gusto nimong ipaambit ang bisan unsa sa imong kahibalo o kasinatian sa mga kampanya sa phishing.
Ayaw kalimti nga ipaambit kini nga giya ug ipakaylap ang pulong!
Hailbytes
9511 Queens Guard Ct.
Laurel, MD 20723
Phone: (732) 771-9995
Email: info@hailbytes.com
