Ֆիշինգ (անգլ.՝ phishing[1]), կիբեռհանցագործության տեսակ, որի նպատակն է ստանալ որևէ սոցիալական կայքի օգտատիրոջ գաղտնի տվյալները, ծածկագիրը և ծածկանունը։ Սա կատարվում է զանգվածային  էլեկտրոնային սպամ նամակների միջոցով, որոնք հասցեատիրոջը հասնում են հայտնի բրենդների անունից, ինչպես նաև տարբեր ծառայությունների վերաբերյալ անձնական նամակներ, օրինակ բանկի կամ սոցիալական ցանցերի կողմից։ Նամակը հաճախ պարունակում է ուղղակի կայքի հղումը, որը արտաքնապես չի տարբերվում իրական նույն կայքից։ Այն բանից հետո, երբ  հաղորդագրության օգտատերը ստանում է կեղծ էջը, խաբեբաները (հաքերները) տարբեր հոգեբանական հնարքներով փորձում են դրդել օգտատիրոջը մուտք գործել կեղծ էջ՝ իրենց իրական մուտքանունը և գաղտնաբառը լրացնելով, որը հաքերներին թույլ է տալիս մուտք գործել դեպի օգտատիրոջ բանկային հաշիվ կամ ակաունտ։

Ֆիշինգի տիպիկ օրինակ։ Այս նամակում նշված բանկը գոյություն չունի։

Իբրևագրոհը սոցիալական ինժեներիայի տարատեսակներից մեկն է, որը հիմնված է ցանցային անվտանգության հիմնադրույթների չիմացության վրա. օրինակ՝ շատերը չգիտեն, որ որևէ ընկերություն կամ կազմակերպություն երբեք չի ուղարկում հաղորդագրություն, որում տեղեկություն է խնդրում ձեր անձնական տվյալների, ծածկագրի կամ այլնի վերաբերյալ։

Ֆիշինգից պաշտպանվելու համար հիմնական ինտերնետ-դիտարկիչները պայմանավորվել են նույնական միջոցների կիրառման մասին, օգտատերերին իրազեկելով, որ բացվել է ոչ պաշտոնական հաքերային կայք, որը կարող է պատկանել խարդախներին։ Նորագույն բրաուզերները արդեն ունեն նմանատիպ հնարավորություն, որը համապատասխանաբար կոչվում է «անտիֆիշինգ»։

Պատմություն Խմբագրել

Ֆիշինգի տեխնիկան մանրամասնորեն նկարագրվել է 1987 թվականին, իսկ ինքը եզրույթը հայտնվել է 1996 թվականի հունվարի 2-ին, Usenet ցանցի alt.online-service.America-Online նորությունների խմբում[2][3], թեև հնարավոր է, որ այն հիշատակված լինի հաքերային «2600: The Hacker Quarterly» ամսագրում[4]։

Վաղ ֆիշինգը Էյ-Օու-Էլ-ում Խմբագրել

AOL-ում կատարված ֆիշինգը սերտորեն կապված է հեղինակային իրավունք խախտող ծրագրային ապահովումների, խարդախությունների, վարկային քարտերի և այլ ցանցային հանցագործությունների հետ[5]։

Ֆիշինգիստները ներկայացել են որպես AOL-ի աշխատակիցներ և ակնթարթային հաղորդագրությունների ծրագրերով դիմել իրենց հավանական զոհին՝ փորձելով իմանալ նրա գաղտնաբառը։ Որպեսզի համոզեն, զոհին օգտագործել են այնպիսի արտահայտություններ, ինչպիսիք են «ակաունտի հաստատում», վճարման տեղեկատվության հաստատում։ Երբ զոհը ասել է իր գաղտնաբառը, խաբեբաները մուտք են գործել նրա տվյալներ և նրա ակաունտը օգտագործել են խարդախ նպատակներով և փոստաղբ ուղարկելու նպատակներով։ Ֆիշինգը հասել է այնպիսի չափերի, որ Էյ-Օու-Էլ-ը իր բոլոր հաղորդագրություններում ավելացրել է հետևյալ արտահայտությունը. «AOL-ի որևէ աշխատակից երբեք չի խնդրի Ձեր գաղտնաբառը և վճարային տեղեկատվությունը»:

1997 թվականից հետո AOL-ը խստացրել է իր քաղաքականությունը ֆիշինգի հետ և մշակել է կեղծ հաշիվների վերացման համակարգ։ Այդ նույն ժամանակ շատ ֆիշինգիստներ, որոնց մեծ մասը հիմնականում պատանիներ էին, այլևս չեն փորձել որևէ խարդախություն կատարել AOL-ի նկատմամբ, և AOL-ի սերվերներում ֆիշինգը աստիճանաբար անհետացավ[6]։

Անցումը ֆինանսական հաստատությունների Խմբագրել

AOL-ի հաշիվները գողանալավ՝ ֆիշինգիստները մուտքի հնարավորություն ստացան դեպի վարկային քարտեր՝ ցույց տալով, որ վճարման համակարգը և դրանց օգտատերերը նույնպես շատ խոցելի են։ Առաջին լայնամասշտաբ փորձը եղել է 2001 թվականի հունիսին e-gold վճարման համակարգի վրա, հաջորդ լայնամասշտաբ հարձակումը եղել է e-gold վճարման համակարգի վրա հարձակվելուց անմիջապես հետո՝ սեպտեմբերի 11-ին[7]։

Այդ առաջին փորձերը միայն փորձարկում էին։ Իսկ արդեն 2004 թվականին ֆիշինգը դարձավ մեծ վտանգ ընկերությունների համար, և այդ ժամանակից այն մշտապես զարգանում է, և մեծացնում իր պոտենցիալը։

Ֆիշինգն այսօր Խմբագրել

Այսօր ֆիշինգիստների նշանակետը համարվում են բանկերի հաճախորդները և էլեկտրոնային վճարման համակարգերը[8]։ ԱՄՆ-ում թաքնվելով Ներքին գործերի նախարարության անվան տակ, ֆիշինգիստները հավաքել էին զգալի տվյալներ հարկ վճարողների վերաբերյալ[9]։ Եթե առաջ հաղորդագրությունները ուղարկվում էին պատահականորեն, այն հույսով, որ դրանք կհասնեն իրենց ցանկալի հաճախորդին, իսկ հիմա կիբեռհանցագործը կարող է որոշել ինչ ծառայությունից է օգտվում զոհը, և ուղարկել նպատակաուղղված կեղծ հաղորդագրություն[10]։ Վերջին ֆիշինգային հարձակումները հիմնականում ուղղաված են եղել ուղղակիորեն ղեկավարների և այլ մարդկանց, ընկերություններում բարձր պաշտոն զբաղեցնողների վրա։

Սոցիալական ցանցերը ֆիշինգիստների կողմից արժանանում են մեծ հետաքրքրության, որոնք թույլ են տալիս ձեռք բերել օգտատերերի գաղտնի տվյալներ. 2006 թվականին ֆիշինգիստները տարբեր կեղծ արտաքին հղումներ են տեղադրել MySpace միջազգային կայքում, որպեսզի կարողանան գողանալ կայքի օգտատերերի գաղտնի տվյալները[11]։ 2008 թվականին խոշոր հարձակում է իրականացվել ռուսական հայտնի ՎԿ սոցիալական ցանցի վրա[12][13]։

 
Ֆիշինգային դեպքերի աճի գրաֆիկը

Մասնագետների գնահատմամբ, սոցիալական ցանցերում ֆիշինգային հարձակումների ավելի քան 70%-ը հաջող է անցել[14]։

Ֆիշինգը արագորեն թափ է հավաքում, իսկ վնասի գնահատման միավորները խիստ տարբերվում են. Ըստ Gartner ընկերության տվյալների, 2004 թվականին իբրևագրոհների պատճառով կորցրել են 2,4 միլիարդ ԱՄՆ դոլար[15], 2006 թվականին վնասը կազմել է 2,8 միլիարդ դոլար, 2007 թվականին 3,2 միլիարդ[16]. միայն Միացյալ Նահանգներում 2004 թվականին ֆիշինգի զոհ է դարձել 3,5 միլիոն մարդ[17], 2008 թվականին ֆիշինգից տուժածների թիվը ԱՄՆ-ում հասել է 5 միլիոնի[18]։

Ֆիշինգի տեխնիկա Խմբագրել

Սոցիալական ինժեներիա Խմբագրել

Մարդը միշտ էլ արձանագրում է իր համար կարևոր իրադարձությունները։ Դրա համար կիբերհանցագործները փորձում են իրենց գործողություններով գայթակղել իրենց զոհին, և ստանալ նրա անհապահ արձագանքը։ Որպես օրինակ, էլեկտրոնային նամակը հետևյալ վերնագրով «որպեսզի վերականգնենք ձեր բանկային հաշիվը…», որպես կանոն գրավում են զոհի ուշադրությունը և ստիպում են մարդուն ավելի շատ տեղեկություններ ստանալու համար, մուտք գործի կեղծ վեբ հղումներով։

Վեբ-հղումներ Խմբագրել

Ֆիշինգի մեթոդներում մեծամասնություն է կազմուն կեղծ վեբ հղումները։ Տպագրական սխալներով հաղորդագրությունները հաճախ օգտագործում են խաբեբաները։ Օրինակ՝ https://www.yourbank.example.am/ հասցեն նման է Yourbank բանկի հասցեին, իսկ իրականում այն ֆիշինգիստների կայք է։ Մյուս տարածված հնարքը արտաքնապես ճիշտ հղումներն են։ Օրինակ՝ https://hy.wikipedia.org/wiki/Ճշմարտություն կտանի ոչ թե «Ճշմարտություն» հոդվածը, այլ կտանի «Սուտ» հոդվածը։

Հին մեթոդներից է հղումներում պարունակվող «@» խորհրդանիշը, որը կիրառում են օգտագործողի ծածկանունը և գաղտնաբառը ստանալու համար[19]։ Օրինակ՝ http://www.google.com@members.tripod.com/ հղումը կտանի ոչ թե www.google.com կայքը, այլ members.tripod.com կայքը www.google.com-ի անունից։ Այս գործողությունը Internet Explorer[20] դիտարկիչում կասեցվել է, իսկ Mozilla Firefox-ում[21] և Opera-ում առաջարկում է հաստատել անցումը դեպի կայք։

Մեկ այլ խնդիր է հայտնաբերվել բրաուզերների Միջազգային դոմենային անունների թարմացման ժամանակ. Հասցեները, տեսողական առումով նման են պաշտոնական կայքին, որը կարող է տանել կեղծ կայքի էջ։

Շրջանցելով զտիչներ Խմբագրել

Հաճախ ֆիշինգիստները տեքստի փոխարեն օգտագործում են պատկերներ, որը ավելի է դժվարեցնում կեղծ էլեկտրոնային նամակների բացահայտումը «անտիֆիշինգ» զտիչի միջոցով[22]։ Սակայն մասնագետները սովորել են պայքարել նաև այդ տեսակի ֆիշինգի դեմ[23]։ Փոստային ծրագրերի զտիչները ավտոմատ կերպով արգելափակում են պատկերները, չմտնելով ուղարկված հասցեով։ Միևնույն ժամանակ հայտնվել են տեխնոլոգիաներ, որոնք կարող են մշակել և համեմատել վիրուսային պատկերները նման պատկերների հետ, որոնք կարող են օգտագործվել սպամի և ֆիշինգի համար[24]։

Վեբ-կայքեր Խմբագրել

Խաբեությունը չի վերջանում միայն զոհի կեղծ կայք մուտք գործելով։ Որոշ ֆիշինգիստներ օգտագործում են JavaScript հասցեի տողը փոխելու նպատակով[25]։ Սա կատարվում է պատկերների կեղծ URL հասցեներում կամ փակելով իրական հասցեի տողը և բացելով նոր կեղծ URL հասցե[26]։ Դիմակայելու համար անտիֆիշինգային սկաներները սկսել են օգտագործել այնպիսի վեբ-կայքեր, որոնք հիմնված են Adobe Flash տեխնոլոգիայի վրա[27] Արտաքնապես նման կայքը կարծես իրական լինի, սակայն տեքստը թաքնված է մուլտիմեդիա օբյեկտներում։

Նոր  վտանգներ Խմբագրել

Կեղծ վեբ կայքերը դարձել են ֆիշինգի  բազմաթիվ ուղղություններից մեկը։ Նամակները որոնք, կիբերհանցագործները իրական բանկի անունից ուղարկում են հասցեատիրոջը, օգտվողներին կարող են հնարավորություն ընձեռնել, որպեսզի նրանք տեղեկատվություն ստանալու համար զանգահարեն իրենց[28]։ Այս տեխնիկան կոչվում է վիշինգ (ձայնային ֆիշինգը)[29][30]։ Զանգահարելով նշված համարով օգտվողը լսում է ինքնապատասխանիչի հրահանգները, որոնք հետզհետե տանում են նրան, որ օգտատերը  մուտք գործի իր հաշիվը և մուտքագրի PIN-կոդը։ Հենց իրենք վիշերները կարող են զանգահարել զոհին, համոզել նրան, որ ինքը տվյալ կազմակերպության կամ ընկերության  պաշտոնական ղեկավարներից է։ Ի վերջո մարդուն համոզում են տեղեկացնել իր ակաունտի տվյալները[31]։

Նաև մեծ թափ է հավաքել սմս-ֆիշինգը, որը նաև հայտնի է սմիշինգ (англ. SMiShing - «SMS» և «ֆիշինգ» բառերից)[32]։ Խաբեբաները ուղարկում են էլեկտրոնային հաղորդագրություններ, որոնք պարունակում են ֆիշինգային «կեղծ» կայքի հղում, մտնելով տվյալ կայքի հղումով, զոհը մուտքագրում է իր անձնական տվյալները[33]։ Հաղորդագրության մեջ նաև ասվում է, որ անհրաժեշտության դեպքում զանգահարել խաբեբաներին առաջացած «խնդիրները» լուծելու համար[34]։

Պայքար ֆիշինգի դեմ Խմբագրել

Գոյություն ունեն ֆիշինգի դեմ պայքարի տարբեր միջոցներ, ներառյալ՝ օրենսդրական միջոցներ և հատուկ ստեղծված պաշտպանիչ կայքեր։

Օգտատերերի ուսուցում Խմբագրել

Ֆիշինգի դեմ պայքարը կայանում է նրանում, որ մարդկանց պետք է սովորեցնել տարբերակել ֆիշինգը նրա դեմ պայքարից։ Մարդիկ կարող են  նվազեցնել խաբվելու վտանգը, մի քիչ փոխելով իրենց վարքագիծը[35]։

Գրեթե բոլոր վավերական հաղորդագրությունները  իրենց մեջ պարունակում են մի հիշատակում, որը անհասանելի է ֆիշինգիստներին։ Ոմանք, օրինակ, PayPal-ը միշտ դիմում է իր հասցեատերերին անուններով, իսկ ընդհանուր ուղերձում գրում են «PayPal-ի հարգելի հաճախորդ» կարող է դիտարկվել որպես ֆիշինգային փորձ[36]։

Վարկային կազմակերպությունների և բանկերի նամակները իրենց մեջ հաճախ պարունակում են հաշվեհամարների մի մասը։ 

Անտիֆիշինգային աշխատանքների խումբը, գտնում է, որ  ֆիշինգի սովորական մեթոդները շուտով կդառնան ոչ այնքան կիրառելի[37]։

Տեխնիկական մեթոդներ Խմբագրել

Դիտարկիչները նախազգուշական վտանգի մասին Խմբագրել

Ֆիշինգի  պայքարի դեմ այլ ուղղություններից  է ֆիշինգային կայքերի ցուցակի ստեղծումը։ Նման համակարգեր գոյություն ունեն Internet Explorer, Mozilla Firefox, Google Chrome, Safari և Opera[38][39][40][41]։ 

Firefox-ը օգտագործում է Google-ի անտիֆիշինգային  համակարգը։  Opera օգտագործում է PhishTank և GeoTrust  սև ցուցակները[42]։  

2006  թվականին հայտնվել է հատուկ DNS-սերվերները[43]։ 

Տես նաև Խմբագրել

Ծանոթագրություններ Խմբագրել

  1. Mark Liberman։ «Phishing» (անգլերեն)։ Արխիվացված է օրիգինալից 2011-08-23-ին։ Վերցված է 2009-09-04 
  2. Cave Paintings։ «Phishing» (անգլերեն)։ Արխիվացված է օրիգինալից 2011-08-23-ին։ Վերցված է 2008-11-21 
  3. «Usenet» (անգլերեն)։ Վերցված է 2008-11-21 
  4. «The Phishing Guide» (անգլերեն)։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2008-11-21 
  5. «phishing» (անգլերեն)։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2008-11-21 
  6. «History of AOL Warez» (անգլերեն)։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2008-11-21 
  7. «GP4.3 — Growth and Fraud — Case #3 — Phishing» (անգլերեն)։ Վերցված է 2008-11-21 
  8. «МВД по Республике Коми настоятельно рекомендует гражданам не перезванивать на номера телефонов, указанных в смс-сообщениях о блокировке банковской карты»։ Արխիվացված է օրիգինալից 2016-03-04-ին։ Վերցված է 2017-09-06 
  9. «Suspicious e-Mails and Identity Theft» (անգլերեն)։ Internal Revenue System։ Արխիվացված օրիգինալից 2011-01-31-ին։ Վերցված է 2008-11-21 
  10. Markus Jakobsson, Tom N. Jagatic, Sid Stamm։ «Phishing for Clues» (անգլերեն)։ Արխիվացված է օրիգինալից 2010-03-10-ին։ Վերցված է 2008-11-21 
  11. «MySpace XSS QuickTime Worm» (անգլերեն)։ Վերցված է 2008-11-21 
  12. «Пользователи сайта "В Контакте.Ру" стали жертвами компьютерного вируса»։ ՌԻԱ Նովոստի։ Արխիվացված օրիգինալից 2011-01-31-ին։ Վերցված է 2008-11-21 
  13. «В контакте с вирусом»։ Коммерсантъ։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2008-11-21 
  14. Tom Jagatic, Nathaniel Johnson, Markus Jakobsson, Filippo Menczer։ «Social Phishing» (անգլերեն)։ Արխիվացված օրիգինալից 2011-01-31-ին։ Վերցված է 2008-11-21 
  15. Эльвира Кошкина։ «В США подсчитали ущерб от фишинга»։ Компьюлента։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-08-24 
  16. «Дебетовые карты стали самой популярной мишенью для мошенников»։ Bankir.Ru։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-08-24 
  17. «К концу 2006 г. ущерб от фишеров составит $2,8 млрд»։ InformationSecurity։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-08-24 
  18. «Количество фишинг-атак возросло на 40%»։ Astera։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-08-24 
  19. Berners-Lee, Tim։ «Uniform Resource Locators (URL)»։ IETF Network Working Group։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2006-01-28 
  20. Microsoft։ «A security update is available that modifies the default behavior of Internet Explorer for handling user information in HTTP and in HTTPS URLs»։ Microsoft Knowledgebase։ Արխիվացված օրիգինալից 2011-01-31-ին։ Վերցված է 2005-08-28 
  21. Fisher, Darin։ «Warn when HTTP URL auth information isn't necessary or when it's provided»։ Bugzilla։ Վերցված է 2005-08-28 
  22. Mutton, Paul։ «Fraudsters seek to make phishing sites undetectable by content filters»։ Netcraft։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2006-07-10 
  23. «Предотвратите попадание нежелательной почты в папку «Входящие»»։ Microsoft։ 26 января 2007։ Արխիվացված օրիգինալից 2011-01-31-ին։ Վերցված է 2009-09-27 
  24. «Kaspersky Hosted Email Security»։ Лаборатория Касперского։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-09-27 
  25. Mutton, Paul։ «Phishing Web Site Methods»։ FraudWatch International։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2006-12-14 
  26. «Phishing con hijacks browser bar»։ BBC News։ 8 апреля 2004 
  27. Miller, Rich։ «Phishing Attacks Continue to Grow in Sophistication»։ Netcraft։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2007-12-19 
  28. Gonsalves Antone (April 25, 2006)։ «Phishers Snare Victims With VoIP»։ Techweb։ Արխիվացված է օրիգինալից March 28, 2007-ին։ Վերցված է September 6, 2017 
  29. «Identity thieves take advantage of VoIP»։ Silicon.com։ 23 мая 2005 
  30. «New phishing scam uses fake caller ID numbers» (անգլերեն)։ scambusters.org։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-09-06 
  31. Charles H Green։ «Phishing and Financial Misdeeds: Trust Caller ID, Become a Crime Victim!» (անգլերեն)։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-09-06 
  32. Andrew R. Hickey։ «SMS phishing is here» (անգլերեն)։ SearchMobileComputing.com։ Արխիվացված է օրիգինալից 2011-08-23-ին։ Վերցված է 2009-09-06 
  33. «What are vishing, caller ID spoofing and SMS phishing scams?» (անգլերեն)։ Արխիվացված է օրիգինալից 2011-08-23-ին։ Վերցված է 2011-01-31 
  34. «Text message (SMS) phishing» (անգլերեն)։ Արխիվացված օրիգինալից 2011-01-31-ին։ Վերցված է 2009-09-06 
  35. Ponnurangam Kumaraguru, Yong Woo Rhee, Alessandro Acquisti, Lorrie Cranor, Jason Hong and Elizabeth Nunge (ноябрь 2006)։ «Protecting People from Phishing: The Design and Evaluation of an Embedded Training Email System» (PDF)։ Technical Report CMU-CyLab-06-017, CyLab, Carnegie Mellon University.։ Արխիվացված է օրիգինալից 2011-08-23-ին։ Վերցված է 2006-11-14 
  36. «Protect Yourself from Fraudulent Emails»։ PayPal։ Արխիվացված է օրիգինալից 2011-04-06-ին։ Վերցված է 2006-07-07 
  37. Kawamoto Dawn։ «Faced with a rise in so-called pharming and crimeware attacks, the Anti-Phishing Working Group will expand its charter to include these emerging threats.»։ CNet։ Արխիվացված օրիգինալից 2011-08-23-ին։ Վերցված է 2011-01-31 
  38. Franco, Rob։ «Better Website Identification and Extended Validation Certificates in IE7 and Other Browsers»։ IEBlog։ Արխիվացված օրիգինալից 2011-08-23-ին։ Վերցված է 2009-02-02 
  39. «Bon Echo Anti-Phishing»։ Mozilla։ Արխիվացված է օրիգինալից 2011-08-23-ին։ Վերցված է 2009-02-02 
  40. «Safari 3.2 finally gains phishing protection»։ Ars Technica։ 13 ноября 2008։ Արխիվացված օրիգինալից 2011-08-23-ին։ Վերցված է 2009-02-02 
  41. «Gone Phishing: Evaluating Anti-Phishing Tools for Windows»։ 3Sharp։ 27 сентября 2006։ Արխիվացված է օրիգինալից 2008-01-14-ին։ Վերցված է 2009-02-02 
  42. «Firefox 2 Phishing Protection Effectiveness Testing»։ Արխիվացված է օրիգինալից 2011-01-31-ին։ Վերցված է 2009-02-02 
  43. Higgins, Kelly Jackson։ «DNS Gets Anti-Phishing Hook»։ Dark Reading։ Արխիվացված օրիգինալից 2011-08-18-ին։ Վերցված է 2009-02-02 

Արտաքին հղումներ Խմբագրել