Как обезопасить себя от фишинга

Думаете фишинг-атаки устарели? Подумайте хорошенько. По данным Рабочей группы по борьбе с фишингом, несмотря на более эффективные спам-фильтры в последнем квартале 2014 г. количество сообщений об уникальных фишинг-атаках выросло на 18%. И эксперты по безопасности предрекают дальнейший рост количества таких угроз в 2016 году.

Фишинг остается популярной тактикой кражи таких конфиденциальных данных, как пароли, защитные коды и номера кредитных карт, а также для внедрения вредоносного ПО на личные устройства и в корпоративные системы. Даже учетная запись LastPass может стать целью фишинг-атаки. Для защиты от фишинга необходимо прежде всего использовать эффективное антивирусное ПО и вооружиться знаниями.

Я расскажу о том, как LastPass борется с фишингом и как улучшить выявление фишинг-атак, а также защитить самые ценные данные в непредвиденных обстоятельствах.

Что такое фишинг?

Фишинг-атаки принимают разные формы. Это может быть электронное письмо якобы от вашего банка с запросом подтверждения операции. Это может быть письмо с фальшивым счетом и просьбой загрузить вложение для подтверждения покупки. Это могут быть вредоносные рекламные блоки и ссылки в социальных сетях. Злоумышленники могут даже направить вас на страницу входа, практически идентичную известному и надежному сайту, которым вы пользуетесь.

Таргетированные фишинг-атаки могут быть еще более персональными. Злоумышленники могут отправлять электронные письма от имени коллеги или начальника и даже ИТ-отдела вашей компании. Они делают свой запрос правдоподобным, используя собранную о вас информацию, чтобы получить еще больше сведений, заставить вас загрузить вредоносное ПО или перевести деньги.

Как выявить фишинг-атаку

Многие фишинг-атаки незамысловаты и легко выявляются. А некоторые — могут быть весьма изощренными, поэтому следует проявлять здоровую дозу скепсиса, чтобы отсеивать подозрительные письма, ссылки и сообщения. Чтобы не попасться на типовые фишинг-атаки, руководствуйтесь приведенными ниже рекомендациями.

  • Проверяйте URL-адреса: Посмотрите в адресную строку открытого веб-сайта или наведите указатель мыши на ссылку перед переходом по ней, чтобы увидеть фактический URL-адрес в нижем левом углу окна браузера и убедиться, что это надежный адрес, а не подставной. Например для веб-сайта LastPass всегда будет отображаться адрес https://lastpass.com или https://subdomain.lastpass.com. А фишинг-адрес может иметь вид типа http://lastpass.otherdomain.com.В этом случае фактический домен — это otherdomain.com, и его следует избегать.
    Image credit: Lifehacker

    Image credit: Lifehacker

  • Проверяйте адресата писем: Опасайтесь электронных писем, начинающихся со слов типа «Уважаемый клиент!», а также без приветствия. Большинство магазинов в наше время обращаются к покупателям по имени. Однако таргетированные фишинг-атаки зачастую направлены именно на вас, поэтому данная мера предосторожности не всегда помогает.
  • Открывайте веб-сайты сами: Если вы не уверены, просто откройте в браузере новую вкладку или окно, и введите URL-адрес вручную (или с помощью своего диспетчера паролей). Так вы будете уверены, что открываете не поддельный сайт.Screen Shot 2016-01-20 at 9.14.38 AM (2)
  • Удостоверьтесь, что диспетчер паролей выдает подходящие учетные данные: Удостоверьтесь, что диспетчер паролей выдает подходящие учетные данные.
  • SНе спешите, если от вас требуют срочных действий: Если вам предлагают действовать быстро под страхом санкций, это может быть попыткой вынудить вас совершить необдуманный поступок.
  • Задавайтесь вопросами: Я просил отправить мне это вложение? Это выглядит нетипично для отправителя? В случае сомнений, не доверяйте, а проверяйте и задавайте вопросы.
  • Проверяйте наличие префикса HTTPS:// и символа замка в адресе веб-сайта: Находясь на веб-сайте всегда проверяйте по адресной строке, что установлено защищенное соединение по протоколу HTTPS и что в адресной строке отображается значок замка. Это означает, что веб-сайт проверен сторонней фирмой, контролирующей безопасность. Screen Shot 2016-01-20 at 9.16.41 AM (2)

Если фишинг-атака направлена на ваш диспетчер паролей

Фишинг-атаки больше не ограничиваются вредоносными электронными письмами, баннерами и ссылками в соцсетях. Некоторые фишинг-атаки могут быть направлены на дополнения, установленные вашем браузере, в том числе могут использоваться подложный диспетчер паролей.

Например, вредоносный веб-сайт может имитировать дополнение, установленное в вашем браузере, отображая уведомления с запросом таких сведений, как ваши имя пользователя, пароль и код двухфакторной аутентификации. В таком случае может быть трудно понять, что уведомления исходят от вредоносного веб-сайта, а не от вашего дополнения к браузеру.

Как LastPass защищает от фишинг-атак

  • Предупреждение о вводе главного пароля не на странице LastPass : LastPass заранее выводит настоятельное предупреждение при каждой попытке ввода главного пароля LastPass на странице, не относящейся к LastPass. Благодаря этому вы сразу же узнаете о возможной компрометации своего главного пароля и сможете сменить его.
  • Требование подтверждения входа с неизвестных IP-адресов и устройств: В LastPass реализована процедура подтверждения, которую требуется проходить при каждой попытке входа с неизвестного IP-адреса или устройства. Поэтому если вы беспечно раскроете свой главный пароль и код двухфакторной аутентификации, любая попытка злоумышленника использовать эти данные будет пресечена благодаря процедуре подтверждения по эл. почте. Злоумышленнику также потребуется получить доступ к вашей электронной почте, что можно предотвратить с помощью двухфакторной аутентификации в учетной записи эл. почты. Если вам поступил запрос на подтверждение, которое вы не инициировали, просто игнорируйте его и смените свой главный пароль в настройках учетной записи Хранилища LastPass.
  • Предотвращение выхода: Хотя на вредоносной странице может отображаться поддельное уведомление от LastPass о том, что вы выполнили выход и должны снова войти в систему, проверьте выполнен ли вход в дополнении LastPass и выполняйте вход только с помощью этого дополнения.

Помимо этих мер предосторожности мы также рекомендуем создателям браузера Google и других браузеров обеспечить дополнительную защиту пользователей, реализовав безопасные способы отображения уведомлений вне окна браузера.

Как обезопасить свою учетную запись LastPass

В дополнение к мерам безопасности, реализованным с нашей стороны, вы можете обезопасить свое хранилище паролей, следуя приведенным ниже рекомендациям.

  • Всегда выполняйте вход с помощью дополнения LastPass. Самый безопасный способ входа в LastPass — щелкнуть значок этого дополнения в панели инструментов браузера. Screen Shot 2016-01-20 at 9.24.22 AM (2)
  • Никогда не используйте свой главный пароль повторно. Повторное использование главного пароля повышает риск кражи данных из вашего хранилища паролей. Всегда используйте для LastPass уникальный пароль и помните о нашем предупреждении не вводить главный пароль нигде и никогда, кроме как для входа в LastPass.
  • Следите за тем, откуда загружаете LastPass. Загружайте LastPass только с веб-сайта LastPass.com или из магазина дополнений, предоставленным вашим браузером и устройством. Никогда не используйте для загрузки сторонние сайты. И даже используя магазин дополнений, остерегайтесь дополнений, выглядящих как LastPass, но имеющих другого издателя и не имеющих рейтинга.
  • Никогда не раскрывайте свой главный пароль. Команда LastPass никогда не спросит у вас главный пароль. Остерегайтесь любых лиц, представляющихся сотрудниками LastPass и запрашивающих у вас главный пароль. Ни при каких обстоятельствах раскрывайте свой пароль.
    • Включите двухфакторную аутентификацию. Хорошая защита основана на нескольких уровнях защиты, снижающих риски. При двухфакторной аутентификации для доступа к учетной записи требуется указать дополнительные данные. Это не панацея, но значительно улучшает защиту вашей учетной записи.
  • Обезопасьте свою эл. почту с помощью надежного пароля в сочетании с двухфакторной аутентификацией. Зачастую ваша учетная запись эл. почты является ключом ко всем вашим данным. Оберегайте ее, как если бы от нее зависела вся ваша цифровая жизнь, ведь это может так и быть. LastPass может сформировать надежный но удобочитаемый пароль к эл. почте, который можно будет запомнить, если вы предпочитаете. И всегда включайте двухфакторную аутентификацию если ваша служба эл. почты поддерживает ее.

Безопасность в сети требует постоянного внимания от всех нас. Компания LastPass стремится улучшать свой продукт по мере возникновения новых угроз и укреплять его совместными усилиями с сообществом специалистов по безопасности. А пользователям следует принимать все необходимые меры предосторожности.