Viime päivinä American Express -kortinhaltijoita vastaan on käynnistetty epätavallisen hyvin muotoiltu tietojenkalasteluhyökkäys. Huijaus näyttää olevan parannettu versio aikaisemmasta verkkourkintakampanjasta, joka nähtiin ensimmäisen kerran viime maaliskuussa, ja se esiintyy American Expressinä niin hyvin ja niin vääriä viestejä käyttämällä, että se voi onnistuneesti syötti monia ihmisiä, jotka normaalisti havaitsevat ja välttävät muita tietojenkalasteluhyökkäyksiä.
kalat mies ja kauris nainen sielunkumppanit
Uudessa huijauksessa kohdennetut käyttäjät saavat sähköpostiviestin väitetysti American Expressiltä (ainakin yhdessä muunnoksessa paluuosoite näyttää kohteilta AmericanExpress@welcome.aexp.com), joka kehottaa vastaanottajaa suojaamaan häntä petoksilta ja tietojenkalastelulta luomalla 'American Express Personal Safe Key (PSK)' heidän tiliensä turvallisuuden parantamiseksi. Sähköposti on hyvin kirjoitettu ja muotoiltu kuten American Express -sähköposti; toisin kuin jotkut aiemmat versiot, se ei sisällä väärin merkittyjä linkkejä (ts. linkkejä, joiden tekstikuvaus sisältää linkkikoodin, joka ei vastaa todellista linkkiä).
Sähköpostiviesti sisältää alareunassa olevan linkin Luo PSK - ja linkkiä napsauttavat käyttäjät ohjataan väärälle American Express -kirjautumissivulle sivustolla, joka on laillisesti kuulostava http://amexcloudcervice.com/login/ ( kirjoitusvirhettä on vaikea huomata - eikö?). Vaikka HTTPS: n puuttumisen pitäisi myös varoittaa joitain ihmisiä todennäköisyydestä, että jokin on vialla, ja selain, joka värittää URL-palkit salauksen käytön perusteella, ei tietenkään tee niin tässä tapauksessa, kuten keskustelin Shiran kanssa kirjoitetussa artikkelissa Rubinoff vuosikymmen sitten, monet ihmiset keskittyvät kokonaan selainikkunoiden sisältöön eivätkä kiinnitä huomiota selaininfrastruktuurin tietoturvaan.
Annettuaan kirjautumistiedot väärälle American Express -sivulle - ja riippumatta siitä, ovatko kirjautumistiedot oikein - käyttäjille näytetään oikean näköisiä sivuja, joissa he voivat kirjoittaa kortin numerot, kortin viimeiset käyttöpäivät, kortin nelinumeroiset CVV-koodit Sosiaaliturvatunnukset, syntymäpäivät, äitien tyttönimet, äitien syntymäaika, syntymäaika ja sähköpostiosoitteet. Kaikki tietopyynnöt näkyvät käyttöliittymässä, joka jäljittelee laillisen American Express -verkon verkkosivustoa, ja siinä on vain pieniä, vaikeasti havaittavia virheitä. Tietenkin joku saattaa ymmärtää, että American Expressillä ei ole syytä pyytää joitakin näistä tiedoista - yritys tietysti tietää korttisi numerot kirjautumisen yhteydessä - mutta luottokorttiyhtiöt ovat tosiasiallisesti kouluttaneet monia ihmisiä vastaamaan tällaisiin tietoihin kysymyksiä, joita on pyydetty kirjoittamaan tai lukemaan numeronsa ja vastaamaan kaikenlaisiin turvakysymyksiin soittaessasi palveluntarjoajille puhelimitse.
American Express -asiakkaille on tietysti ollut muita verkkohuijausviestejä (kuten muiden luottokorttien haltijoita vastaan), ja kuten aiemmin mainittiin, jopa jotkut, jotka hyödyntävät American Expressin tarjoamaa SafeKey-suojaustekniikkaa ylimääräiseen huijaukseen. (Huomasitko, että tietojenkalasteluviesti erotti SafeKeyn väärin kahdeksi sanaksi?)
Huolimatta useista virheistä, joita tietoturva-alan ammattilaiset saattavat pitää häikäisevinä (huomasitko puuttuvan ©-symbolin alareunassa?), Nykyinen hyökkäys tuntuu hyvin muotoilulta, ja siksi todennäköisemmin kuin monet huijaavat American Express -asiakkaita, joista suurin osa eivät selvästikään käsittele verkkourkintahyökkäyksiä osana työpaikkaansa.
On myös huomattava, että tietojenkalastajien sulkeminen on vaikeaa - elleivät tekijät itse jää kiinni, vaikka phishing-järjestelmät poistettaisiin, rikollisten on helppo käynnistää hyökkäykset uudella palvelimella. Ja muiden rikollisten ei ole niin vaikeaa kopioida tietojenkalastelurajapintaa, lisätä pieni koodi ja käynnistää omat hyökkäyksensä myös muista palvelimista.
Joten miten sinun pitäisi suojata itseäsi?
Tässä on joitain ehdotuksia:
Tärkeys: rikolliset kehittyvät jatkuvasti paremmin tietojenkalasteluviestien laatimisessa
- ole siis valmis.
