В переводе с английского языка фишинг означает рыбную ловлю. В современном лексиконе интерпретируется как один из видов мошенничества в Интернете с целью получения логинов и паролей пользователей.
По электронной почте рассылаются письма от имени известных брендов - банков, социальных сетей, Интернет сервисов. Письмо содержит ссылку на копию сайта, внешне неотличимую от оригинала. После перехода пользователя на такую страницу мошенники различными психологическими уловками пытаются побудить его ввести свои данные доступа (логин и пароль) к определённому сайту. Благодаря этому ходу мошенники получают беспрепятственный доступ к банковским счетам и аккаунтам пользователя. Фишинг основан на незнании пользователей Интернета основ сетевой безопасности. Письма от имени сервисов не могут запрашивать пароли и другие учётные данные.
Интернет-браузеры по договорённости для защиты пользователей используют одинаковые информационные окна, сигнализирующие о возможности принадлежности сайта мошенникам.
Термин фишинг был впервые озвучен в 1996 году, а техника подобного мошенничества была описана ещё в 1987 году.
Фишинг на AOL связан с распространением нелицензионного программного обеспечения, противозаконными махинациями с кредитными картами. В 1995 году AOL увеличила защиту своей системы для предотвращения использования злоумышленниками чужих аккаунтов.
Мошенники представлялись пользователю сервиса работниками AOL и пытались узнать пароль доступа. При этом они манипулировали тематическими фразами о подтверждении аккаунта и доступа платёжной системы. Логины и пароли других пользователей мошенники использовали для рассылки спама. Эта ситуация приобрела настолько масштабный характер, что AOL стал добавлять ко всем своим сообщением фразу о том, что его сотрудники не запрашивают конфиденциальную данные у пользователей. AOL разработала оперативную систему отключения мошеннических учетных записей.
Захват аккаунтов AOL показал уязвимость платёжных систем. В 2001 году была проведена первая подобная атака, направленная на платёжную систему e-gold. Уже к 2004 году он стал реальной угрозой для компаний. Фишинг постоянно увеличивает свой потенциал и развивается.
На сегодняшний день всё больше фишеров пытаются обмануть клиентов различных платёжных систем. Фишеры целенаправленно собирают информацию о налогоплательщиках и рассылают им письма по электронной почте. Чаще всего рассылка направлена на руководителей компаний и других людей, занимающих высокооплачиваемые должности.
Особый интерес представляют социальные сети. Такие как ВКонтакте. Более половины атак в таких сетях проходят успешно для фишеров. Размер ущерба от атак фишеров увеличивается с каждым годом. Только за 2008 год в США от них пострадало около 5 миллионов человек.
Действия фишеров направлены на незамедлительную реакцию пользователей. Так письмо «о восстановлении доступа к банковскому счёту», несомненно, привлечёт внимание и заставит перейти по указанной ссылке. Мошенники часто используют веб-адреса сайтов с незначительными опечатками в названиях. Один из методов мошеннических ссылок – это использование символа «@». Так ссылка http://www.yandex.ru@sales.ru приведёт не на сайт http://www.yandex.ru, а на http://www.sales.ru. Эта функция отключена в браузере IE, в Opera и Mozilla на экране появляются предупреждения о мошенническом сайте.
Фишеры пытаются обойти антифишинговые фильтры, используя вместо текста изображение. Для этого системы автоматически блокируют подозрительные незнакомые адреса и обрабатывают однотипные изображения, применяемые в спаме.
Чтобы пользователь посетил сайт мошенников, фишеры с помощью JavaScript изменяют адресную строку. Они используют так же недостатки скриптов официальных сайтов. Так пользователь вводит свои данные и авторизуется на копии сайта, которая выглядит как подлинник.
Злоумышленники борются с антифишинговыми сканерами. Некоторые фишеры создают сайты на основе флеш технологии. Текст такого сайта скрыт в мультимедийных объектах, а внешне сервис выглядит как оригинальный.
В связи с развитием видов фишинга, появляются всё новые и новые угрозы. Фишинг выходит за рамки обычного мошенничества в Интернете. Людям могут приходить письма якобы из банка с просьбой связаться по указанному номеру для решения проблем со счетами. Такой вид голосового фишинга получил название вишинг. Автоответчик выдаёт потенциальной жертве инструкции, целью которых является введение пользователем своего счёта и пин кода. Иногда фишеры для получения учётных данных сами звонят пользователям сервисов, представляясь работниками компаний.
Борьба с фишингом включает в себя как различные законодательные меры, так и специальные технологии.
Один из способов борьбы с такими мошенническими операциями заключается в обучении пользователей различать обман. Так риск попасться на махинации фишеров можно снизить, позвонив после получения письма официальным представителям организации, от имени которой пришло письмо. Правильным будет вручную вводить в адресную строку ссылку на сайт организации, а не пользоваться для этого поиском браузеров. Официальные представители в своих письмам клиентам обычно обращаются к ним по имени. Используют в своём сообщении номер счёта пользователя. Но многие люди запоминают лишь первые цифры своего счёта, а как раз они могут оказаться у всех одинаковыми. Поэтому нужно быть внимательными при получении подобных Интернет сообщений.
Всё больше людей становится более бдительными. Обычные методы фишинга устаревают, а на смену им приходят новые технологии кражи информации. Такие общеизвестные браузеры как Opera, Mozilla, Google Chrome, Explorer и Safari обычно предупреждают о вероятности принадлежности Интернет сайта к фишинговому. Mozilla Firefox в 2006 году был признан самым эффективным в применении антифишинговой системы.
DNS- сервисы в любом браузере фильтруют известные адреса мошенников. Их технология аналогична применению hosts-файла с целью блокирования рекламных окон. Антифишинговые фильтры уменьшают число сообщений от мошенников.
В России эффективность борьбы с фишерами невысока из-за недостатка специалистов, обладающих высоким уровнем знаний и опыта в сфере высоких технологий.
