Противодействие хищению персональных данных и платежной информации в сети Интернет посредством фишинга

Евтеев Д. И.Технический директор компанииHeadLight Security

Определение фишинга

Фишинг — одна из разновидностей социальной инженерии в рамках электронных коммуникаций, основанная на введении пользователей в заблуждение.

Цель фишинга — получение доступа к конфиденциальным данным пользователей (ПДн, логины и пароли, данные банковских карт и пр.).

Зарубежный опыт борьбы с фишингом

2005 год, США. Фишинг законодательно определен как создание поддельных веб-сайтов (доменов) и отправка электронных писем для получения посредством обмана конфиденциальных данных пользователей.

https://www.congress.gov/bill/109th-congress/senate-bill/472

2008 год, Великобритания. Запрет на создание хакерских инструментов.

Законодатели первоначально хотели полностью запретить легальные программы, которые могут быть использованы и для преступной деятельности. В том числе под запрет попал и известный сканер Nmap. Эта мера была признана технически неграмотной.

http://www.securitylab.ru/news/360522.php

Типовая методика реализации фишинговых атак

1. Регистрация нового фишингового домена (как правило, созвучного популярному бренду).

2. Копирование имеющихся элементов с интернет-ресурса, в отношении которого будет осуществляться фишинговая кампания.

3. Размещение фишингового сайта в Интернете.4. Привлечение посетителей: Продвижение в поисковых системах (SEO) Массовая рассылка (электронная почта, социальные сети, IM)

Примеры реализации фишинга

http://antifraud.drweb.ru/phishing/examples

Методы противодействия - обучение

Методика консалтинга по противодействию фишингу

1. Заключение договора на оказание услуги, согласование используемого сценария и тестируемой фокус-группы.

2. Регистрация нового домена, имитирующий фишинговый.3. Копирование имеющихся элементов с электронного ресурса

заказчика.4. Размещение «фишингового» сайта на серверах консалтинговой

компании.5. Целевая рассылка фокус-группе (электронная почта, социальные

сети, IM).

Примеры зарубежных проектов:http://phishme.com/http://phish.io/

Фишинг

Противодействие фишингу через государственно-частное партнерство

Техническая составляющая

Человеческий фактор

Уязв

имос

ть

РЕСУРС• государственные

учреждения• банки• коммерческие

организации

ПДн, логины и

пароли, пр.

Фишинг

Противодействие фишингу через государственно-частное партнерство

Техническая составляющая

Человеческий фактор

Уязв

имос

ть

РЕСУРС• государственные

учреждения• банки• коммерческие

организации

ПДн, логины и

пароли, пр.

Консалтинговая компания

Оценка/обучение

Показатели эффективности

Метод противодействия фишингу: общедоступный реестр подозрительных сайтов

Использование браузера

с необходимым функционалом

Проверка по рееструподозрительных сайтов

Защита от фишинговых сайтов

на основе DNS

Неизвестный сайт

СПАСИБО ЗА ВНИМАНИЕ!devteev@hlsec.ruhttp://devteev.blogspot.comhttps://twitter.com/devteev