זיוף SMS: מה זה, איך זה עובד ואיך להימנע מליפול למלכודת

La גניבת זהות באמצעות SMS ושיחות זה הפך לאחת ההונאות המסוכנות והנפוצות ביותר המשפיעות על אנשים פרטיים ועסקים כאחד; בדקו את העדכונים האחרונים חדשות בנושא אבטחת מחשבים וסייבר.

במאמר זה נסביר בפירוט מהו זיוף SMS, כיצד זה עובד, ואיך זה קשור לסוגים אחרים של זיופים? (בשיחות, מיילים, אתרי אינטרנט, IP, DNS, GPS וכו'), כמו גם הסימנים לזיהוים והאמצעים המעשיים שתוכלו לנקוט כדי להגן על עצמכם בחיי היומיום שלכם, הן באופן אישי והן במקצועי, ובנוגע ל... אבטחה ופרטיות בתוכניות.

מהי זיוף ומדוע היא כל כך מסוכנת?

כשאנחנו מדברים על זיופים, אנחנו מתכוונים ל... סט של טכניקות לגניבת זהות תוקפים משתמשים בהם כדי להתחזות לאדם, חברה או ארגון מהימן. המטרה תמיד זהה: להערים על הקורבן ולגרום לו לחשוף מידע רגיש, לבצע תשלומים או לבצע פעולות המועילות למבצע.

פושעי סייבר משלבים זיופים עם צורות שונות של פישינג (הונאה לגניבת נתונים)הונאות אלו יכולות להתרחש באמצעות דואר אלקטרוני, SMS, שיחות טלפון או אתרים מזויפים. במגזר הבנקאות, הונאות אלו מתמקדות במיוחד בלכידת פרטי בנקאות מקוונת, פרטי כרטיס, קודי אימות SMS (OTP) או מידע אישי אחר שניתן להשתמש בו לביצוע הונאה פיננסית או אפילו עבירות גניבת זהות אחרות.

חשוב לזכור זאת מוסדות פיננסיים בעלי מוניטין אינם מבקשים מידע באמצעות SMS, טלפון או דוא"ל. יש לבקש מידע כגון שם משתמש וסיסמה לבנקאות מקוונת, קודים שנשלחו לטלפון הנייד שלך, מספר כרטיס, תאריך תפוגה או קוד אבטחה בן שלוש ספרות (CVV/CVC). אם מישהו מבקש מידע זה דרך ערוצים אלה, עליך לחשוד מיד.

זיוף SMS: מה זה ואיך זה עובד

El זיוף SMS זוהי טכניקה המאפשרת לתוקף לשלוח הודעת טקסט שנראית כאילו הגיעה משולח לגיטימי (בדרך כלל בנק, חברת שליחויות או סוכנות ממשלתית), כשלמעשה היא נשלחת על ידי פושע. נוהג זה משמש לעתים קרובות בגרסה של פישינג הנקראת מחייך, שבו ההונאה מגיעה באמצעות SMS.

בפועל, הנוכל שינוי מספר השולח או שם השולח אשר אתם רואים על מסך הנייד שלכם (השדה המכונה מזהה שולח). הודות לכך, הודעת ההונאה יכולה להופיע באותו שרשור SMS שבו קיבלתם בעבר הודעות לגיטימיות מהבנק שלכם או משירות מהימן. מראית עין זו של המשכיות גורמת למשתמש להוריד את ערנותו.

תוכן הודעות ה-SMS הללו כולל בדרך כלל את הודעות אזעקה או דחופותהונאות אלו כוללות לעיתים קרובות: חיובים לא מזוהים, סגירת חשבון קרובה, צורך לעדכן מידע, פרסים או החזרי מס לכאורה, בין היתר. משם, הן מזמנות אותך ללחוץ על קישור או להתקשר למספר טלפון שאינו שייך בפועל לישות המתחזה.

אחת הטקטיקות הנפוצות ביותר היא שההודעה תכיל קישור לאתר מזויף המחקה את אתר האינטרנט של הבנקדף זה יכול להיות כמעט זהה לדף האמיתי: לוגואים, צבעים, טקסט דומה ואפילו כתובת URL דומה מאוד. המטרה היא שתזינו את פרטי הבנקאות המקוונת שלכם, פרטי כרטיס אשראי וקודים שאתם מקבלים ב-SMS כדי שהפושע יוכל לגשת לחשבונכם.

במקרים אחרים, ה-SMS מפנה את הקורבן אל מספר טלפון הונאהכאשר "מנהל" או "סוכן" לכאורה מתחזה לעובד בנק, מבקש מידע פרטי ומנחה את האדם צעד אחר צעד לאשר העברות או תשלומים, מתוך אמונה שהוא "פותר בעיית אבטחה".

למה הודעות SMS מזויפות מתערבבות עם הודעות רשמיות

אחת השאלות הנפוצות ביותר היא כיצד ייתכן הודעה הונאה מופיעים בתוך אותו שרשור מאשר הודעות SMS לגיטימיות מהבנק. ההסבר טמון באופן שבו טלפונים ניידים ורשתות מטפלים במזהה השולח.

המכשירים מקבצים שיחות המבוססות אך ורק על מזהה שולחשדה אלפאנומרי זה חסר אימות חזק ואימות משפטי גלובלי. במילים אחרות, הרשת והמכשירים הניידים מניחים שכל מי שטוען שהוא "בנק X" או משתמש במספר ספציפי אכן כזה, ללא פיקוח מחמיר.

פרצה זו מאפשרת לפושעי סייבר לגזול את שם המשלוח בו משתמשים בנקים וחברותמכיוון שאין אימות חזק של בעל הכינוי, הטרמינל של המשתמש מערבב הודעות מזויפות עם הודעות לגיטימיות, ויוצר מראה של נורמליות מוחלטת.

התוצאה היא ש אפילו משתמשים קשובים ומנוסים הם עלולים ליפול למלכודת, שכן הערוץ וההקשר (שרשור ההודעה מ"הבנק שלך") נראים אותנטיים לחלוטין, והטון של ההודעה משחק על פחד, דחיפות או תחושת הפסד כספי.

זיוף שיחה מזוהה: התחזות בשיחות טלפון

El זיוף זיהוי מתקשר זיוף טלפונים הוא המקבילה לזיופי SMS, אך מיושם על שיחות. במקום לתמרן את שולח ה-SMS, התוקף מזייף את המספר המופיע על גבי שובר הזיהוילפיכך, מסך הטלפון הנייד עשוי להציג את המספר האמיתי של הבנק, גוף רשמי או אפילו איש קשר ידוע, גם אם השיחה מגיעה ממקום אחר.

בעזרת טכניקה זו, הנוכל מעמיד פנים שהוא עובד בנק, מנהל חשבונות או עובד של שירות רשמי ויוצר קשר עם הקורבן בטענה לבעיה דחופה: תנועות חשודות, ניסיונות גישה לא מורשים, חסימת כרטיס, צורך באימות נתונים באופן מיידי וכו'.

במהלך השיחה, האדם בצד השני בדרך כלל שואל נתונים רגישים ביותר: שם משתמש וסיסמה לבנקאות דיגיטלית, קודים שהתקבלו ב-SMS, מספר כרטיס מלא, קוד סודי, נתונים אישיים (תעודת זהות, תאריך לידה, כתובת) או אפילו שהקורבן מבצע העברות "לחסימת הונאה" אשר למעשה מועברות לחשבונות הנשלטים על ידי הפושעים.

ההשלכות יכולות להיות חמורות: גישה ישירה לחשבונות בנקזה כולל העברות לא מורשות, פתיחת חשבונות על שם הקורבן או גניבת זהות לביצוע פשעים אחרים. לכן, אם תתבקשו לספק מידע אבטחה במהלך שיחה, עליכם לנתק ולהתקשר בעצמכם למספרי הטלפון הרשמיים של הבנק.

כדי לזהות מקרה אפשרי של זיוף זיהוי מתקשר, מומלץ לבדוק האם הם מתעקשים על דחיפות ביצוע המבצע, אם הטון מאיים, או אם השאלות חריגות (לדוגמה, בקשה לסיסמאות או קודים מלאים שהבנק לעולם לא מבקש מכם בטלפון).

סוגים נפוצים מאוד אחרים של זיופים

למרות שזיוף SMS וזיוף שיחה מזוהה מסוכנים במיוחד במגזר הפיננסי, ישנן גם שיטות אחרות. וריאציות רבות אחרות של זיופים אשר גם מבקשים להונות ולגנוב מידע או כסף. הבנתם עוזרת לזהות דפוסים ולהגן על עצמך טוב יותר.

זיוף דוא"ל

ב זיוף דוא"להתוקף שולח מיילים שנראים כאילו מגיעים מכתובת לגיטימית: בנק, חברה ידועה, או אפילו איש קשר אישי. הטריק הוא לזייף את שדה השולח (FROM), כך שבמבט ראשון הדומיין ייראה אמין, למרות שבמבט מקרוב הוא בדרך כלל אכן כזה. שונה במקצת מהדומיין האמיתי של הישות (לדוגמה, לשנות אות, להוסיף מקף או להשתמש בסיומת אחרת).

הודעות דוא"ל אלה בדרך כלל שואלות את המשתמש לספק נתונים אישיים או פיננסייםהורד קובץ מצורף או לחץ על קישורים המובילים לדפים הונאה. במקרים רבים, אלה משמשים להתקנת תוכנות זדוניות (וירוסים, סוסים טרויאניים, keyloggers) או לפתיחת אתר אינטרנט זהה לזה של הבנק, שם הקורבן יזין את פרטי הגישה שלו.

זיוף אתר אינטרנט או דומיין

El זיוף אינטרנט או זיוף דומיין זה כרוך ביצירת אתר אינטרנט מזויף המחקה אתר לגיטימי (בנק, חנות מקוונת, סוכנות ממשלתית וכו'). כתובת ה-URL המוצגת בשורת הכתובת של הדפדפן בדרך כלל דומה מאוד, אך לא זהה, לכתובת ה-URL של האתר האמיתי. תוקפים משלבים לעתים קרובות טכניקה זו עם זיוף SMS או דוא"ל כדי להניע תנועה לאתרים הונאה אלה.

לאחר שנכנס לאתר המזויף, הקורבן נכנס פרטי ההתחברות שלך, פרטי כרטיס אשראי או מידע סודי אחר מתוך אמונה שהם נמצאים בדף המקורי. פושעים לוכדים נתונים אלה בזמן אמת ויכולים להשתמש בהם באופן מיידי כדי לגשת לחשבון, לבצע רכישות או לרוקן יתרות.

זיוף IP

ב זיוף IPפושע הסייבר מזייף את כתובת ה-IP של מחשב אחר כך שהמערכת המכוונת תאמין שהחיבור מגיע ממקור מהימן. בדרך זו, הם יכולים התחמקות ממסנני אבטחה, גישה למשאבים מוגבלים או ניצול האמון שקיים בין מכונות באותה רשת.

סוג זה של התקפה משמש לעתים קרובות כחלק מ אסטרטגיות מורכבות יותרכגון התקפות מניעת שירות (DDoS) או חדירות לרשתות ארגוניות, ויכולות לאפשר גניבת מידע סודי אם לא קיימים אמצעי הגנה נאותים.

זיוף DNS

El הרעלת DNS זה מסתמך על מניפולציה של מערכת שמות המתחם (DNS), אשר מתרגמת שמות אתרים לכתובות IP. תוקפים מדביקים את הנתב או המחשב של הקורבן, או מניפולציות בתגובות DNS, כך שכאשר המשתמש מבקר באתר אינטרנט ידוע, הוא מופנה בשקט לאתר זדוני. אתר הונאה שבשליטתם.

מנקודת מבטו של המשתמש, הכל נראה תקין (הם מקלידים את כתובת האתר שהם תמיד משתמשים בה), אבל במציאות הם נכנסים לאתר אינטרנט מניפולטיבי שבו הם יכולים גניבת אישורים, פרטי בנק או התקנת תוכנה זדונית בלי להבין זאת.

זיוף GPS

El זיוף GPS זה כרוך בזיוף או מניפולציה של אות המיקום כך שהמכשיר יאמין שהוא נמצא במיקום שונה ממה שהוא באמת. ניתן להשתמש בטכניקה זו כדי להטעות מערכות ניווט, שינוי נתיבי תחבורה, שינוי רישומי מיקום או אפילו ביצוע הונאה הקשורה למשלוחים או מסלולים המחויבים על סמך מרחק.

לדוגמה, נהג זדוני יכול להשתמש בזיוף GPS כדי להערים על פלטפורמה ולגרום לה להאמין שהוא נסע. יותר קילומטרים מאשר הקילומטרים האמיתיים וכך לגבות יותר, או להסיט את התחבורה לאזור אחר מבלי שהמערכת תזהה זאת מיד.

התקפות אדם-באמצע (MitM)

בהתקפות מהסוג הזה איש-באמצע (MitM)פושע הסייבר ממקם את עצמו בין שני צדדים המתקשרים (לדוגמה, משתמש ואתר אינטרנט) ו יירט תנועה מבלי שאף אחד מהם שם לבדרך נפוצה לעשות זאת היא על ידי יצירת רשת Wi-Fi מזויפת עם שם דומה מאוד לשם של רשת Wi-Fi לגיטימית (מבית קפה, מלון, אוניברסיטה וכו').

אם המשתמש מתחבר לרשת המלכודות הזו, התוקף יכול ללכוד סיסמאות, פרטי כרטיס, כתובות דוא"ל ומידע רגיש אחרבמקרים מסוימים, הוא יכול גם לשנות את התנועה כדי להפנות לאתרים מזויפים או להחדיר קוד זדוני.

זיוף פנים

El זיוף פנים זה מתמקד בהטעיית מערכות זיהוי פנים. התוקף משתמש תמונות, סרטונים או דגמים של פניו של אדם אחר על מנת לפתוח טלפונים ניידים, לגשת לאפליקציות בנקאיות או לעקוף בקרות אימות ביומטריות.

אם למערכת חסרים מנגנוני זיהוי חיים מתקדמים (לדוגמה, ניתוח עומק, תנועות טבעיות או השתקפויות אור), ניתן להטעות אותה ולאפשר... גישה לא מורשית לחשבונות ושירותים רגיש מאוד.

זיופים בסביבה המקצועית והעסקית

עסקים, החל מתאגידים גדולים ועד לעסקים קטנים ובינוניים, הם גם מטרות תכופות לטכניקות התחזות אלו. בתחום המקצועי, תוקפים מתאימים את המסרים שלהם ל... התחזות לבוסים, עמיתים, ספקים או לקוחות שאיתם הארגון מקיים אינטראקציה יומיומית.

זה נפוץ שהם מנסים לשכנע עובדים לבצע תשלומים דחופים לחשבונות שבשליטת פושעיםהם עשויים לספק מידע סודי (נתוני לקוחות, דוחות פנימיים, פרטי כניסה) או להוריד מסמכים המכילים תוכנות זדוניות. רבות מהונאות אלו ידועות כהונאת מנכ"ל או פגיעה בדוא"ל עסקי (BEC).

כדי להפחית את הסיכון, זה המפתח להכשיר את כל הצוות בשיטות עבודה מומלצות בתחום אבטחת הסייבר ולחזק תהליכי אימות פנימיים (לדוגמה, דרישה לבדיקה כפולה של שינויים בחשבונות בנק של ספקים או עבור העברות גדולות). כמו כן, פתרונות טכניים המנתחים מיילים, חוסמים הודעות חשודות ומנטרים פעילות חריגה, עוזרים.

חלק מהמוסדות הפיננסיים מציעים שירותי אבטחת סייבר ספציפיים לעסקים, כגון פלטפורמות מרכזיות המזהות וחוסמות ניסיונות פישינג וזיוף, מעריכות את רמת הסיכון ומספקות הכשרה שוטפת לעובדים כדי ללמוד כיצד לזהות תקשורת זדונית.

מסגרת משפטית ואמצעים רגולטוריים נגד זיופים

העלייה העצומה בהונאות מבוססות זיוף הובילה את הרגולטורים ל לאשר תקנות ספציפיות כדי לרסן את הפרקטיקות הללואחת מקווי הפעולה היא לאלץ מפעילי התקשורת לחזק את הפיקוח על המספרים המשמשים בשיחות וב-SMS.

בין הצעדים הבולטים ביותר נמצאים ה- חובה לחסום תקשורת עם מספרים מזויפים, מניפולטיביים או לא מוקצים והסדרת זיהוי מספרים המשמשים בשיחות שירות לקוחות ומכירה. מטרה זו היא להקשות על שימוש בשמות בדויים או מספרים שאינם תואמים לישות בפועל.

אף על פי כן, הגנה משפטית וטכנית אינה מספיקה בפני עצמה: חיוני שמשתמשים שמרו על גישה ביקורתית וזהירה היזהרו מכל הודעה המבקשת מידע סודי או לוחצת עליכם לפעול בדחיפות, במיוחד אם היא מגיעה באמצעות SMS או שיחת טלפון.

כיצד לזהות ולהימנע מזימות SMS וזיוף זיהוי מתקשר

למרות שאף מערכת אינה חסינה בפני תקלות, ישנן מספר הנחיות המסייעות למזער את הסיכון ליפול קורבן להונאות אלו. הראשונה היא לפתח מערכת מסוימת "היגיון בריא דיגיטלי"היו חשדניים כלפי כל הודעה או שיחה בלתי צפויים שמבקשים מידע או מעוררים אזעקה.

כשמתמודדים עם הודעת טקסט חשודה, כלל הזהב הוא אל תלחץ על קישורים כלול בטקסט ואל תתקשר למספרים המופיעים בהודעה. אם נראה שההודעה מגיעה מהבנק שלך, עבור ישירות לאתר הרשמי על ידי הקלדת כתובת האתר בדפדפן שלך או גש לאפליקציה הרשמית, ובדוק שם אם אכן יש התראה או בעיה.

במקרה של שיחות, גם אם אתם רואים את מספר הבנק על המסך, אסור לכם למסור אותו. סיסמאות, קודי אימות, פרטי כרטיס או מפתחות חתימהאם הם מתעקשים, נתק את השיחה והתקשר למספר שירות הלקוחות בעצמך, המופיע באתר הרשמי או בגב הכרטיס שלך.

מומלץ גם להפעיל ולנצל את ה- אימות דו-שלבי (2FA) בשירותים קריטיים כמו בנקאות מקוונת, דוא"ל או פלטפורמות מקצועיות, אך תמיד זכרו כי אסור לשתף קודים שנשלחים באמצעות SMS או לאפליקציית אימות עם אף אחד, גם אם האדם טוען שהוא מהבנק.

לבסוף, לשמור על יש לך פתרונות טלפון נייד ואבטחה מעודכנים (אנטי-וירוס, אנטי-ספאם, מסנני כתובות URL) מוסיף שכבת הגנה נוספת מפני אפליקציות זדוניות וקישורים מסוכנים, ומפחית את הסיכוי להדבקה או להפניה לאתרי פישינג.

המלצות כלליות להגנה מפני זיופים

מעבר לכל ערוץ ספציפי (SMS, שיחה, דוא"ל, אתר אינטרנט), ישנן מספר שיטות עבודה מומלצות המסייעות בהגנה מפני כמעט כל סוג של זיוף. אחת החשובות ביותר היא אל תשתפו מידע רגיש דרך ערוצים לא מאובטחים או לא מאומת, במיוחד אם לא יזמת את התקשורת.

בדוא"ל, לפני לחיצה על קישור או הורדת קובץ מצורף, עברו היטב על דומיין השולח ותוכן ההודעהשימו לב לשגיאות כתיב קטנות, דומיינים יוצאי דופן או בקשות למידע שהבנק שלכם לעולם לא היה מבקש בדוא"ל. אם משהו נראה לכם לא נכון, עדיף למחוק את ההודעה או ליצור קשר ישירות עם הבנק דרך ערוץ אחר.

כשאתם גולשים באינטרנט, התרגלו להסתכל על כתובת URL מלאה בשורת הדפדפן וודאו שהיא תואמת במדויק את הכתובת הרשמית של הישות. היזהרו מאתרים ששמותיהם דומים מדי למקור אך אינם זהים, או שקיבלתם באמצעות קישורים במיילים או הודעות טקסט לא רצויות.

ברשתות Wi-Fi ציבוריות או פתוחות, הימנעו מגישה לשירותים רגישים כגון בנקאות מקוונת, דוא"ל ארגוני או לוחות ניהולאם אתם צריכים לעשות זאת, השתמשו ב-VPN אמין כדי להצפין את החיבור ולהפחית את הסיכוי שמישהו יירט את התעבורה שלכם.

לבסוף, זכרו שנימה תוקפנית או כזו שמנסה ללחוץ עליכם היא בדרך כלל סימן רע: שום הליך בנקאי לגיטימי אינו דורש החלטות מיידיות תחת איום אתם עלולים להפסיד כסף תוך דקות ספורות. אם אתם מבחינים בלחץ או דרמה בהודעה או בשיחה, עצרו, קחו נשימה עמוקה וודאו את המידע בעצמכם.

השילוב של ידע, ספקנות בריאה וכמה אמצעים טכניים בסיסיים מקשה הרבה יותר על פושע סייבר להצליח בטכניקות זיוף, בין אם באמצעות SMS, שיחות, דוא"ל, אתרים מזויפים או ערוצים דיגיטליים אחרים.