Оглавление
Группа авторов. Анатомия фишинга как устроены атаки изнутри
Введение
Часть 1. Фундамент: что такое фишинг
От удочки до сетевого трала: эволюция понятия
От простого обмана к таргетированной охоте
Фишинг как услуга и кибервойна
Психология как основа: почему люди “клюют”
Любопытство и жадность: бесплатный сыр в мышеловке
Страх и чувство долга: когда тревога заглушает разум
Доверие и авторитет: волк в овечьей шкуре
Помощь и сочувствие: игра на лучших чувствах
Цифры и факты: масштаб современной угрозы
Кого ловят на крючок и зачем
Портрет жертвы: почему попадаются все
Невидимая статистика и почему она важна
Цели и мотивации атакующих
Деньги, деньги и еще раз деньги
Не только нажива
Что движет человеком по ту сторону экрана?
Жизненный цикл типичной атаки
Разведка и подготовка: сбор пазла
Изготовление приманки и заброс удочки
Ожидание и ‘вываживание’ жертвы
Завершение атаки и ‘уборка следов’
Часть 2. Техническая кухня
Поддельные сайты: клонирование и хостинг
Копия, но не точная
Доменное имя – камуфляж
Хостинг: где живут фантомы
Электронные письма: спам-фильтры в обход
Игра в легального отправителя
Маскировка содержимого
Использование социального доверия и контекста
СМИ и мессенджеры: новые векторы
Как растут фальшивые новости
Личный чат как поле боя
Использование уязвимостей браузеров
Как выглядит охота за уязвимостями
Самые вкусные уязвимости для фишера
Что чувствует пользователь и почему это работает
Как не стать полигоном для тестирования уязвимостей
Шифрование и скрытие следов
Как шифрование прячет украденные данные
Техники маскировки и анонимизации
Стирание цифровых отпечатков
Часть 3. Социальный инжиниринг
Претекстинг: искусство создания легенды
Зачем тратить время на легенду?
Из чего строится убедительная легенда?
От теории к практике: как выглядит претекстинг в письме
Защита: ломаем сценарий
Срочность и авторитет: кнопки давления
Авторитет: мундир и должность вместо доверия
Две кнопки вместе: гремучая смесь
Фишинг под сотрудников: целевые атаки
Как готовится атака
Почему это работает
Что происходит после клика
Как не стать мишенью
Голосовой фишинг и глубокие фейки
Когда голос – не голос
Как не стать героем чужого сценария
Защита персональных данных
Что такое персональные данные на самом деле
Откуда утекают кусочки пазла
Принципы цифровой гигиены: меньше знают – крепче спят
Что делать, если данные уже утекли
Часть 4. Инфраструктура атакующего
Аренда ботнетов и серверов
Как работает аренда ботнета
Аренда серверов: дом для подделки
Почему это так сложно остановить
Наборы для фишинга: Phishing-as-a-Service
Что внутри коробки
Сервис полного цикла
Почему это так эффективно и страшно
Сбор и монетизация данных
От лога до базы данных
Тёмные полки цифрового супермаркета
Цепочка создания… зла
Задумайтесь на минутку
Координация через темные каналы
Что такое темные каналы на самом деле
Как выглядит типичный рабочий процесс
Почему это так сложно остановить
Проблемы правового преследования
Паутина серверов и владельцев
Анонимность как стандарт
Разделение труда и дропперы
Юрисдикционный хаос
Часть 5. Защита и противодействие
Технические средства защиты
Почтовые фильтры – ваш личный сортировщик
Антифишинг в браузере и не только
Двухфакторная аутентификация (2FA) – второй ключ от двери
Обновления – латание дыр в заборе
Обучение и повышение осведомленности
Почему стандартные инструкции не работают
От теории к практике: симуляции и живые примеры
Создание культуры безопасности, а не страха
Личная ответственность и цепочка защиты
Инцидент-ответ и минимизация ущерба
План – ваш спасательный круг
Анализ и «что это было?»
Уведомление, исправление и урок на будущее
Роль государства и международное сотрудничество
Законы и правила: цифровые правила дорожного движения
Правоохранительные органы: цифровые полицейские
Международное сотрудничество: строим общий забор
Госуслуги и просвещение: когда государство становится учителем
Будущее фишинга и защиты от него
Машины научатся говорить по-человечески
Среда станет умнее, а мы – осторожнее
Культура безопасности как вторая натура
Заключение: От уязвимости к устойчивости
Отрывок из книги
Давайте сразу договоримся: когда мы говорим “фишинг”, в голове не должно возникать образов мирных рыбаков на рассвете. Хотя связь есть, и она самая прямая. Само слово – искаженное английское “fishing”, то есть “рыбная ловля”. Только ловят здесь не рыбу, а людей. И наживкой служат не черви, а хитрость, доверие и иногда наша собственная невнимательность.
Представьте самого первого фишера, условного злоумышленника середины 90-х. Это был одиночка с удочкой. Он рассылал примитивные письма по электронной почте, которая тогда была диковинкой. Текст был грубым, полным ошибок, а предложение – простым до смешного: “Дайте мне ваш пароль, я из администрации”. И знаете что? Это работало. Потому что мир был наивным, интернет казался дружелюбным клубом по интересам, а понятия “кибербезопасность” для обычного человека просто не существовало. Это была эпоха фишинга-удильщика: закинул одну наживку в цифровой пруд и ждешь, не клюнет ли кто.
.....
Здесь кроется один из самых важных моментов, который нужно принять. Миф о том, что на фишинг клюют только неопытные пенсионеры или технически неподкованные люди – опасная иллюзия. Статистика неумолима: в зоне риска абсолютно каждый. Киберпреступники отлично изучили нашу психологию. Они знают, что бухгалтер в час сдачи квартального отчета с большей вероятностью кликнет на письмо с темой ‘СРОЧНО! Несданная декларация’. Что уставший после рабочего дня человек может автоматически ввести пароль на сайте, который выглядит как страница его онлайн-кинотеатра. Что даже опытный IT-специалист, получив якобы от коллеги просьбу ‘срочно перевести деньги на этот счет’, может на секунду отключить бдительность.
Злоумышленники играют на наших базовых эмоциях: срочности, страхе упустить выгоду, любопытстве, желании помочь, доверии к авторитету (будь то банк, начальник или госорган). Они не шлют миллионы одинаковых писем наугад. Они проводят разведку, собирают информацию о потенциальных жертвах из соцсетей, слитых баз данных, публичных профилей. Это называется ‘таргетированный фишинг’ или ‘spear-phishing’ (дословно – ‘фишинг с гарпуном’). Такое письмо будет адресовано лично вам, будет содержать упоминание вашей компании, вашего проекта, вашего начальника. Оно будет идеально подстроено под контекст вашей жизни. И противостоять такому – гораздо сложнее.
.....
