Що таке фішинг згоди та чому він небезпечний?

Фішинг — це дуже популярна тактика кіберзлочинності, яку використовують зловмисники по всьому світу. З роками фішинг урізноманітнився різними типами, включаючи фішинг згоди. Але як саме працює фішинг згоди та чи загрожує він вам?

Що таке фішинг згоди?

Фішинг за згодою – це тактика фішингу, яка вимагає певного рівня автентифікації, щоб бути успішною. Ці атаки передбачають використання зловмисних програм для досягнення успіху, причому програми OAuth є особливо популярним вибором. Давайте розглянемо приклад фішингу згоди за допомогою шкідливої ​​програми OAuth, щоб зрозуміти, як працює процес.

Як це часто буває з фішингом загалом, фішингові атаки за згодою починаються з електронного листа, у якому зловмисник заявляє, що є офіційною особою. Оскільки фішинг згоди використовується для доступу до облікових записів хмарного сховища, ми використаємо Google Workspace як приклад. Зауважте, що облікові записи, у які вже ввійшли, піддаються фішингу згоди.

Припустімо, що зловмисник надсилає електронного листа об’єкту, видаючи себе за співробітника Google. У цьому електронному листі зловмисник повідомить об’єкту, що йому потрібно ввійти у свій обліковий запис Google Workspace, щоб виконати якусь функцію. Наприклад, цілі можуть сказати, що їм потрібно ввійти, щоб підтвердити свою особу.

Зловмисник надасть у своїй електронній пошті посилання, яке, як вони стверджують, веде на сторінку входу в Google Workspace. Якщо цільова особа не знає про аферу, вона може натиснути посилання.

Це момент, у якому фішинг згоди відрізняється від типового фішингу облікових даних. На наступному етапі атаки зловмисник використовуватиме шкідливий додаток, розміщений у законного провайдера, для доступу до даних жертви. Коли жертва натискає шкідливе посилання, вона потрапляє на сторінку дозволів, де її попросять надати постачальнику певний доступ.

Оскільки жертва вважає, що має справу з легітимною сторінкою, цілком ймовірно, що вона надасть ці дозволи. Однак на даний момент зловмиснику надано доступ до облікового запису жертви Google Workspace.

Але навіщо зловмиснику потрібен доступ до чийогось облікового запису хмарного сховища?

Наслідки фішингу згоди

У грі з кіберзлочинністю дані можуть бути безцінними. Існують різні види інформації, якою зловмисник може скористатися для власної вигоди, наприклад платіжна інформація. Але навряд чи хмарний обліковий запис міститиме такі дані. Отже, який сенс фішингу згоди?

Багато зловмисників намагаються націлитися на облікові записи хмарних сховищ організації, щоб отримати доступ до даних компанії. Такі дані можуть бути корисними кількома способами.

По-перше, зловмисник може продати організаційні дані на темному веб-ринку. Такі незаконні куточки Інтернету надзвичайно популярні серед кіберзлочинців, оскільки від продажу даних можна отримати величезні прибутки. Кіберзлочинці також можуть викрасти дані компанії та вимагати викуп за їх повернення, що може виявитися вигіднішим, ніж просто продавати ці дані в темній мережі. Тобто, якщо вони цього також не зроблять…

Як запобігти фішингу згоди

Фішинг згоди часто використовується проти організацій, а не окремих осіб (ось чому Google Workplace є гарним прикладом ; він ідеальний для компаній). Тому важливо, щоб керівники компаній навчали своїх співробітників тому, як працює фішинг згоди. Багато людей зовсім не знайомі з фішингом і попередженнями, на які їм слід звернути увагу, тому показ співробітникам, як визначити можливу шахрайську електронну пошту, може бути неоціненним для безпеки компанії.

Крім того, можливо, варто мати список попередньо авторизованих програм, до яких даний працівник може отримати доступ на своїх робочих пристроях. Це може усунути ймовірність того, що будь-який співробітник несвідомо надасть дозволи шкідливій програмі.

Застосування інших заходів безпеки також може бути корисним, як-от фільтри захисту від спаму та двофакторна автентифікація (2FA).

Захистіть свої дані, знаючи, на що звернути увагу

Фішинг згоди та фішинг загалом може мати руйнівні наслідки. Цей тип кібератак надзвичайно ефективний у шахрайстві жертв. Однак є способи виявити фішинг згоди та зупинити його на місці. Завдяки освіті та пильності ви можете ефективно захистити свої дані, утримуючи їх від рук зловмисників.