Ֆիշինգ

Ֆիշինգ (), կիբեռհանցագործության տեսակ, որի նպատակն է ստանալ որևէ սոցիալական կայքի օգտատիրոջ գաղտնի տվյալները, ծածկագիրը և ծածկանունը։ Սա կատարվում է զանգվածային  էլեկտրոնային սպամ նամակների միջոցով, որոնք հասցեատիրոջը հասնում են հայտնի բրենդների անունից, ինչպես նաև տարբեր ծառայությունների վերաբերյալ անձնական նամակներ, օրինակ բանկի կամ սոցիալական ցանցերի կողմից։ Նամակը հաճախ պարունակում է ուղղակի կայքի հղումը, որը արտաքնապես չի տարբերվում իրական նույն կայքից։ Այն բանից հետո, երբ  հաղորդագրության օգտատերը ստանում է կեղծ էջը, խաբեբաները (հաքերները) տարբեր հոգեբանական հնարքներով փորձում են դրդել օգտատիրոջը մուտք գործել կեղծ էջ՝ իրենց իրական մուտքանունը և գաղտնաբառը լրացնելով, որը հաքերներին թույլ է տալիս մուտք գործել դեպի օգտատիրոջ բանկային հաշիվ կամ ակաունտ։

Իբրևագրոհը սոցիալական ինժեներիայի տարատեսակներից մեկն է, որը հիմնված է ցանցային անվտանգության հիմնադրույթների չիմացության վրա. օրինակ՝ շատերը չգիտեն, որ որևէ ընկերություն կամ կազմակերպություն երբեք չի ուղարկում հաղորդագրություն, որում տեղեկություն է խնդրում ձեր անձնական տվյալների, ծածկագրի կամ այլնի վերաբերյալ։

Ֆիշինգից պաշտպանվելու համար հիմնական ինտերնետ-դիտարկիչները պայմանավորվել են նույնական միջոցների կիրառման մասին, օգտատերերին իրազեկելով, որ բացվել է ոչ պաշտոնական հաքերային կայք, որը կարող է պատկանել խարդախներին։ Նորագույն բրաուզերները արդեն ունեն նմանատիպ հնարավորություն, որը համապատասխանաբար կոչվում է «անտիֆիշինգ»։

Պատմություն 
Ֆիշինգի տեխնիկան մանրամասնորեն նկարագրվել է 1987 թվականին, իսկ ինքը եզրույթը հայտնվել է 1996 թվականի հունվարի 2-ին, Usenet ցանցի alt.online-service.America-Online նորությունների խմբում, թեև հնարավոր է, որ այն հիշատակված լինի հաքերային «2600: The Hacker Quarterly» ամսագրում։

Վաղ ֆիշինգը Էյ-Օու-Էլ-ում 
AOL-ում կատարված ֆիշինգը սերտորեն կապված է հեղինակային իրավունք խախտող ծրագրային ապահովումների, խարդախությունների, վարկային քարտերի և այլ ցանցային հանցագործությունների հետ։

Ֆիշինգիստները ներկայացել են որպես AOL-ի աշխատակիցներ և ակնթարթային հաղորդագրությունների ծրագրերով դիմել իրենց հավանական զոհին՝ փորձելով իմանալ նրա գաղտնաբառը։ Որպեսզի համոզեն, զոհին օգտագործել են այնպիսի արտահայտություններ, ինչպիսիք են «ակաունտի հաստատում», վճարման տեղեկատվության հաստատում։ Երբ զոհը ասել է իր գաղտնաբառը, խաբեբաները մուտք են գործել նրա տվյալներ և նրա ակաունտը օգտագործել են խարդախ նպատակներով և փոստաղբ ուղարկելու նպատակներով։ Ֆիշինգը հասել է այնպիսի չափերի, որ Էյ-Օու-Էլ-ը իր բոլոր հաղորդագրություններում ավելացրել է հետևյալ արտահայտությունը. «AOL-ի որևէ աշխատակից երբեք չի խնդրի Ձեր գաղտնաբառը և  վճարային տեղեկատվությունը»:

1997 թվականից հետո AOL-ը խստացրել է իր քաղաքականությունը ֆիշինգի հետ և մշակել է կեղծ հաշիվների վերացման համակարգ։ Այդ նույն ժամանակ շատ ֆիշինգիստներ, որոնց մեծ մասը հիմնականում պատանիներ էին, այլևս չեն փորձել որևէ խարդախություն կատարել AOL-ի նկատմամբ, և AOL-ի սերվերներում ֆիշինգը աստիճանաբար անհետացավ։

Անցումը ֆինանսական հաստատությունների 
AOL-ի հաշիվները գողանալավ՝ ֆիշինգիստները մուտքի հնարավորություն ստացան դեպի վարկային քարտեր՝ ցույց տալով, որ վճարման համակարգը և դրանց օգտատերերը նույնպես շատ խոցելի են։ Առաջին լայնամասշտաբ փորձը եղել է 2001 թվականի հունիսին e-gold վճարման համակարգի վրա, հաջորդ լայնամասշտաբ հարձակումը եղել է e-gold վճարման համակարգի վրա հարձակվելուց անմիջապես հետո՝ սեպտեմբերի 11-ին։

Այդ առաջին փորձերը միայն փորձարկում էին։ Իսկ արդեն 2004 թվականին ֆիշինգը դարձավ մեծ վտանգ ընկերությունների համար, և այդ ժամանակից այն մշտապես զարգանում է, և մեծացնում իր պոտենցիալը։

Ֆիշինգն այսօր 
Այսօր ֆիշինգիստների նշանակետը համարվում են բանկերի հաճախորդները և էլեկտրոնային վճարման համակարգերը։ ԱՄՆ-ում թաքնվելով Ներքին գործերի նախարարության անվան տակ, ֆիշինգիստները հավաքել էին զգալի տվյալներ հարկ վճարողների վերաբերյալ։ Եթե առաջ հաղորդագրությունները ուղարկվում էին պատահականորեն, այն հույսով, որ դրանք կհասնեն իրենց ցանկալի հաճախորդին, իսկ հիմա կիբեռհանցագործը կարող է որոշել ինչ ծառայությունից է օգտվում զոհը, և ուղարկել նպատակաուղղված կեղծ հաղորդագրություն։ Վերջին ֆիշինգային հարձակումները հիմնականում ուղղաված են եղել ուղղակիորեն ղեկավարների և այլ մարդկանց, ընկերություններում բարձր պաշտոն զբաղեցնողների վրա։

Սոցիալական ցանցերը ֆիշինգիստների կողմից արժանանում են մեծ հետաքրքրության, որոնք թույլ են տալիս ձեռք բերել օգտատերերի գաղտնի տվյալներ. 2006 թվականին ֆիշինգիստները տարբեր կեղծ արտաքին հղումներ են տեղադրել MySpace միջազգային կայքում, որպեսզի կարողանան գողանալ կայքի օգտատերերի գաղտնի տվյալները։ 2008 թվականին խոշոր հարձակում է իրականացվել ռուսական հայտնի ՎԿ սոցիալական ցանցի վրա։

Մասնագետների գնահատմամբ, սոցիալական ցանցերում ֆիշինգային հարձակումների ավելի քան 70%-ը հաջող է անցել։

Ֆիշինգը արագորեն թափ է հավաքում, իսկ վնասի գնահատման միավորները խիստ տարբերվում են. Ըստ Gartner ընկերության տվյալների, 2004 թվականին իբրևագրոհների պատճառով կորցրել են 2,4 միլիարդ ԱՄՆ դոլար, 2006 թվականին վնասը կազմել է 2,8 միլիարդ դոլար, 2007 թվականին 3,2 միլիարդ. միայն Միացյալ Նահանգներում 2004 թվականին ֆիշինգի զոհ է դարձել 3,5 միլիոն մարդ, 2008 թվականին ֆիշինգից տուժածների թիվը ԱՄՆ-ում հասել է 5 միլիոնի։

Ֆիշինգի տեխնիկա

Սոցիալական ինժեներիա 

Մարդը միշտ էլ արձանագրում է իր համար կարևոր իրադարձությունները։ Դրա համար կիբերհանցագործները փորձում են իրենց գործողություններով գայթակղել իրենց զոհին, և ստանալ նրա անհապահ արձագանքը։ Որպես օրինակ, էլեկտրոնային նամակը հետևյալ վերնագրով «որպեսզի վերականգնենք ձեր բանկային հաշիվը…», որպես կանոն գրավում են զոհի ուշադրությունը և ստիպում են մարդուն ավելի շատ տեղեկություններ ստանալու համար, մուտք գործի կեղծ վեբ հղումներով։

Վեբ-հղումներ 
Ֆիշինգի մեթոդներում մեծամասնություն է կազմուն կեղծ վեբ հղումները։ Տպագրական սխալներով հաղորդագրությունները հաճախ օգտագործում են խաբեբաները։
Օրինակ՝ https://www.yourbank.example.am/  հասցեն նման է Yourbank բանկի հասցեին, իսկ իրականում այն ֆիշինգիստների կայք է։ Մյուս տարածված հնարքը արտաքնապես ճիշտ հղումներն են։ Օրինակ՝ https://hy.wikipedia.org/wiki/Ճշմարտություն կտանի ոչ թե «Ճշմարտություն» հոդվածը, այլ կտանի «Սուտ» հոդվածը։

Հին մեթոդներից է հղումներում պարունակվող «@» խորհրդանիշը, որը կիրառում են օգտագործողի ծածկանունը և գաղտնաբառը ստանալու համար։ Օրինակ՝ http://www.google.com@members.tripod.com/ հղումը կտանի ոչ թե www.google.com կայքը, այլ members.tripod.com կայքը www.google.com-ի անունից։ Այս գործողությունը Internet Explorer դիտարկիչում կասեցվել է, իսկ Mozilla Firefox-ում և Opera-ում առաջարկում է հաստատել անցումը դեպի կայք։

Մեկ այլ խնդիր է հայտնաբերվել բրաուզերների Միջազգային դոմենային անունների թարմացման ժամանակ. Հասցեները, տեսողական առումով նման են պաշտոնական կայքին, որը կարող է տանել կեղծ կայքի էջ։

Շրջանցելով զտիչներ 
Հաճախ ֆիշինգիստները տեքստի փոխարեն օգտագործում են պատկերներ, որը ավելի է դժվարեցնում կեղծ էլեկտրոնային նամակների բացահայտումը «անտիֆիշինգ» զտիչի միջոցով։ Սակայն մասնագետները սովորել են պայքարել նաև այդ տեսակի ֆիշինգի դեմ։ Փոստային ծրագրերի զտիչները ավտոմատ կերպով արգելափակում են պատկերները, չմտնելով ուղարկված հասցեով։ Միևնույն ժամանակ հայտնվել են տեխնոլոգիաներ, որոնք կարող են մշակել և համեմատել վիրուսային պատկերները նման պատկերների հետ, որոնք կարող են օգտագործվել սպամի և ֆիշինգի համար։

Վեբ-կայքեր 
Խաբեությունը չի վերջանում միայն զոհի կեղծ կայք մուտք գործելով։ Որոշ ֆիշինգիստներ օգտագործում են JavaScript հասցեի տողը փոխելու նպատակով։ Սա կատարվում է պատկերների կեղծ URL հասցեներում կամ փակելով իրական հասցեի տողը և բացելով նոր կեղծ URL հասցե։ 
Դիմակայելու համար անտիֆիշինգային սկաներները սկսել են օգտագործել այնպիսի վեբ-կայքեր, որոնք հիմնված են Adobe Flash տեխնոլոգիայի վրա Արտաքնապես նման կայքը կարծես իրական լինի, սակայն տեքստը թաքնված է մուլտիմեդիա օբյեկտներում։

Նոր  վտանգներ 
Կեղծ վեբ կայքերը դարձել են ֆիշինգի  բազմաթիվ ուղղություններից մեկը։ Նամակները որոնք, կիբերհանցագործները իրական բանկի անունից ուղարկում են հասցեատիրոջը, օգտվողներին կարող են հնարավորություն ընձեռնել, որպեսզի նրանք տեղեկատվություն ստանալու համար զանգահարեն իրենց։ Այս տեխնիկան կոչվում է վիշինգ (ձայնային ֆիշինգը)։ Զանգահարելով նշված համարով օգտվողը լսում է ինքնապատասխանիչի հրահանգները, որոնք հետզհետե տանում են նրան, որ օգտատերը  մուտք գործի իր հաշիվը և մուտքագրի PIN-կոդը։ Հենց իրենք վիշերները կարող են զանգահարել զոհին, համոզել նրան, որ ինքը տվյալ կազմակերպության կամ ընկերության  պաշտոնական ղեկավարներից է։ Ի վերջո մարդուն համոզում են տեղեկացնել իր ակաունտի տվյալները։

Նաև մեծ թափ է հավաքել սմս-ֆիշինգը, որը նաև հայտնի է սմիշինգ (англ. SMiShing - «SMS» և «ֆիշինգ» բառերից)։ Խաբեբաները ուղարկում են էլեկտրոնային հաղորդագրություններ, որոնք պարունակում են ֆիշինգային «կեղծ» կայքի հղում, մտնելով տվյալ կայքի հղումով, զոհը մուտքագրում է իր անձնական տվյալները։ Հաղորդագրության մեջ նաև ասվում է, որ անհրաժեշտության դեպքում զանգահարել խաբեբաներին առաջացած «խնդիրները» լուծելու համար։

Պայքար ֆիշինգի դեմ 
Գոյություն ունեն ֆիշինգի դեմ պայքարի տարբեր միջոցներ, ներառյալ՝ օրենսդրական միջոցներ և հատուկ ստեղծված պաշտպանիչ կայքեր։

Օգտատերերի ուսուցում 
Ֆիշինգի դեմ պայքարը կայանում է նրանում, որ մարդկանց պետք է սովորեցնել տարբերակել ֆիշինգը նրա դեմ պայքարից։ Մարդիկ կարող են  նվազեցնել խաբվելու վտանգը, մի քիչ փոխելով իրենց վարքագիծը։

Գրեթե բոլոր վավերական հաղորդագրությունները  իրենց մեջ պարունակում են մի հիշատակում, որը անհասանելի է ֆիշինգիստներին։ Ոմանք, օրինակ, PayPal-ը միշտ դիմում է իր հասցեատերերին անուններով, իսկ ընդհանուր ուղերձում գրում են «PayPal-ի հարգելի հաճախորդ» կարող է դիտարկվել որպես ֆիշինգային փորձ։

Վարկային կազմակերպությունների և բանկերի նամակները իրենց մեջ հաճախ պարունակում են հաշվեհամարների մի մասը։ 

Անտիֆիշինգային աշխատանքների խումբը, գտնում է, որ  ֆիշինգի սովորական մեթոդները շուտով կդառնան ոչ այնքան կիրառելի։

Տեխնիկական մեթոդներ

Դիտարկիչները նախազգուշական վտանգի մասին 
Ֆիշինգի  պայքարի դեմ այլ ուղղություններից  է ֆիշինգային կայքերի ցուցակի ստեղծումը։ Նման համակարգեր գոյություն ունեն Internet Explorer, Mozilla Firefox, Google Chrome, Safari և Opera։ 

Firefox-ը օգտագործում է Google-ի անտիֆիշինգային  համակարգը։  Opera օգտագործում է PhishTank և GeoTrust  սև ցուցակները։  

2006  թվականին հայտնվել է հատուկ DNS-սերվերները։

Տես նաև 
 Բոտնետ
 Կիբեռպատերազմ
 Համացանցային խարդախություն

Ծանոթագրություններ

Արտաքին հղումներ 
 Էնցիկլոմեդիա․ ֆիշինգ 
 Anti-Phishing Working Group
 Center for Identity Management and Information Protection – Utica College
 Know Your Enemy: Phishing  – Honeynet project case study
 A Profitless Endeavor: Phishing as Tragedy of the Commons – Microsoft Corporation
 Database for information on phishing sites reported by the public – PhishTank
 The Impact of Incentives on Notice and Take-down − Computer Laboratory, University of Cambridge (PDF, 344 kB)

Կիբեռհանցագործություն
Սպամ
Համացանց
Համացանցային տերմինաբանություն
Տեղեկատվական անվտանգություն
Խարդախություն