Фишинг

Фишинг ( сөзүнөн  «балык уулоо, тутуу») — колдонуучунун аты, сыр сөзү, банктык эсеби ж.б. ушул сыяктуу жеке маалыматтарын урдоого багытталган интернет-алдамчылыктын түрү.

Бүгүнкү күндө фишинг-алдамчылыктын түрлөрү көп, анын орчундуу бөлүгүн почтага келген билдирүүлөр түзөт. Алдамчылар бул билдирүүлөрүндө колдонуучуну ар кыл себептерди айтып, эсебин жаңылоосун, маалыматтарын кайрадан киргизүүсүн өтүнүүсү мүмкүн. Демейки түрдө жөнөтүлгөн шилтемеде кайсы бир сайттын көчүрмөсү, анын жасалма талаалары, колдонуучунун интерфейси болот.

Фишинг-алдамчылык коомдук инженериянын ыкмаларына негизделет. Колдонуучуну коркутуу, шантаж, алдоо жана түрдүү манипуляциялар аркылуу билдирүүгө ишендирип, шилтеме аркылуу өтүп, жеке маалыматтарын өзү эле берип коюусуна багытталган. Ушундан улам, терминдин аталышы да «балык уулоо» аталат.

Фишинг-алдамчылык менен күрөшүү коопсуздук тармагынын негизги багыттарынын бири болуп эсептелинет. Заманбап браузерлер коопсуз сайттарга өтүүдө коркунуч тууралуу билдирүү жөнөтүп же колдонуучунун иш-аракетине чектөө коюп коюшу мүмкүн. Ошондой эле, браузерлер «антифишингдик» чыпкалагычтарды камтыйт.

 Тарыхы 
 Алгач 
Фишинг-алдамчылыгынын ыкмалары эң биринчи 1987-жылы сүрөттөлгөн. XX кылымдын 90-жылдарында түрдүү интернет-алдамчылар жамааттары AOL (America Online) аркылуу кредиттик карта, акча которуулар тууралуу маалыматтарды уурдашкан. Ал эми «phishing» сөзүн коомдун колдонуусуна белгилүү хакер Ханс С. Смит киргизген. Мындай аталыш AOHell хакердик куралында эскерилгендиги катталган. Хакердик жамааттар бул курал менен AOL кызматкери катары өзүн тааныштырып, колдонуучуларга сыр сөзүн ачыктоосун өтүнгөн көп өлчөмдөгү каттарды жөнөтө алган. 

 2000-жылдар 
2000-жылдары фишинг-алдамчылык алда канча уюшулган, кыйла багыттуу боло баштаган. Америка Кошмо Штаттарынын Нью-Йорк шаарындагы  2001-жылдын 11-Тогуздун айындагы террористтик чабуулдарынан кийин, адамдын курман болгондордун катарында жок болгондугун текшерүү максаты менен алдаган чабуулдар катталган.

Эң биринчи E-gold төлөө тутумун бузуу аракети ошол эле жылдын Кулжа айында коомдун көңүлүн бурган. 

Эң биринчи банкка жасалган фишинг-чабуул 2003-жылдын Тогуздун айында болгон.

2004-жылдын Бугусунан 2005-жылдын ошол эле айына чейин Кошмо Штаттарда 1,2 миллион компьютер колдонуучусу жалпы 929 миллион доллар алдаткан.

Ушул мезгилдерде интернет-алдамчылык уюшулган кылмыштын түрү катары таанылып, хакерлер жамааттарына каршы түрдүү програмдык камсыздоолорду сунуштаган компаниялар пайда боло баштайт.

Буга карабастан, мисалы Бириккен Падышачылыктын банк тармагы кескин жабыркап, бул өлкөдө 2004-жылга караганда 2005-жылы фишинг-алдамчылыктын статистикадагы катышы өскөн.

2006-жылдагы фишинг-уурдоолордун жарымы Санкт-Петербургда орун алган Орус ишкердик тармагы аркылуу кылмыштуу топтор тарабынан жасалган.

Электрондук почтанын жардамы менен Американын салык кызматынын атынан жалган каттарды жөнөтүү аркылуу миңдеген жарандардын жеке маалыматтары үчүнчү тараптын колуна түшкөн. Ушул мезгилдерде алгачкы коомдук тармактар да фишинг-алдамчылык уялаган жерге айлана баштаган. 2006-жылы фишингдик сайттарды камтыган шилтемелерди жайгаштыра турган тармактык курт MySpace социалдык тармагында пайда болгон.

Мындай курттар 2008-жылы ВКонтакте тармагында да жайыла баштаган.

2007-жылы 3,6 миллион адам фишинг-чабуулдардын айынан жалпы 3,2 миллиард америка долларын уурдаткан.

Фишинг менен күрөшүү тобунун 2009-жылдын үчүнчү чейрегинде алган маалыматына ылайык, электрондук почта аркылуу жасалган фишинг-алдоолордун веб-баракчаларынын 25% Кытай менен Америкада жайгашкан.

 2010-жылдар 
Дүйнөлүк интернет-глобалдашуунун натыйжасында, бул аралыкта фишинг-алдамчылыктын саны кескин өскөн. 

2011-жылы Эки фактордук тастыктоо кызматын көрсөткөн RSA компаниясынын SecureID технологиясынын коопсуздук токендери фишинг-чабуулу аркылуу уурдалган.

Кытайдын фишинг-чабуулдары Корея Республикасынын жана Кошмо Штаттардын жогорку саясий жана согуштук кызматтагы адамдарына, ошондой эле, оппозициялык маанайдагы кытай активисттерине каршы колдонулган.

Маалыматтарга ылайык, фишинг чабуулдары 2010-жылы 187 203 жолу катталса, 2012-жылы ал сан 445 004 кө жеткен. Веб-сунуштоолорго негизделген Outbrain платформасы 2013-жылдын Аяк оона айында багыттуу фишинг-чабуулга кабылган."Syrian hackers Use Outbrain to Target The Washington Post, Time, and CNN" , Philip Bump, The Atlantic Wire, 15 August 2013. Retrieved 15 August 2013.

Башкы мүдүр жана коопсуздук тармагынын кызматкерлеринин жумуштан айдалышына  алып келген, 110 миллион кардар тууралуу жазуулар, анын ичинде кредиттик карталардын маалыматы уурдалган окуя Жетинин айында орун алган.

2014-жылдын Аяк оонасындагы таанымал адамдардын жеке сүрөттөрү iCloud сактагычынан алынып, коомго жайылышына да электрондук почтага жөнөтүлгөн фишинг каттар себепкер болгон. Жабыр тарткандардын айтымында, бул каттар Apple жана Google жөнөткөндөн эч айырмаланган эмес.Prosecutors find that ‘Fappening’ celebrity nudes leak was not Apple’s fault  March 15, 2016, Techcrunch

«IP-дарек жана домендик аттарды башкаруу корпорациясына» ошол жылдын Жетинин айында чабуул жасалып, кылмышкерлер берилиштер аймактарынын борборлошкон түзмөгүн башкарууга мүмкүнчүлүк алышкан.

Америкалык коопсуздук кызматы Орусиянын мамлекеттик атайы кызматтары менен байланыштырган «Кызык аюу» хакердик тобу Ак үй, Пентагон, Түндүк Атлантикалык Конвенция Уюмуна 2015-жылдын Аяк оона айында электрондук почта аркылуу багыттуу фишинг-чабуул жасаган. 

2016-жылдын биринчи чейрегинде Кошмо Штаттардын Демократиялык партиясынын улуттук комитети менен байланышы бар болгон электрондук почталарга багыттуу фишинг-чабуулдары аткарылган.

2016-жылдын Аяк оонасында Бундестагдын мүчөлөрү, ошондой эле партиялардын төрага жана төрайымдары фишинг-алдамчылыгынан жабыр тарткандыгын билдиришкен. Бул окуяга «Кызык аюу» жооптуу деген божомол бар. 2016-жылдын Аяк оонасында Эл аралык допингге каршы агенттиги анын берилиштер базасындагы колдонуучуларга расмий ЭАДКАнын атынан каттар жөнөтүлгөн. Буга жогоруда аталган орус хакерлери жооптуу катары аныкталган.

Маалыматтарга ылайык, 2017-жылы уюмдардын 76% фишинг-чабуулдарга дуушар болгон. Катардын жашоочулары жана жеке ишкерлери ушул эле жылдын биринчи чейрегинде эле 93 570 чабуулдан жабыр тарткандыгын билдиришкен.

2017-жылдын Аяк оонасында Amazon кардарлары бир нерсе сатып алууга аракет жасаганында, транзакция аяктабай, картанын маалыматтарын кайрадан киргизүүсүн талап кылган фишинг-чабуулдан жабыр тартышкан.

Интернет кылмыштуу тобу 2018-жылы EOS.IO блокчейнин ойлоп тапкан block.one компаниясынын кардарларына криптобирдигинин капчыгынын ачкычын алууну көздөп, фишингдик электрондук каттарды жөнөткөн, андан соң airdrop токендерине кол салган.

 2020-жылдар 
Бул жылдарга чейин фишинг-алдамчылыгы чоң өзгөрүүлөргө жетти. Мында, коомдук инженериянын ыкмалары активдүү колдонула баштады. Буга 2020-жылдын 15-Текесинде Twitter социалдык тармагынын 17-жаштагы хакер жана анын шериктери тарабынан бузулушу мисал боло алат. Алар алгач, онлайн иштеген Twitter кызматкерлери өз ара, компаниянын ичинде колдонгон VPN-провайдеринин веб-сайтынын жасалма көчүрмөсүн түзүшкөн. Кызматкерлерге телефон аркылуу чалып, ошол веб-сайтка жеке эсептеринин маалыматын жөнөтүүсүн өтүнүшкөн. Жыйынтыгында, Барак Обама, Илон Маск, Жо Байден сыяктуу адамдардын жана Apple Inc. компаниясынын жеке эсептерине ээлик алышкан. Андан соң, хакерлер бул жеке эсептер аркылуу миллиондогон колдонуучуларга биткойн жөнөтүүсүн суранышкан. Жыйынтыгында мыйзам бузуучулар жалпы 12,86 BTC (ал учурда 117 миң доллар) чогулта алышкан.

2019-жылдын Жетинин айында башталган COVID-19 пандемиясында орун алган карантиндик чектөөлөрдү колдонгон интернет-алдамчылар көбөйгөн. Бир катар өлкөлөрдө үйгө мамлекет же гуманитардык уюм тарабынан бекер тамак, керектүү нерселер жеткирилет деп, жеке маалыматтарды толтуртуп алууну көздөгөн фишинг-шилтемелер жана жабырлануучулар катталган.https://www.ncbi.nlm.nih.gov/pmc/articles/PMC9349804/

 Түрлөрү 
 Электрондук почта фишинги 
Адатта электрондук почтага спам аркылуу жеткирилген фишинг-чабуулдар алдамчылык менен колдонуучуларды өзүнүн жеке маалыматтарын берүүсүнө далалат кылышат. Чабуулдардын ири бөлүгү жалпы маанайда, тагыраагы кенен аудиторияга таратуу менен жасалат.
Мыйзам бузуучунун көздөгөн жабырлануучусу түрдүү болушу мүмкүн, бирок негизинен каржы мекемелерге, электрондук почта, булут сактагыч, агым кызматтарына багытталган.
Алынган маалымат акча уурдоого, зыянкеч програмдарды орнотууга же багыттуу фишинг үчүн колдонулушу мүмкүн.
Ошондой эле, абийир буза турчу маалыматтар даркнет базарында сатууга коюлат.
 Багыттуу фишинг 
Бул белгилүү бирөөнүн электрондук почтасына ишендирүү үчүн жасалган фишингдик чабуул.
Көпчүлүк учурда мындай чабуулдар компаниянын каржы бөлүмдөрүнүн кызматкерлерин көздөйт. Мындан тышкары, баалуу ички маалымат алып жүрүүчү тигил же бул кызмат орундагыларына каршы колдонулушу мүмкүн.

Threat Group-4127 (Кызыл аюу) тобу Хилари Клинтондун кампаниясы учурунда account-google.com домени менен фишинг-чабуулун аткарып, 1800 колдонуучуну коркуткан.

Ар кыл курактагы колдонуучулардын арасында жүргүзүлгөн изилдөөдө, 21 күндүн ичинде жаш кызматкерлердин 43%, улуу муундагы кызматкерлердин 58% багыттуу фишингдик шилтемелерди басышкан. Жаштардын шектенүүсү күн сайын өссө, кары топтогулардыкы өзгөргөн эмес.

 Жетекчиге багытталган фишинг 
«Уэйлинг» ( «кит уулоо») — бул жогорку даражадагы кызмат орунундагы же чоң мансаптагы адамга багытталган чабуул.
Көпчүлүк түрдө сотко чакыруу же кардардын даттануусу түрүндө болушу мүмкүн.

Мындай кесепчилик, мисалы мүдүр тарабынан катардагы кызматкерге оффшордук эсепке белгилүү суммада акча которуусун буюрган электрондук кат түрүндө болушу мүмкүн. Бул жол өтө төмөн мүмкүнчүлүккө ээ болсо дагы, ишке ашкан учурда «кайырмакка илинген кит» олуттуу чыгым тартат.

 Кайталанма фишинг 
«Клон-фишинг» — бул электрондук почтага бир аз мурун келген билдирүүнүн көчүрмөсүн кайталаган чабуул. Колдонуучу кайсы бир расмий билдирүүнү алып, ага өзүнүн маалыматтарын киргизет. Ошол эле каттын клон-фишинги кайрадан кайталанып келгенинде, колдонуучуга мурда жөнөтүлгөн маалымат кетпей калгандай туюлат да, өзүнүн жеке маалыматын жазып берет.

 Үн фишинги 
«Вишинг» — бул VoIP аркылуу жасалган чабуул.
Мында, кылмышкерлер коомдук инженериянын ыкмаларын колдонуп, бир убакта максималдуу көп адамга банк же платформанын атынан чалып, алардын жеке эсебинде кесепчилик болгондугу жаздырылган үндөрдү угузушат. Андан соң, жабырлануучуга жеке маалыматты билдирүүсүн же оператор менен байланышуусун сунушташат. Вишинг адамдардын телефонияга ишенимин жана маалыматынын төмөндүгүн колдонот.
 SMS фишинги 
«Смишинг — бул мобилдик же акылдуу телефон аркылуу жөнөтүлгөн SMS-кат аркылуу жасалган алдамчылык. Көпчүлүк учурда, жабырлануучуну кылмышкер сунуштаган шилтеме аркылуу өтүүсүн же телефон номерине чалуусун өтүнүп, андан соң жеке маалыматтарын ачыкташын суранышы мүмкүн.
 Веб-баракча фишинги 
Колдонуучу кайсы бир расмий баракчага өтүп жаткандыгында, жасалма баракча ачылышы мүмкүн болгон чабуул.
 Күнбарак фишинги 
Колдонуучунун күнбарагында иш-чарага чакыруу пайда болот дагы, убактысы келгенинде кабар келет. Мындай чабуул күнбарактарга автоматтык түрдө чакыруулардын кошулуп калуусуна негизделет. Google компаниясынын мурдагы башчысы Шуман Госемажумдер Google Күнбарагын колдонууда жөндөмөлөрдө автоматтык чакырууларды кошуу функциясын өчүрүп коюуну сунуштаган.

 Кыргызстандагы фишинг-алдамчылык 
Кыргызстанда фишинг-алдоолор кенен жайылган. Колдонуучулардын маалыматы жоктугун, сабатсыздыгын колдонгон кылмышкерлер тигил же бул темада жасалма сайттарды таратышат.
2022-жылы бир катар кыргызстандык «ЭЛСОМ», «MegaPay», «Balance», «О!Деньги», «Элкарт» электрондук капчыктары жана ири уюмдар «КыргызПочтасы», «КумтөрГолдКомпани» колдонуучуларын алардын тиркемесин кайталаган жасалма сайттар жайылып жаткандыгын эскертип, сак болуусун, шектүү сайттарга жеке маалыматтарды жазбоосун өтүнгөн.https://www.akchabar.kg/ru/article/products/internet-moshennichestva-kak-ne-stat-ocherednoj-zhertvoj-obm/https://24.kg/obschestvo/234178_kak_vyichislit_moshennika_isohranit_dengi_nakarte_ielektronnom_koshelke/

Кыргыз Республикасынын Улуттук коопсуздук мамлекеттик комитети 2021-жылы Касперский лабораториясы менен кибер-коопсуздук тармагында меморандумга кол койгон.
Касперский лабораториясынын маалыматы боюнча 2019-жылдын Үчтүн айы — Теке айларында корпоративдик колдонуучулардын 19% веб-коркунучка дуушар болушкан. 2021-жылдын алгачкы алты айында Касперский лабораториясы Кыргызстанда 60 миң фишинг баракчаларына өтүү аракеттери чектелгендигин кабарлаган.https://24.kg/english/206818_Every_fourth_Internet_user_faces_cyber_threats_in_Kyrgyzstan/

 Ыкмалары 
 Шилтеме алдамчылыгы 
Фишинг-алдамчылыгы көбүнчө расмий сыяктуу көрүнгөн уюмдардан жөнөтүлгөн жасалма шилтемелерге негизделет.

Колдонуучуну адаштыруу максатында бул шилтемелер ката жазылган, мисалы бир тамгасы өзгөртүлгөн URL-даректерди же субдомендерди колдонуусу мүмкүн.

http://www.yourtube.example.com

Жогорудагы мисалда, жасалма URL-дарек youtube.com сайты катары кабыл алынышы ыктымал. 

Көпчүлүк учурда, жаңы домен каттоо менен алышууну каалабай, ишендирүүчү текст жазып, ага шилтемени тиркеп коюшат.

Эл аралык домендик аттарды колдонуу менен кылмышкерлер чыныгы сайттардын дал өзүндөй көчүрмөсүн жасап, фишинг-баракчанын ишенимдүүлүгүн арттыра алышат.

Кээ бир учурларда SSL-сертификаттар да жардам бербеши мүмкүн. Анткени мыйзам бузуучулар чыныгы SSL-сертификаттарды сатып алып, ички контентин өзгөртүп, расмий сайттардын имитациясын жасап алууга мүмкүнчүлүгү бар.
 Чыпкалоодон качуу 
Браузерлер фишингге каршы күчтүү чыпкалагычтар менен толукталган. Бирок буга карабастан түрдүү айла-амалдар менен чыкпалагычтардын торуна илинбей калган чабуулдар да бар. Мисалы, хакерлер электрондук каттарда жазуунун ордуна сүрөт колдонушкан. Жооп катары чыпкалагычтар символдорду оптикалык аныктоо жолу менен сүрөттө жашырылган текстти табууну киргизишкен.
 Коомдук инженерия 
Фишинг-алдамчылык коомдук инженерияны активдүү колдонот. Мында, адамдын тигил же бул кырдаалга болгон реакциясы, иш-аракеттери баамдалып, ошонун негизинде чабуулдун логикасы курулат. Мисалы, хакер адамды коркутуп, шаштырып, рационалдуу ойлонууну жоготуп коюуга далалат кылышы ыктымал.

Же болбосо, адамдын саясий, коомдук көз караштарын колдонуп, шилтеме аркылуу(кандайдыр бир жаңылык болушу мүмкүн) өтүшүн камсыздашат.

 Юридикалык тарабы 
Кыргыз Республикасынын Кылмыш-жаза кодексинин 40-бап 319-беренесине ылайык, компьютердик маалыматка жана электрондук документтерге, маалымат тутумуна же электр байланыш тармагына атайын жасалган cанкцияланбаган жеткиликтүүлүк үчүн 50 миң сомдон 100 миң сомго чейин же беш жылга чейинки мөөнөткө эркиндигинен ажыратууга жазаланышы мүмкүн.http://cbd.minjust.gov.kg/act/view/ru-ru/112309/40?cl=ky-kg&mode=tekst

2004-жылдын 26-Үчтүн айында Америка Кошмо Штаттарынын федералдык соода комиссиясы биринчи жолу America Online аркылуу фишингдик зыян келтирген калифорниялык өспүрүмгө каршы сотко доосун билдирген.

Фишинг чабуул аркылуу эки жыл ичинде 18-37 миллион доллар уурдаган кылмыштуу топтун түзүүчүсү Валдир Паулу де Алмейда Бразилияда кармалган.

Улуу Британиянын бийлиги 2005-жылдын Кулжасында эки эркек кишини эркинен ажыраткан.

Япония полициясы 2006-жылы Yahoo Japan жасалма сайттары аркылуу 870 миллион доллар уурдаган сегиз адамды түрмөгө камаган.

2005-жылдын 1-Жалган Куранында АКШ Конгрессине сенатор Патрик Лихи «Фишинг менен күрөшүү мыйзамын» сунуштаган. Бул мыйзам электрондук каттарды жана жасалма веб-сайттар аркылуу колдонуучуларды алдаган кылмышкерлерди беш жылга эркинен ажыратууга жана 250 миң доллар айып пул салууга багытталган.

Улуу Британиянын 2006-жылы киргизген мыйзамына ылайык фишинг куралдарын түзүү тыюу салынып, фишинг чабуулдарын жасаган кылмышкерлер он жылга чейин эркинен ажыраткан.

 Шилтемелер