FIŠING, VIŠIN, KVIŠING I SMIŠING POSTALI – MIŠING Krađe preko mobilnih telefona omiljena rabota pljačkaša
Preduzeća sve više oslanjaju svoje poslovanje na mobilne telefone, to je činjenica koja se sada već ozbiljno uzima u obzir i kada je raspored zadataka u pitanju, ali i zaštita od sajber napada.
Jer, što je sistem razuđeniji, veće su šanse da se zid negde probije, a spajanje ličnih i poslovnih aktivnosti na mobilnim uređajima stvorilo je idealnu platformu za novu generaciju ciljanih fišing kampanja. Ne čudi zato što su sajber-kriminalci prešli na strategiju napada u kojoj je mobilna tehnologija u prvom planu (mobile-first). Da stvari budu gore, otkrili su podmukli novi napadni vektor: kombinaciju socijalnog inženjeringa i mobilnih uređaja.
Najnovija analiza kompanije Zimperium otkriva zabrinjavajuće trendove u fišing napadima specifičnim za mobilne uređaje i oni su zaslužni za njihovo novo ime – „mišing“ (mishing). Ovi napadi koriste jedinstvene karakteristike mobilnih platformi za sprovođenje ciljanih kampanja, eksploatišući specifične funkcije mobilnih uređaja, njihove ranjivosti i korisničke navike. To znatno otežava otkrivanje i analizu u poređenju sa fišing napadima na tradicionalnim radnim površinama ili laptop računarima.
Osim klasičnih prevara, usmerenih na bankarske i platne sisteme, mišing kampanje su zabeležene i u znatno opasnijim scenarijima. One uključuju preuzimanje malvera sposobnog da preotme jednokratne lozinke (OTP – one-time passwords) i verifikacione kodove, imitira ekrane aplikacija i krade akreditive za pristup poslovnim aplikacijama. Ovi malveri vrlo su sofisticirani i brzo prilagodljivi, pa su veliki sistemi, bez obzira na resurse, praktično uvek korak iza hakera i zlonamernih napada.
Jedan zanimljiv primer je kampanja krađe SMS poruka koju je otkrio zLabs. U velikoj kampanji, usmerenoj na android uređaje, distribuirano je više od 100.000 malvera u 113 zemalja. Napadači koriste lažne oglase i telegram botove kako bi prevarili korisnike da instaliraju zlonamerne aplikacije koje presreću SMS poruke, uključujući jednokratne lozinke, čime kompromituju naloge na više od 600 globalnih servisa.
Šta je šta
- Mišing (mishing), termin koji je skovala kompanija Zimperium, obuhvata različite vrste fišing napada usmerenih na mobilne uređaje:
- Fišing putem mejla usmerenog na mobilne uređaje – Standardni fišing napad putem mejla koji se izvršava isključivo s mobilnog uređaja.
- Smišing (smishing) – Ciljani fišing napad koji se dostavlja putem tekstualnih poruka (SMS).
- Kvišing (quishing) – korišćenje QR kodova za prikrivanje krajnje odredišne adrese.
- Višing (vishing) – Fišing napadi zasnovani na glasovnim pozivima, koji putem socijalnog inženjeringa manipulišu žrtvama da preduzmu nebezbedne radnje, poput klikanja na link u SMS poruci ili otkrivanja osetljivih podataka, kao što su akreditivi za prijavu ili jednokratni lozinkasti kodovi (OTP).
- Fišing napadi zasnovani na Wi-Fi mreži (takozvani „Evil Twin“ napad).
Jedna od slabosti je i aplikacija preko koje je zabeleženo najviše napada: doskoro zaboravljeni SMS sistem ponovo je aktuelan, pošto se preko njega šalju jedinstveni kodovi za potvrdu nekih transakcija ili operacija. Ne čudi zato što je najpogodniji kanal za neovlašćene upade i pokušaje da se preuzme telefon slanjem lažnih kodova i linkova za potvrdu identifikacije.
I, na kraju, važno je reći da su mobilni operativni sistemi vremenom izgradili poverenje korisnika, koji se osećaju zaštićeno, nakon što su naučili da preuzimaju samo verifikovane aplikacije. Taj osećaj izaziva svojevrsnu uljuljkanost i smanjenje pažnje, a to otvara vrata za dodatne hakerske pokušaje.
Napadi zasnovani na SMS-u (smishing) i aplikacijama za razmenu poruka predstavljaju dominantnu vrstu pokušaja upada u sistem. Imejl napadi nalaze se na drugom mestu, praćeni napadima zasnovanim na PDF dokumentima. Iako QR kodovi trenutno čine mali procenat fišing napada, njihova sposobnost zaobilaženja tradicionalnih bezbednosnih mera, kao i sve šira primena, ukazuju na njihov značajan potencijal za buduće zloupotrebe.
Smišing je sada najčešći oblik mobilnog fišinga, čineći 37 odsto napada u Indiji, 16 odsto u SAD i 9 odsto u Brazilu. S druge strane, kvišing se smatra novom rastućom pretnjom, sa značajnom aktivnošću u Japanu (17 odsto), SAD (15 odsto) i Indiji (11 odsto). Osim toga, tri odsto fišing sajtova koristi preusmeravanje specifično za uređaj – prikazujući bezazlen sadržaj na desktopu, dok mobilnim uređajima šalju fišing napade.
Aktivnost mišinga dostigla je vrhunac u avgustu 2024. godine, kada je zabeleženo preko 1.000 napada dnevno, dodaje Zimperium.
„Mišing nije samo evolucija tradicionalnih mobilnih fišing taktika – to je potpuno nova kategorija napada, osmišljena tako da iskoristi specifične mogućnosti i ranjivosti mobilnih uređaja, kao što su kamere”, izjavio je Niko Čiaraviglio, glavni naučnik u kompaniji Zimperium.
Ivana Radoičić