תפריט
המדריך האולטימטיבי להבנת דיוג בשנת 2023
אז מה זה דיוג?
פישינג הוא סוג של הנדסה חברתית שמרמה אנשים לחשוף את הסיסמאות שלהם או את הסיסמאות שלהם מידע. התקפות דיוג יכולות להיות בצורה של מיילים, הודעות טקסט ושיחות טלפון.
בדרך כלל, התקפות אלו מתחזות לשירותים וחברות פופולריות שאנשים מזהים בקלות.
כאשר משתמשים לוחצים על קישור דיוג בגוף האימייל, הם נשלחים לגרסה דומה של אתר שהם סומכים עליו. הם מתבקשים למסור את אישורי הכניסה שלהם בשלב זה בהונאת הדיוג. ברגע שהם מזינים את המידע שלהם באתר המזויף, לתוקף יש את מה שהם צריכים כדי לגשת לחשבון האמיתי שלו.
התקפות דיוג עלולות לגרום לגניבת מידע אישי, מידע פיננסי או מידע בריאותי. ברגע שהתוקף מקבל גישה לחשבון אחד, הם מוכרים את הגישה לחשבון או משתמשים במידע זה כדי לפרוץ לחשבונות אחרים של הקורבן.
ברגע שהחשבון יימכר, מי שיודע להרוויח מהחשבון יקנה את אישורי החשבון מהרשת האפלה, וינצל את הנתונים הגנובים.
הנה הדמיה שתעזור לך להבין את השלבים בהתקפת דיוג:
התקפות דיוג מגיעות בצורות שונות. פישינג יכול לעבוד משיחת טלפון, הודעת טקסט, דואר אלקטרוני או הודעת מדיה חברתית.
הודעות דיוג כלליות הן הסוג הנפוץ ביותר של התקפת דיוג. התקפות כאלה שכיחות מכיוון שהן דורשות את המאמץ הקטן ביותר.
האקרים לוקחים רשימה של כתובות דוא"ל המשויכות לחשבונות Paypal או מדיה חברתית ושולחים א פיצוץ דוא"ל בכמות גדולה לקורבנות הפוטנציאליים.
כאשר הקורבן לוחץ על הקישור בהודעת הדוא"ל, הוא לוקח אותו לעתים קרובות לגרסה מזויפת של אתר פופולרי ומבקש מהם להיכנס עם פרטי החשבון שלו. ברגע שהם שולחים את פרטי החשבון שלהם, להאקר יש את מה שהוא צריך כדי לגשת לחשבון שלו.
במובן מסוים, סוג זה של דיוג הוא כמו השלכת רשת לתוך להקת דגים; ואילו צורות אחרות של פישינג הן מאמצים ממוקדים יותר.
דיוג בחנית הוא מתי תוקף מכוון לאדם מסוים במקום לשלוח מייל גנרי לקבוצת אנשים.
התקפות דיוג בחנית מנסות להתייחס ספציפית למטרה ולהתחפש לאדם שהקורבן עשוי להכיר.
התקפות אלו קלות יותר לרמאי אם יש לך מידע אישי מזהה באינטרנט. התוקף מסוגל לחקור אותך ואת הרשת שלך כדי ליצור מסר רלוונטי ומשכנע.
בשל הכמות הגבוהה של התאמה אישית, התקפות דיוג עם חנית קשות הרבה יותר לזיהוי בהשוואה להתקפות דיוג רגילות.
הם גם פחות נפוצים, מכיוון שלוקח יותר זמן לפושעים לחלץ אותם בהצלחה.
שאלה: מה שיעור ההצלחה של דוא"ל דיוג?
תשובה: למייל Spearphishing יש שיעור פתיחה ממוצע של דוא"ל של 70% ו 50% של הנמענים לחץ על קישור בדוא"ל.
בהשוואה להתקפות דיוג בחנית, התקפות ציד לווייתנים ממוקדות בצורה דרסטית יותר.
התקפות ציד הלווייתנים רודפות אנשים בארגון כמו המנכ"ל או סמנכ"ל הכספים של חברה.
אחת המטרות הנפוצות ביותר של התקפות ציד לווייתנים היא לתמרן את הקורבן להעברת סכומי כסף גדולים לתוקף.
בדומה להתחזות רגילה בכך שהמתקפה היא בצורה של מייל, ציד לווייתנים עשוי להשתמש בלוגו של החברה ובכתובות דומות כדי להסוות את עצמם.
במקרים מסוימים, התוקף יתחזה למנכ"ל ולהשתמש בפרסונה זו כדי לשכנע עובד אחר לחשוף נתונים פיננסיים או להעביר כסף לחשבון התוקף.
מכיוון שעובדים נוטים פחות לסרב לבקשה ממישהו גבוה יותר, ההתקפות הללו הן הרבה יותר ערמומיות.
לעתים קרובות תוקפים יקדישו זמן רב יותר ליצירת מתקפת ציד לווייתנים מכיוון שהם נוטים להשתלם יותר.
השם "ציד לווייתנים" מתייחס לעובדה שליעדים יש יותר כוח פיננסי (מנכ"לים).
דיוג Angler הוא יחסית סוג חדש של התקפת פישינג וקיים במדיה החברתית.
הם לא עוקבים אחר פורמט האימייל המסורתי של התקפות דיוג.
במקום זאת, הם מתחפשים לנציגי שירות לקוחות של חברות ומרמות אנשים לשלוח להם מידע באמצעות הודעות ישירות.
הונאה נפוצה היא לשלוח אנשים לאתר תמיכת לקוחות מזויף שיוריד תוכנות זדוניות או במילים אחרות ransomware על המכשיר של הקורבן.
התקפת וישינג היא כאשר רמאי קורא לך כדי לנסות לאסוף ממך מידע אישי.
רמאים בדרך כלל מעמידים פנים שהם עסק או ארגון בעל מוניטין כמו מיקרוסופט, מס הכנסה, או אפילו הבנק שלך.
הם משתמשים בטקטיקות פחד כדי לגרום לך לחשוף נתוני חשבון חשובים.
זה מאפשר להם לגשת ישירות או בעקיפין לחשבונות החשובים שלך.
התקפות ויסינג הן מסובכות.
תוקפים יכולים בקלות להתחזות לאנשים שאתה סומך עליהם.
צפו במייסד Hailbytes, דיוויד מקהייל, מדבר על האופן שבו שיחות רובוקות ייעלמו עם הטכנולוגיה העתידית.
רוב התקפות הדיוג מתרחשות באמצעות מיילים, אבל יש דרכים לזהות את הלגיטימיות שלהן.
כשאתה פותח מייל בדוק אם זה מדומיין ציבורי או לא (כלומר, @gmail.com).
אם זה מתחום דוא"ל ציבורי, ככל הנראה מדובר בהתקפת פישינג מכיוון שארגונים אינם משתמשים בדומיין ציבורי.
במקום זאת, הדומיינים שלהם יהיו ייחודיים לעסק שלהם (כלומר, דומיין הדוא"ל של Google הוא @google.com).
עם זאת, ישנן התקפות פישינג מסובכות יותר המשתמשות בתחום ייחודי.
כדאי לבצע חיפוש מהיר בחברה ולבדוק את הלגיטימיות שלה.
התקפות דיוג תמיד מנסות להתיידד איתך עם ברכה או אמפתיה נחמדה.
לדוגמה, בספאם שלי לא מזמן מצאתי מייל דיוג עם הברכה של "חבר יקר".
כבר ידעתי שזה הודעת דיוג, שכן בשורת הנושא נכתב "חדשות טובות על הכספים שלך 21/06/2020".
לראות סוגים אלה של ברכות צריך להיות דגלים אדומים מיידיים אם מעולם לא יצרת אינטראקציה עם איש הקשר הזה.
התוכן של דוא"ל דיוג חשוב מאוד, ותראה כמה תכונות ייחודיות שמרכיבות את רובן.
אם התוכן נשמע אבסורדי, סביר להניח שמדובר בהונאה.
לדוגמה, אם בשורת הנושא נכתב "זכית בלוטו $1000000" ואין לך זכר שהשתתפת אז זה דגל אדום.
כאשר התוכן יוצר תחושת דחיפות כמו "זה תלוי בך" והוא מוביל ללחיצה על קישור חשוד אז ככל הנראה מדובר בהונאה.
לדוא"ל דיוג תמיד מצורף קישור או קובץ חשודים.
דרך טובה לבדוק אם לקישור יש וירוס היא להשתמש ב-VirusTotal, אתר שבודק קבצים או קישורים עבור תוכנות זדוניות.
דוגמה לאימייל דיוג:
בדוגמה, גוגל מציינת שהמייל עלול להיות מסוכן.
הוא מזהה שהתוכן שלו תואם להודעות דוא"ל דומות אחרות של פישינג.
אם אימייל עונה על רוב הקריטריונים לעיל, אז מומלץ לדווח עליו ל-rapportphishing@apwg.org או phishing-report@us-cert.gov כדי שייחסם.
אם אתה משתמש בג'ימייל ישנה אפשרות לדווח על התחזות בדוא"ל.
למרות שהתקפות דיוג מכוונות למשתמשים אקראיים, הן לרוב מכוונות לעובדים של חברה.
עם זאת התוקפים לא תמיד מחפשים כסף של חברה אלא הנתונים שלה.
במונחים עסקיים, נתונים הם הרבה יותר יקרים מכסף והם יכולים להשפיע קשות על חברה.
תוקפים יכולים להשתמש בנתונים שדלפו כדי להשפיע על הציבור על ידי השפעה על אמון הצרכנים והכתמת שם החברה.
אבל זה לא ההשלכות היחידות שיכולות לנבוע מכך.
השלכות אחרות כוללות השפעה שלילית על אמון המשקיעים, שיבוש עסקים והסתה לקנסות רגולטוריים במסגרת תקנת הגנת המידע הכללית (GDPR).
מומלץ להכשיר את העובדים שלך להתמודד עם בעיה זו כדי להפחית התקפות דיוג מוצלחות.
דרכים להכשיר עובדים בדרך כלל הן להראות להם דוגמאות של הודעות דיוג והדרכים לזהות אותן.
דרך טובה נוספת להראות לעובדים דיוג היא באמצעות סימולציה.
סימולציות דיוג הן בעצם התקפות מזויפות שנועדו לעזור לעובדים לזהות דיוג ממקור ראשון ללא השפעות שליליות.
כעת נשתף את השלבים שעליך לנקוט כדי להפעיל קמפיין דיוג מוצלח.
דיוג נותר לאיום האבטחה העליון על פי דוח אבטחת הסייבר של WIPRO לשנת 2020.
אחת הדרכים הטובות ביותר לאסוף נתונים ולחנך עובדים היא להפעיל קמפיין פישינג פנימי.
זה יכול להיות קל מספיק ליצור אימייל דיוג עם פלטפורמת דיוג, אבל יש בזה הרבה יותר מאשר לחיצה על שלח.
נדון כיצד לטפל במבחני דיוג עם תקשורת פנימית.
לאחר מכן, נעבור על האופן שבו אתה מנתח את הנתונים שאתה אוסף ומשתמש בהם.
קמפיין דיוג אינו עוסק בהענשת אנשים אם הם נופלים להונאה. סימולציית דיוג עוסקת בהוראת עובדים כיצד להגיב לדוא"ל דיוג. אתה רוצה לוודא שאתה שקוף לגבי ביצוע הדרכת דיוג בחברה שלך. תעדוף ליידע את ראשי החברה לגבי מסע הדיוג שלך ותאר את מטרות הקמפיין.
לאחר שליחת בדיקת האימייל הבסיסית הראשונה שלך לפישינג, תוכל להודיע לכל העובדים על כל החברה.
היבט חשוב בתקשורת פנימית הוא לשמור על עקביות המסר. אם אתה עושה מבחני דיוג משלך, אז זה רעיון טוב להמציא מותג עשוי עבור חומר ההדרכה שלך.
המצאת שם לתוכנית שלך תעזור לעובדים לזהות את התוכן החינוכי שלך בתיבת הדואר הנכנס שלהם.
אם אתה משתמש בשירות בדיקת דיוג מנוהל, סביר להניח שהם יססו זאת. יש להפיק תוכן חינוכי מבעוד מועד כדי שיהיה לך מעקב מיידי לאחר הקמפיין שלך.
תן לעובדים שלך הוראות ומידע על פרוטוקול ההתחזות הפנימי שלך בדוא"ל לאחר מבחן הבסיס שלך.
אתה רוצה לתת לעמיתיך לעבודה את ההזדמנות להגיב נכון להדרכה.
לראות את מספר האנשים שמזהים ומדווחים בצורה נכונה את האימייל הוא מידע חשוב להרוויח ממבחן ההתחזות.
מה צריך להיות בראש סדר העדיפויות שלך עבור מסע הפרסום שלך?
אירוסין.
אתה יכול לנסות לבסס את התוצאות שלך על מספר ההצלחות והכישלונות, אבל המספרים האלה לא בהכרח עוזרים לך במטרה שלך.
אם אתה מפעיל סימולציית בדיקת דיוג ואף אחד לא לוחץ על הקישור, האם זה אומר שהבדיקה שלך הצליחה?
התשובה הקצרה היא "לא".
שיעור הצלחה של 100% אינו מתורגם כהצלחה.
זה יכול לומר שמבחן ההתחזות שלך היה פשוט קל מדי לזהות.
מצד שני, אם אתה מקבל שיעור כישלון אדיר במבחן ההתחזות שלך, זה יכול להיות משהו אחר לגמרי.
זה יכול להיות שהעובדים שלך עדיין לא יכולים לזהות התקפות דיוג.
כאשר אתה מקבל שיעור גבוה של קליקים עבור מסע הפרסום שלך, יש סיכוי טוב שאתה צריך להוריד את הקושי של הודעות הדיוג שלך.
קח יותר זמן לאמן אנשים ברמה הנוכחית שלהם.
בסופו של דבר אתה רוצה להקטין את שיעור הקליקים על קישור דיוג.
יתכן שאתה תוהה מהו שיעור קליקים טוב או רע בסימולציית דיוג.
לפי sans.org, שלך סימולציית דיוג ראשונה עשויה להניב שיעור קליקים ממוצע של 25-30%.
זה נראה כמו מספר ממש גבוה.
למרבה המזל, הם דיווחו על כך לאחר 9-18 חודשים של אימון דיוג, שיעור הקליקים עבור מבחן דיוג היה מתחת ל-5%.
המספרים האלה יכולים לעזור כהערכה גסה של התוצאות הרצויות שלך מאימון דיוג.
כדי להתחיל את סימולציית ההתחזות הראשונה שלך בדוא"ל, הקפד לרשום את כתובת ה-IP של כלי הבדיקה.
זה מבטיח שהעובדים יקבלו את המייל.
בעת יצירת דוא"ל הדיוג הראשון שלך, אל תעשה את זה קל מדי או קשה מדי.
אתה צריך גם לזכור את הקהל שלך.
אם עמיתיך לעבודה אינם משתמשים כבדים של מדיה חברתית, כנראה שזה לא יהיה רעיון טוב להשתמש בדוא"ל דיוג לאיפוס סיסמת LinkedIn מזויפת. לאימייל הבוחן צריך להיות מספיק משיכה רחבה שלכל אחד בחברה שלך תהיה סיבה ללחוץ.
כמה דוגמאות להודעות דוא"ל דיוג עם משיכה רחבה יכולות להיות:
רק זכור את הפסיכולוגיה של האופן שבו המסר ייקלט על ידי הקהל שלך לפני שתלחץ על שלח.
המשך לשלוח הודעות אימייל לאימון דיוג לעובדים שלך. ודא שאתה מגדיל לאט את הקושי לאורך זמן כדי להגביר את רמות המיומנות של אנשים.
מומלץ לשלוח מיילים חודשיים. אם אתה "משש" את הארגון שלך לעתים קרובות מדי, סביר להניח שהם יתפסו קצת מהר מדי.
לתפוס את העובדים שלך, קצת לא מוגן היא הדרך הטובה ביותר להשיג תוצאות מציאותיות יותר.
אם אתה שולח את אותו סוג של מיילים "דיוג" בכל פעם, אתה לא הולך ללמד את העובדים שלך איך להגיב להונאות שונות.
אתה יכול לנסות כמה זוויות שונות כולל:
כשאתה שולח מסעות פרסום חדשים, וודא תמיד שאתה מכוון את הרלוונטיות של המסר לקהל שלך.
אם אתה שולח דוא"ל דיוג שאינו קשור למשהו מעניין, ייתכן שלא תקבל הרבה תגובה מהמסע פרסום שלך.
לאחר שליחת קמפיינים שונים לעובדים שלך, רענן כמה מהקמפיינים הישנים שהטעו אנשים בפעם הראשונה ועשה סיבוב חדש בקמפיין הזה.
תוכל לדעת את היעילות של האימון שלך אם תראה שאנשים לומדים ומשתפרים.
משם תוכל לדעת אם הם זקוקים לחינוך נוסף כיצד לזהות סוג מסוים של דוא"ל דיוג.
ישנם 3 גורמים בקביעה אם אתה מתכוון ליצור תוכנית אימון דיוג משלך או למיקור חוץ של התוכנית.
אם אתה מהנדס אבטחה או שיש לך כזה בחברה שלך, אתה יכול בקלות להצמיח שרת דיוג באמצעות פלטפורמת פישינג קיימת כדי ליצור את מסעות הפרסום שלך.
אם אין לך מהנדסי אבטחה, ייתכן שיצירת תוכנית דיוג משלך לא באה בחשבון.
ייתכן שיש לך מהנדס אבטחה בארגון שלך, אך ייתכן שהוא אינו מנוסה בהנדסה חברתית או במבחני דיוג.
אם יש לך מישהו מנוסה, אז הוא יהיה אמין מספיק כדי ליצור תוכנית דיוג משלהם.
זה הוא גורם גדול מאוד עבור חברות קטנות עד בינוניות.
אם הצוות שלך קטן, ייתכן שלא יהיה נוח להוסיף עוד משימה לצוות האבטחה שלך.
הרבה יותר נוח שצוות מנוסה אחר יעשה את העבודה בשבילך.
עברת על כל המדריך הזה כדי להבין איך אתה יכול להכשיר את העובדים שלך ואתה מוכן להתחיל להגן על הארגון שלך באמצעות הדרכת דיוג.
מה עכשיו?
אם אתה מהנדס אבטחה ורוצה להתחיל להפעיל את מסעות הפרסום הראשונים שלך לפישינג עכשיו, עבור לכאן כדי ללמוד עוד על כלי הדמיית דיוג שבו תוכל להשתמש כדי להתחיל היום.
אוֹ…
אם אתה מעוניין ללמוד על שירותים מנוהלים להפעלת מסעות פרסום דיוג עבורך, למד עוד כאן על האופן שבו אתה יכול להתחיל את תקופת הניסיון בחינם של אימון דיוג.
השתמש ברשימת הבדיקה כדי לזהות הודעות דוא"ל חריגות ואם הן מדגימות אז דווח עליהן.
למרות שקיימים מסנני פישינג שיכולים להגן עליך, זה לא 100%.
הודעות דוא"ל פישינג מתפתחות כל הזמן ולעולם אינן זהות.
ל להגן על החברה שלך מהתקפות פישינג שאתה יכול להשתתף בהן סימולציות דיוג כדי להקטין את הסיכויים להתקפות דיוג מוצלחות.
אנו מקווים שלמדת מספיק מהמדריך הזה כדי להבין מה עליך לעשות כדי להקטין את הסיכויים שלך להתקפת דיוג על העסק שלך.
אנא השאר הערה אם יש לך שאלות כלשהן עבורנו או אם אתה רוצה לחלוק את הידע או הניסיון שלך עם מסעות פרסום דיוג.
אל תשכחו לשתף את המדריך הזה ולהפיץ את הבשורה!
Hailbytes
9511 Queens Guard Ct.
לורל, MD 20723
טלפון: (732) 771-9995
דוא"ל: info@hailbytes.com
