Cele mai multe atacuri phishing din Europa au fost initiate in ultimele sase luni ale anului trecut din Romania. Tara noastra ocupa locul al treilea la nivel mondial, dupa SUA si China, si primul in Europa, in privinta infractiunilor de acest tip. Din aceasta cauza, autoritatile romane au demarat in ultimele zile ample actiuni, fiind facute zeci de descinderi in forta pentru prinderea infractorilor cibernetici. ZIUA va prezinta metodele cel mai frecvent utilizate de atacatorii virtuali, dar si o serie de solutii pentru a prevenii actiunile infractionale in acest domeniu. Metodele de phishing sunt multiple. Unele sunt atat de sofisticate incat doar cei initiati in lumea calculatoarelor le pot depista. Alte tentative sunt atat de primitive, incat, fara nici o problema, pot fi depistate. Principalele tipuri de atac ale practicantilor de phishing sunt urmatoarele: 1. Social engineering: URL-ul este foarte asemanator cu cel real, lucru ce poate fi detectat la prima vedere. De exemplu, adresa http://www.volksbank.com poate fi inlocuita cu http://www. voIksbank.com. Daca aveti impresia ca sunt identice, va inselati. Litera mica "l" a fost inlocuita cu majuscula literei "i". 2. Vulnerabilitatile browser-ului: pagina web falsa poate contine un script de exploatare a browser-ului. In acest caz, se afiseaza URL-ul real, insa pagina accesata este cea de pe serverul fals. 3. Pop-up: Linkul din email este catre pagina web reala, insa o alta fereastra de navigare se afiseaza in prim-plan. De obicei, aceste ferestre pop-up nu au o bara de adrese, prin care sa identificati o pagina falsa. 4. Nici o bara de adrese: Unele pagini false nu afiseaza nici o bara de adrese. 5. Pharming: Numit si "domain spoofing" (falsificarea domeniului), redirectioneaza utilizatorul catre o pagina web falsa. Desi introduceti adresa corecta, sunteti dirijati catre o alta destinatie. URL-ul corect ramane afisat in browser, neschimbat. 6. "Man in the middle": Probabil este cea mai elaborata metoda, deoarece nu trebuie sa modifice nimic pe computerul local. Autorul de phishing este situat intre utilizator si serverul fals, dirijand astfel conexiunea. Reguli de protectie In ultimii ani, institutiile ale caror clienti sunt posibile victime ale phishingului au lansat adevarate campanii de informare si prevenire. Iata ce recomanda specialistii de la Avira Soft pentru a preveni atacurile practicantilor de phishing. - Nu completati formulare prin email, cu informatii confidentiale. Orice furnizor de servicii competent foloseste pagini web securizate si certificate digitale. - Nu deschideti linkuri sosite prin email, mai ales daca mesajul este neasteptat sau nesolicitat. Contactati expeditorul, pentru a verifica daca intr-adevar a avut intentia de a trimite mesajul. In acest sens folositi datele de contact primite direct de la furnizor, nu cele primite in acel mesaj. - Nu raspundeti la mesaj. Stergeti mesajul. - Nu deschideti linkurile din continutul mesajului. Intotdeauna introduceti de la tastatura adresa in browser. - Actualizati sistemul de operare si aplicati cele mai recente "patch"-uri imediat ce apar. - Alternati Internet Explorer cu alte browsere. - Instalati solutii antivirus si firewall si mentineti-le la zi. - Asigurati-va ca folositi o pagina web securizata (HTTPS) si verificati certificatele digitale. - Verificati in mod regulat conturile si extrasele bancare si raportati imediat orice abuz. - Raportati mesajele suspecte companiilor de securitate si autoritatilor locale. Clienti Bancpost pescuiti de pe serverele STS Dupa cum se stie, unul dintre cele mai mari atacuri de phishing a avut loc in urma cu aproximativ trei saptamani, tinta fiind clientii bancii Bancpost. In urma incidentului, sase sute de mii de carduri "Millenium" au fost restictionate. Astfel, angajatii Ministerului Internelor si Reformei Administrative (MIRA), numerosi deputati, procurori si salariati ai Ministerului Transporturilor (MT) si Afacerilor Externe (MAE), care detin, in marea majoritate, astfel de carduri, nu si-au putut ridica banii prin intermediul bancomatelor. Anchetatorii sustin ca operatiunea a fost pusa la cale de membrii a doua grupari din lumea interlopa a Capitalei. Conform acestora, ar fi vorba de un clan renumit din Bucuresti precum si de o grupare cunoscuta pentru activitati de clonare a cardurilor. Intreaga actiune a fost realizata prin intermediul unor mesaje si cu o pagina de Internet falsificata. Interesant este ca cele mai multe mesaje de acest gen au fost trimise, printre altele, si de pe serverele Serviciului de Telecomunicatii Speciale (STS). De asemenea, tot de pe acest server au avut loc cele mai multe accesari ale paginii web contrafacute. Milioane de utilizatori ai postei electronice au primit urmatorul mesaj: Fastbanking, Bancpost ? info@bancpost.ro; incepand cu data de 1 mai 2008 serviciul Fastbanking de la Bancpost va fi obligatoriu pentru toti clientii care poseda cardul Bancpost. Pentru a incepe procesul de inregistrare la serviciul Fastbanking de la BancPost Click Aici. Va multumim pentru intelegere. Cuvintele "Click Aici" fac legatura cu o pagina web contrafacuta (http://207.173.3.114/ Bancpost/index.htm) unde victimelor li se cereau date privind numarul cardului, a pin-ului si data expirarii acestuia. Actiunea a durat doar cateva ore, de la 10.30, ora receptionarii mesajului pana la ora 17, pana la inchiderea contului de net a pagini pirate din Salt Lake City - SUA. Interesant este ca in 16 aprilie avusese loc un atac impotriva clientilor Bancii Transilvania, lansat de acelasi grup de phishing. Se pare ca rezultatul nu a fost cel asteptat. Astfel, la doar doua saptamani, grupul a revenit si, mult mai bine pregatit, a dat lovitura la Bancpost. Cele doua pagini false sunt practic identice, fiind schimbata doar denumirea bancii. In cazul paginii false cu Bancpost, autorii nu au schimbat nici macar linkurile active, ele fiind cele ale Bancii Transilvania. Prima pagina a fost postata pe un server din statul Colorado - SUA http://mail.keeltycons truction.com/BancaTransilvania/index.htm). Priatii au folosit un IP public de la Orange ZIUA a intrat in posesia unor date care pot dezvalui identitatea infractorilor. In acest sens, am reusit sa stabilim ca accesul la serverul din SUA, unde au postat pagina web contrafacuta, a fost incarcat de pe un IP public, apartinand companiei de telefonie mobila Orange ce ofera si servicii de internet. Pentru a pierde urma, atacatorii au folosit mai multe servere din intreaga lume. Selectarea potentialilor victime s-a bazat pe informatii privind clientii Bancpost. Astfel, membrii gruparii au creat o baza de date a casutelor postale deschise pe servere detinute de institutiile ale caror angajati sunt clienti Bancpost. In acest fel cele mai multe mesaje, dar si accesari ale paginii web falsificat au venit de pe serverele Serviciului de Telecomunicatii Speciale (STS), a MIRA, MT, MAE si Bancpost. In cele aproximativ sapte ore cat a functionat pagina falsa a piratilor, ei au reusit sa puna mana pe datele unor carduri. In afara de naivi, multi dintre cei vizati au reportat existenta paginii organizatiei APWG (Anti-Phising Working Group). Altii, fara nici o retinere, in loc de codul pin au introdus injuraturi la adresa atacatorilor. Printre cei care au dat datele cardului se afla si mai multi angajati ale unor institutii care utilizeaza serverele STS, Bancpost SA, Universitatea Stefan cel Mare din Suceava si Romanian Oil Company. Momeala cu Banca Nationala In Romania phising-ul este relativ rar si inca nu a ajuns la nivelurile foarte sofisticate, precum in SUA. Unul dintre cele mai frecvent vizate site-uri pentru phising este eBay.com si serviciul de plati on line Pay Pal. Atacatorii folosesc o serie de concepte standard de phishing. Astfel, mesajele receptionate de la acestea au la rubrica "subiect" texte precum "Update Your PayPal Account", "Your eBay User Account has been suspended!", "Initiativa Bancii Nationale a Romaniei (BNR) - colaborare". In ceea ce priveste informatiile solicitate de practicantii de phishing, acestea se refera la numarul cardului de credit/debit, codul PIN pentru ATM, informatii despre contul bancar, codul numeric personal si parole. Pricipala metoda este trimiterea unui mesaj email credibil care sa directioneze victima catre o pagina web falsa. Unele mesaje contin diferite formulare de inscriere. Este de retinut ca nici o institutie financiara, bancara sau a statului nu trimite mesaje prin care solicita date personale. Conform datelor APWG, romanii sunt specialisti in acest tip de infractiune. De cele mai multe ori ei insa aleg ca victime companii si cetateni straini.

Pagina realizata de Laszlo KALLAI