İç Gelir Servisi veya Federal Mevduat Sigortası Şirketi'nden bir e-posta aldıysanız, şans avlama girişiminde bulunma ihtimaliniz var. Bankanızdan, PayPal'dan veya Facebook'tan e-posta aldıysanız, hemen hesabınızı askıya almanızı ya da riskinizi doğrulamanızı isteyen bir kullanıcı varsa, hiç kuşkusuz kimlik avı yapıldı.
Son raporlara göre, kimlik avı saldırıları bu yıl hızlandı. Kimlik Avı Koruması Çalışma Grubu, yalnızca 2009'un ilk yarısında 55.600'den fazla phishing saldırısı olduğunu bildirmiştir. Kimlik avı özellikle tehlikelidir, çünkü suçlular bir Web sitesi için mağdur şifresini aldıktan sonra, insanların şifreyi tekrar kullandıkları diğer hesaplara girmek için sık sık kullanabilirler.
Ve herkes risk altında olabilir. FBI Direktörü Robert Mueller'in karısı, bir kimlik avı girişimi için düştükten sonra çevrimiçi bankacılık yapmasını yasakladı.
İşte, insanların kimlik avı saldırılarıyla kandırılmamasına yardımcı olabilecek bazı temel bilgiler.
Kimlik avı nedir?
Kimlik avı, genellikle e-posta yoluyla, bir banka veya başka bir meşru varlık gibi davranarak, kullanıcı adları, şifreler ve kredi kartı verileri gibi hassas bilgileri açığa çıkarmak için insanları kandırma girişimidir. E-postalar genellikle meşru olduğu görünen ve kullanıcıları bilgi vermeye yönlendiren bir Web sitesine bağlantı içerir. Bazen, kimlik avı e-postasında doldurulması gereken ekte bir form bulunur. Yaygın bir taktik kimlik avcılarının kullandığı bir finansal kurumun sahtekarlık departmanından veya PayPal gibi çevrimiçi bir perakendeciden geliyor ve kimlik sahtekarlığını önlemek için bilgi sağlanmasını istemektir. Bir durumda, bir devlet piyango komisyonundan olduğunu iddia eden bir kimlik avı e-postası, alıcılardan bankacılık bilgilerini istemelerini sağlayarak "kazandıklarını" hesaplarına yatırmalarını istedi.
Kimlik avcıları, insanları bağlantıları tıklamaları için kandırmak için haberlere ve diğer popüler konulara olan ilgiyi giderek daha fazla kullanıyor. Domuz gribine ilişkin iddia edilen bir e-posta, insanlardan hastalık anketinin bir parçası olarak adlarını, adreslerini, telefon numaralarını ve diğer bilgilerini sağlamalarını istedi. Sosyal ağ kullanıcıları da popüler hedefler haline geliyor. Twitter kullanıcıları sahte giriş sayfalarına yönlendirildi.
Saldırganlar ayrıca insanları tuzaklarına çekmeleri için anlık mesajlaşmaya yöneliyorlar. Bir son aldatmacada, tarayıcı üzerinden canlı bir sohbet penceresi açıldı. Dolandırıcı, bir bankadan gelmiş gibi davranan ve ek bilgi isteyen kurbanlarla sohbet penceresi aracılığıyla iletişim kurdu.
Kimlik avı saldırılarının diğer örnekleri nelerdir?
Yeni bir e-posta dolandırıcılığı, PayPal müşterilerinden hizmet sözleşmesindeki değişiklikler nedeniyle ek bilgi sağlamaları veya hesaplarının silinmesi riskini almalarını ister. Alıcılardan "Get Verified!" Yazan bir köprüye tıklamaları istenmektedir.
FDIC'den gelmiş gibi görünen e-postalar arasında "Banka Mevduatı Sigorta Teminatınızı Kontrol Edin" veya "FDIC resmen bankanıza başarısız bir banka adı verdi" şeklinde bir konu satırı dahildir. E-postalar, ziyaretçilerden doldurmaları için form açmaları istenen sahte bir FDIC sitesine bağlantı içerir. Form bağlantılarına tıklamak, banka şifrelerini ve diğer bilgileri çalmak için tasarlanmış Zeus virüsünü indirir.
IRS'den gelmiş gibi görünen e-postalar, alıcılara vergi iadesi almaya hak kazandıklarını ve e-postadaki bir bağlantıyı tıklatarak paranın talep edilebileceğini söyler. Bağlantı, ziyaretçileri kişisel ve finansal bilgiler isteyen sahte bir IRS sitesine yönlendirir.
Meşru görünümlü bir Facebook e-postası, insanlardan sosyal ağın oturum açma sistemini güncellemesine yardımcı olacak bilgiler sağlamasını ister. E-postadaki "güncelle" düğmesine tıklamak, kullanıcıları, kullanıcı adının girildiği ve ziyaretçilerden şifrelerini girmeleri için sahte bir Facebook giriş ekranına götürür. Parola girildiğinde, insanlar bir "Güncelleme Aracı" sunan, ancak aslında Zeus bankası Trojan olan bir sayfada son bulurlar.
Kimlik avı girişiminin bazı masal belirtileri nelerdir?
Çoğu kimlik avı girişimi ABD dışından kaynaklanmaktadır, bu nedenle sık sık yazım hataları ve gramer hataları vardır. Bazılarının acil bir sesi var ve meşru şirketlerin genellikle e-posta yoluyla istemediği hassas bilgileri arıyorlar.
Bir e-postada nelere dikkat etmeliyim?
Yasal olup olmadığını görmek için gönderen bilgilerini kontrol edin. Suçlular, numara yaptıklarına benzer adresleri seçecekler. Örneğin, kimlik avcıları "[email protected]" kullandılar. Bununla birlikte, ABD’deki meşru PayPal mesajları [email protected]’dan geliyor ve bir anahtar simgesi içeriyor. Çoğu kimlik avı e-postası ABD’nin dışından geliyor, böylece ".uk" veya ".com" ile biten bir adres bunun bir kimlik avı girişimi olduğunu gösterin.
E-posta adresi de gizlenmiş olabilir. "Tümünü yanıtla" seçeneğine basmak gerçek e-posta adresini ortaya çıkarabilir. E-posta tercihlerinizi, tam e-posta adresini ve diğer bilgileri görmek için "tam başlık" gösterecek şekilde de ayarlayabilirsiniz. E-postanın yasal olup olmadığından emin değilseniz, listelenen adresi görmek için şirketin Web sitesine gidin.
Meşru şirketler e-postada müşteri adlarını veya kullanıcı adlarını kullanma eğilimindedir ve bankalar genellikle bir hesap numarasının bir bölümünü içerecektir. Kimlik avı e-postaları genellikle "Sayın PayPal müşterisi" gibi genel karşılamalar sunar.
E-postanın gövdesindeki köprüleri inceleyin. Kimlik avcıları genellikle şirket adından önce alt alanları veya harfleri veya sayıları kullanır ve bazen bağlantılardaki kelimeler yanlış yazılır. Örneğin, www.BankA.security.com 'güvenlik' web sitesinin 'BankA' bölümüne bağlantı verir. Genellikle, bağlantının sadece ona bakarak meşru olup olmadığını söylemek zordur. Bağlantıya göz atarak, çoğu web tarayıcısının altında gerçek adresi görebilirsiniz.
Ek olarak, PayPal, Amazon, bankalar ve diğer birçok işletme, müşterilerin gerçek siteyi ziyaret etmelerini sağlamak için tasarlanmış SSL (Güvenli Yuva Katmanı) protokolünü kullanır. Bu, sadece // yerine URL adres çubuğunda // görüleceği ve genellikle adres çubuğunda başka bir değişiklik olacağı anlamına gelir. Örneğin, PayPal bir "P" görüntüler ve adı URL'nin önünde yeşil renkle vurgulanır. Büyük tarayıcılar, kötü amaçlı siteleri tespit etmek için tasarlanmış antiphishing önlemlerine sahiptir. Bazı kimlik avcıları, mağdurlara gönderdikleri gerçek Web adresini URL kısaltma servislerini kullanarak da gizlemeye çalışırlar.
E-postanın bir eki varsa, .exe dosyalarına karşı dikkatli olun. Dolandırıcılar orada virüsleri ve diğer kötü amaçlı yazılımları gizlemeyi severler, böylece açıldığında çalışırlar.
Yönlendirilebileceğiniz Web sitesine bakmayın. Web sitesi, gerçek logo ve marka kullanımı dahil olmak üzere gerçek bir banka veya PayPal sayfasına benzeyebilir. İyi bir sahte sayfa olabilir ya da üstte bir kimlik avı açılır penceresi bulunan meşru bir sayfa olabilir.
Kimlik avı saldırıları nasıl önlenebilir?
Spam listelerinden uzak durmaya çalışın. E-posta adresinizi herkese açık sitelere göndermeyin. Spam listelerine girme olasılığı daha düşük bir e-posta adresi oluşturun. Örneğin, [email protected] yerine [email protected] adresini kullanın.
Bir e-posta makul görünüyorsa, bilgileri doğrulamanızı isteyen bir e-posta alırsanız doğrudan şirketle bağlantı kurun. Şirketin adresini bir linke tıklamak yerine doğrudan adres çubuğuna yazın. Veya onları arayın, ancak e-postada verilen hiçbir telefon numarasını kullanmayın.
E-posta yoluyla talep edilen kişisel bilgileri vermeyin. Meşru şirketler ve ajanslar önemli iletişimler için normal posta kullanacaklar ve müşterilerden asla e-postadaki bağlantılara tıklayarak giriş ya da şifrelerini onaylamalarını istemeyeceklerdir.
Emin değilseniz Web bağlantılarını yönlendirin ve işletmeler için tarayıcıya adresleri yazın.
Almayı beklemediğiniz e-posta eklerini açmayın. IM'deki indirme bağlantılarını açmayın. Kişisel bilgilerinizi açılır pencereye veya e-postaya girmeyin.
Finansal ve hassas bilgileri gönderirken güvenli bir Web sitesi kullandığınızdan emin olun.
Şifreleri sık sık değiştirin. Aynı şifreyi birden fazla sitede kullanmayın.
Etkinliği izlemek ve ifadeleri kontrol etmek için düzenli olarak çevrimiçi hesaplara giriş yapın.
Antivirüs, antispam ve güvenlik duvarı yazılımı kullanın ve işletim sisteminizi ve uygulamalarınızı güncel tutun.
Kimlik avı ile mağdur olduğumu düşünürsem ne yapabilirim?
Kimlik Avı Koruması Çalışma Grubu, insanların ne tür bilgiler verdiklerini temel alarak hangi adımları atmaları gerektiğini açıklayan kapsamlı bir siteye sahiptir.
Kimlik avı girişimlerini nerede bildirebilirim?
Şüpheli phishing e-postalarını [email protected] ve [email protected] adresine iletebilirsiniz. Şirketler genellikle "[email protected]" gibi kimlik avı örneklerini iletmek için bir adrese sahiptir. Her zaman tüm kimlik avı e-postasını da ekleyin. Şikayetler FBI'daki İnternet Suç Şikayet Merkezi'ne yapılabilir.
İşte ek kaynaklar.
//apwg.org/consumer_recs.html
//www.irs.gov/newsroom/article/0,, id=154848, 00.html
//www.microsoft.com/mscorp/safety/technologies/antiphishing/guidance.mspx
Yorumunuzu Bırakın