"Phishing"

No debe confundirse con Pesca.

Para obtener más información acerca de intentos de phishing relacionados con Copro, vea Correo electrónico Copro:phishing

Un ejemplo de un correo electrónico fraudulento, disfrazado de oficial Correo electrónico de un banco (ficticio). El remitente es intentar engañar al destinatario para que revele información confidencial por "confirmar" en el phisher'Página Web. Tenga en cuenta la falta de ortografía de las palabras recibido y discrepancia. También tenga en cuenta que aunque el URL del Banco Página Web Parece ser legítimo, que el hipervínculo en realidad podría apuntar a página web del phisher.

"Phishing" es el intento de adquirir información sensible como nombres de usuario, contraseñas, y tarjeta de crédito más información (y a veces, indirectamente, dinero) por que se disfraza como una entidad confiable en un comunicación electrónica. La palabra es una neologismo creado como un [editar] de pesca debido a la similitud de la utilización de falsos cebo en un intento por atrapar a una víctima. Comunicaciones que afirman ser administradores de sitios web sociales populares, sitios de subastas, bancos, procesadores de pago en línea o se utilizan comúnmente para atraer a público desprevenido. Los correos phishing pueden contener enlaces a sitios web que está infectada con malware. Típicamente se realiza mediante "phishing" correo electrónico de suplantación de identidad o mensajería instantánea, y a menudo dirige a los usuarios introducir detalles en un sitio web falso cuyo apariencia son casi idénticos a la legítima. "Phishing" es un ejemplo de Ingeniería social técnicas utilizadas para engañar a los usuarios, y explota la usabilidad de las tecnologías actuales de seguridad web pobre. Intentos de lidiar con el creciente número de incidentes reportados phishing incluyen legislación, formación de usuarios, conciencia pública y medidas de seguridad técnica. Muchos sitios web ha creado herramientas secundarias para aplicaciones, como mapas para juegos, pero deben ser claramente marcados en cuanto a quién escribió y los usuarios no deben usar las mismas contraseñas en cualquier lugar en internet.

Phishing es una amenaza continua que sigue creciendo a este día. El riesgo crece aún más grande en los medios sociales como Facebook, Twitter, Myspace, etc. Los hackers suele utilizan estos sitios para atacar a las personas que utilicen estos sitios de los medios de comunicación en su trabajo, casas, o público para tomar personal y seguridad de la información que puede afectar a la empresa y el usuario (si está en un ambiente de trabajo). "Phishing" se utiliza para retratar la confianza en el usuario ya que el usuario no puede ser capaz de decir que el sitio que visitó o programa siendo utilizado no es real, y cuando esto ocurre es cuando el hacker tiene la oportunidad de acceder a la información personal como nombres de usuario, contraseñas, códigos de seguridad y números de tarjetas de crédito entre otras cosas.

Historia y situación actual de "phishing"

Una técnica de "phishing" fue descrita en detalle en un papel y una presentación entregada a la Internacional HP Grupo de usuarios, Interex. La primera mención registrada del término "phishing" se encuentra en la herramienta de pirateo AOHell (según su creador), que incluye una función para intentar robar las contraseñas o los detalles financieros de los usuarios de America Online. Según Ghosh, allí fueron "los 445.004 ataques en 2012 en comparación con 258.461 en 2011 y 187.203 en 2010", demostrando que "phishing" ha estado amenazando cada vez más individuos.

Un caso reciente y popular de "phishing" es la campaña de phishing sospechosos chinos dirigidos a cuentas de Gmail de funcionarios altamente ordenadas de los Estados Unidos y de Corea del sur Gobierno, militares y China activistas políticos. El gobierno chino sigue negando las acusaciones de participar en los ataques cibernéticos de dentro de sus fronteras, pero se ha revelado evidencia que ejército de liberación del pueblo de China ha asistido en la codificación del software ataque cibernético.

Temprano phishing en AOL

"Phishing" en AOL estaba estrechamente asociado con el warez comunidad que intercambia software pirata y la escena hacking perpetrado el fraude con tarjetas de crédito y otros delitos en línea. AOHell, lanzado a comienzos de 1995, fue un programa diseñado para hackear los usuarios de AOL por permitir que el atacante hacerse pasar por un representante de la empresa AOL. Después de AOL trajo en medidas a finales de 1995 para evitar usar falsa, generado algorítmicamente números de tarjetas de crédito para abrir cuentas, galletas de AOL recurrieron al phishing para cuentas legítimas y la explotación de AOL.

Un phisher puede hacerse pasar por un miembro del personal de AOL y enviar un mensajes instantáneos a una víctima potencial, pidiéndole que revele su contraseña. Con el fin de atraer a la víctima a renunciar a información sensible, el mensaje podría incluir imperativos como "verificar tu cuenta" o "confirmar la información de facturación". Una vez que la víctima había revelado la contraseña, el atacante podría acceder y utilizar la cuenta de la víctima para propósitos fraudulentos o spam. Tanto el phishing y warezing en AOL generalmente requieren programas escritas a medida, tales como AOHell. "Phishing" llegó a ser tan frecuente en AOL que agregaron una línea en todos los mensajes instantáneos declarando: "no hay nadie trabajando en AOL le pedirá su contraseña o información de facturación", aunque aún no impedir que algunas personas regalando sus contraseñas e información personal si leyeron y creyó primero el IM. Un usuario mediante una cuenta AIM y una cuenta de AOL desde un ISP simultáneamente podrían apuntar phish AOL miembros con relativa impunidad como internet cuentas podría ser utilizadas por los miembros de internet AOL no y no podía ser accionadas (es decir, informó al Departamento de AOL TOS para acción disciplinaria).

Finalmente, una aplicación de políticas de AOL con respecto a phishing y warez llegó a ser más estrictos y forzado software pirateado en los servidores de AOL. AOL simultáneamente desarrolló un sistema para desactivar rápidamente las cuentas implicadas en el "phishing", a menudo antes de que las víctimas podrían responder. El cierre de la escena warez en AOL causó la mayoría de los phishers dejar el servicio.

El origen del término 'phishing' se dice que ser acuñado por los remitentes de spam conocidos y hacker en los mediados de los 90, Khan C Smith y su uso rápidamente adaptada por grupos de warez a través de aol. La aplicación de AOL detectaría palabras usadas en salas de chat de AOL para suspender a las personas cuentas involucradas en la piratería de software y comercio cuentas robadas. El término fue utilizado porque ' <> <' es la única etiqueta más comunes de HTML que fue encontrado en todas las transcripciones de chat naturalmente y como tal podría no ser detectada o filtrada por personal de AOL. El símbolo <> < fue reemplazado por cualquier texto que se refiere a tarjetas de crédito robadas, cuentas o actividad ilegal. Puesto que el símbolo se veía como un pez y debido a la popularidad de Phreaking fue adaptada como 'Phishing'.

La transición de AOL a instituciones financieras

La captura de información de la cuenta de AOL pudo haber llevado los phishers de forma errónea información de tarjeta de crédito, y a la realización que los ataques contra el pago en línea sistemas eran factibles. El primer intento conocido directo contra un sistema de pago afectado E-gold en junio de 2001, que fue seguido por una "verificación de identificación post-9/11" poco después de la Ataques del 11 de septiembre contra el World Trade Center. Ambos fueron vistos en el tiempo como fallas, pero ahora pueden ser vistos como primeros experimentos hacia más fructíferos ataques contra bancos principales. En septiembre de 2003, informó el primer ataque de phishing conocidos contra un banco minorista por El banquero en un artículo escrito por Kris Sangani titulado batalla contra el robo de identidad. En 2004, "phishing" fue reconocido como una parte completamente industrializada de la economía del crimen: especializaciones surgieron en una escala global que proporciona componentes por dinero en efectivo, que se reunieron en los ataques finales.

Técnicas de "phishing"

Ataques de phishing notables

Fecha phished	Víctima	Detalles del ataque
2013/11	Blanco (tiendas)	110 millones registros cliente y tarjeta de crédito robados, a través de una cuenta de subcontratista lejanos. Posteriormente despedido Director General y el personal de seguridad.
2011/03	RSA Security	RSA interno personal phished con éxito, liderando a los Cayos de maestro para todos los tokens de seguridad RSA SecureID robados, luego posteriormente solía entrar en proveedores de defensa de Estados Unidos.
2014/09	Home Depot	Datos personales y tarjetas de crédito de 100 millones de compradores de todas las tiendas Home Depot 2200 publicado para la venta en sitios web de hacking. Confirmado como causa, mecánica de ataque como phishing-aún sin revelar.
2014/11	ICANN	En particular, acceso administrativo al sistema de datos centralizado zona fue ganado, permitiendo al atacante obtener archivos de zona, y datos sobre los usuarios del sistema, como sus nombres verdaderos, información de contacto y salados hashes de las contraseñas. Acceso también se ganó al público wiki de Comité asesor gubernamental de ICANN, blog y portal de información whois.

Un gráfico que muestra el incremento en el "phishing", informa desde octubre de 2004 a junio de 2005

Los phishers están apuntando a los clientes de los bancos y servicios de pago en línea. E-mails, supuestamente de la Servicio de impuestos internos, se han utilizado para recoger datos sensibles de los contribuyentes estadounidenses. Mientras el primero estos ejemplos fueron enviados indiscriminadamente en la expectativa de que algunos podría ser recibidas por los clientes de un banco determinado o servicio, recientes investigaciones han demostrado que los phishers pueden en principio ser capaces de determinar que las víctimas potenciales de los bancos utilizar y objetivo falsos e-mails por consiguiente. Sitios de redes sociales Ahora son un objetivo prioritario de "phishing", puesto que los datos personales en dichos sitios pueden ser utilizados en robo de identidad; a finales de 2006 un gusano informático asumió el control páginas en MySpace y vínculos alterados para dirigir a los surfistas a sitios web diseñados para robar datos de ingreso. Experimentos muestran una tasa de éxito de más del 70% de los ataques de phishing en redes sociales.

El RapidShare sitio de intercambio de archivos ha sido designada por phishing para obtener una cuenta premium, que elimina los topes de velocidad descargas, auto-retiro de cargas, espera en descargas y enfriar veces entre cargas.

Atacantes que irrumpieron en TD Ameritradela base de datos (contiene todos los clientes 6,3 millones números de seguro socialcuenta direcciones números y correo electrónico, así como sus nombres, direcciones, fechas de nacimiento, números de teléfono y actividad comercial) también deseó la cuenta nombres de usuario y contraseñas, así que lanzaron un ataque de phishing lanza seguimiento.

Casi la mitad de phishing robos en 2006 fueron comprometida por los grupos que operan a través de la Red de negocios ruso con sede en San Petersburgo.

En el tercer trimestre de 2009 el Grupo de trabajo Anti-Phishing denunció haber recibido informes de correo electrónico de "phishing" 115.370 de los consumidores con Estados Unidos y China, anfitrión de más del 25% de las páginas de phishing cada.

Existen sitios web anti-phishing que publican mensajes exactos que han sido recientemente circulando el internet, tales como FraudWatch internacional y Millersmiles. Tales sitios a menudo proporcionan detalles específicos acerca de los mensajes particulares. Para evitar tratando directamente con el código fuente de páginas web, los hackers utilizan cada vez más una herramienta de "phishing" llamada Super Phisher Eso facilita el trabajo en comparación con métodos manuales de creación de sitios web de phishing.

En diciembre de 2013, Cryptolocker ransomware infectado 250.000 ordenadores personales por primeras empresas objetivos utilizando un accesorio de archivo Zip que pretendía ser una queja de los clientes y más tarde dirigidos a público en general mediante un enlace en un correo electrónico con respecto a un problema de compensación de un cheque. El ransomware espontáneos y cerraduras archivos en el ordenador y pide el dueño hace un pago a cambio de la llave para desbloquear y descifrar los archivos. Según SecureWorks Dell, 0.4% o más de los infectados es probable que accedió a la petición de rescate.

Lista de tipos de "phishing"

"Phishing"

en general es una forma de intentar adquirir información como nombres de usuario, contraseñasy detalles de tarjeta de crédito por que se disfraza como una entidad confiable en un comunicación electrónica. En octubre de 2013, los correos electrónicos que afirman ser de American Express fueron enviados a un número desconocido de los destinatarios. Un simple DNS el cambio se podría haber hecho para frustrar este correo electrónico falsificado, pero American Express no se pudo realizar cambios.

Spear phishing

Intentos de phishing dirigidos a determinadas personas o empresas que han sido llamados Spear phishing. Los atacantes pueden recoger informaciones personales sobre su objetivo de aumentar su probabilidad de éxito. Esta técnica es, por lejos, el más exitoso en la internet, representando el 91% de los ataques.

Clon "phishing"

Un tipo de "phishing" atacar por el que un correo electrónico legítimo y previamente entregado, que contiene un archivo adjunto o vínculo ha tenido su contenido y dirección destinatario tomada y utilizada para crear un correo electrónico casi idéntico o clonado. El apego o vínculo en el correo electrónico es reemplazada por una versión maliciosa y luego enviado desde una dirección de correo electrónico simulada para parecen venir del remitente original. Puede reclamar ser un re-enviar el original o una versión actualizada de la original. Esta técnica podría utilizarse para pivote (indirectamente) desde una máquina previamente infectada y hacerse un hueco en otra máquina, aprovechando la confianza social asociada a la conexión inferida por ambas partes recibe el correo electrónico original.

La caza de ballenas

Varios ataques de phishing se han dirigido específicamente a directivos y otros objetivos de alto perfil dentro de las empresas y el término la caza de ballenas ha sido acuñado para este tipo de ataques. En el caso de ballenas, el página web/correo electrónico enmascarado tendrá una forma más grave de nivel ejecutivo. El contenido será ser fabricado para un administrador superior y el papel de la persona en la empresa. El contenido de un correo electrónico ataque de caza de ballenas a menudo es escrito como una citación legal, queja de los clientes o tema ejecutivo. Correos electrónicos de estafa de ballenas están diseñados para disfrazarse como un correo electrónico críticos para el negocio, enviado de una autoridad de negocios legítimos. El contenido está destinado a ser adaptado para la alta gerencia y generalmente implica a algún tipo de preocupación de toda la empresa falsificada. Phishermen la caza de ballenas también han forjado oficial del FBI citación e-mails y afirmó que el director tiene que hacer clic en un enlace e instalar software especial para ver la citación.

Rogue WiFi (MitM)

Los atacantes configurar o comprometen gratis-puntos de acceso Wifi y configuración para ejecutar Man-in-the-middle (MitM) los ataques, a menudo con herramientas como sslstrip, comprometer todo el acceso punto de los usuarios.

Manipulación de enlace

Mayoría de los métodos de phishing utiliza alguna forma de engaño técnica diseñada para hacer un enlace en un correo electrónico (y el sitio web falsificado conduce a) parecen pertenecer a la organización de este tipo. Mal Direcciones URL o el uso de subdominios son trucos comunes utilizadas por los phishers. En la siguiente URL de ejemplo, https://www.yourbank.example.com/, parece como si la URL le llevará a la ejemplo sección de la subanco sitio web; en realidad esta URL apunta a la "subanco"(es decir, phishing) sección de la ejemplo sitio Web. Otro truco común es hacer que el texto mostrado por un enlace (el texto entre la < a > tags) sugieren un destino confiable, cuando en realidad el enlace va al sitio de los phisher. El siguiente enlace de ejemplo, https://en.copro.org/wiki/Genuine, aparece dirigir al usuario a un artículo titulado "Genuino"; hacer clic en él en realidad llevará al usuario al artículo titulado "Engaño". Muchos clientes de correo o navegadores web mostrará las previsualizaciones de donde un enlace llevará al usuario en la parte inferior izquierda de la pantalla, mientras movía el cursor del ratón sobre un enlace. Este comportamiento, sin embargo, puede en algunas circunstancias ser reemplazado por el phisher.

Otro problema con las direcciones URL se ha encontrado en el manejo de Nombres de dominio internacionalizados (IDN) en navegadores web, que podría permitir direcciones web visualmente idéntico conducir a los sitios web diferente, posiblemente malicioso,. A pesar de la publicidad en torno a la falla, conocido como IDN spoofing o ataque homógrafo, los phishers han aprovechado un riesgo similar, uso open Redirectores URL en los sitios web de organizaciones confiables para disimular las direcciones URL maliciosas con un dominio de confianza. Los certificados digitales hasta no solucionar este problema porque es muy posible para un phisher para comprar un certificado válido y posteriormente cambiar contenido para suplantar un sitio web genuino, o, para alojar el sitio phishing sin SSL En absoluto.

Filtro evasión

Los phishers incluso han empezado a utilizar imágenes en vez de texto para que sea más difícil para los filtros anti-phishing detectar texto comúnmente utilizado en los correos phishing. Sin embargo, esto ha llevado a la evolución de los filtros anti-phishing más sofisticadas que son capaces de recuperar el texto oculto en imágenes. Estos filtros utilizan OCR)reconocimiento óptico de caracteres) para escanear la imagen ópticamente y filtro.

Algunos filtros anti-phishing incluso han utilizado (IWRreconocimiento de palabra inteligente), que no está destinado a reemplazar por completo OCR, pero estos filtros pueden detectar incluso cursiva, escrita a mano, rotado (incluyendo texto al revés) o distorsionada (tales como ondulado, estirados verticalmente o lateralmente o en diversas direcciones) texto, así como texto sobre fondos coloreados (tales como en este casodonde se puede ver el texto de lo contrario unfilterable, si no fuera por IWR.)

Falsificación de página web

Una vez que una víctima visitas el sitio web de "phishing", el engaño no está terminado. Algún uso de estafas de phishing JavaScript comandos para modificar el barra de direcciones. Esto se hace colocando una foto de una URL legítima sobre la barra de direcciones, o cerrando la barra original y abriendo una nueva con la URL legítima.

Un intruso puede utilizar incluso fallas en un sitio confianza propia de secuencias de comandos contra la víctima. Estos tipos de ataques (conocidos como Cross-site scripting) son particularmente problemáticos, porque dirigen el usuario al registrarse en su banco o página web del servicio, donde todo, desde la Dirección web para el certificados de seguridad aparece correcto. En realidad, el enlace a la página web está diseñado para llevar a cabo el ataque, por lo que es muy difícil de detectar sin especialista en conocimiento. Se utilizó una falla tan sólo en 2006 contra PayPal.

Un Universal Man-in-the-middle (MITM) Kit de Phishing, descubierto en 2007, proporciona una interfaz fácil de usar que permite un phisher convincentemente reproducen sitios web y capturar información Ingresate entrado en el sitio falso.

Para evitar las técnicas anti-phishing que exploración sitios web de phishing relacionados con texto, los phishers han comenzado a utilizar Flash-basado en páginas web (una técnica conocida como phlashing). Se ven como la página de Internet, pero ocultar el texto en un objeto multimedia.

Teléfono "phishing"

No todos los ataques de "phishing" requieren de un sitio web falso. Los mensajes que decían ser de un banco dijo que los usuarios marcar un número de teléfono con respecto a problemas con sus cuentas bancarias. Una vez el número de teléfono (propiedad de los phisher y proporcionada por un Voz sobre IP servicio) fue marcado, avisos dijeron a los usuarios para ingresar su número de cuenta y PIN. Vishing (voz "phishing") a veces utiliza falsos datos de identificador de llamadas para dar la apariencia que las llamadas provienen de una organización de confianza.

Redirect encubierta

"Wang Jing, una escuela de física y estudiante de doctorado de ciencias matemáticas en la Universidad Tecnológica Nanyang en Singapur, descubrió que la vulnerabilidad grave"Redirect encubierta"defecto puede disfrazarse como un emergente de inicio de sesión basado en el dominio de un sitio afectado. Redirect encubierta se basa en un exploit conocido parámetro".

"Intentos de phishing normal pueden ser fáciles de identificar, porque la URL de la página maliciosa generalmente estará apagada por un par de cartas de eso del real sitio. La diferencia con Covert Redirect es que un atacante podría utilizar el sitio web real en cambio corrompiendo el sitio con un cuadro de diálogo emergente de inicio de sesión malintencionados". Así que, Redirect encubierta es un método perfecto "phishing".

Una vez que el login de usuario, el atacante podría obtener los datos de carácter personal, que en el caso de Facebook, podría incluir la dirección de correo electrónico, fecha de nacimiento, contactos, trabajo de historia, etc..

Pero, si en caso de que "el token" tiene mayor privilegio, el atacante podría obtener información más sensible incluyendo el buzón de correo, lista de amigos, la mayoría y presencia online posiblemente incluso operar y controla la cuenta del usuario.

"El consenso general, hasta ahora, es que Covert redirigir no es tan malo, pero todavía una amenaza. Comprender lo hace muy peligroso requiere una comprensión básica de redirección abierta, y cómo se pueden explotar".

Otras técnicas

• Es otro ataque utilizado con éxito para reenviar el cliente web legítima de un banco, luego colocar una ventana emergente solicitando credenciales en la cima de la página de una manera que hace que muchos usuarios cree que el Banco está solicitando esta información sensible.
• Es una de las últimas técnicas de "phishing" tabnabbing. Se aprovecha de la navegación por pestañas, que utiliza múltiples pestañas abiertas, que los usuarios utilizan y silenciosamente redirige un usuario al sitio afectado. Esta técnica funciona en reversa a la mayoría de las técnicas de "phishing" que directamente no te lleva al sitio fraudulento, pero en cambio los phishers cargar su página falsa en uno de tus pestañas abiertas.
• Gemelos malvados es una técnica de "phishing" que es difícil de detectar. Un phisher crea una red inalámbrica falsa que parece similar a una red pública legítima que puede encontrarse en lugares públicos como aeropuertos, hoteles o tiendas de café. Cada vez que alguien inicia sesión en la red falsa, los defraudadores tratar de capturar sus contraseñas o información de tarjeta de crédito.

Daños causados por el phishing

Los daños causados por "phishing" rangos de denegación de acceso a correo electrónico a pérdidas económicas sustanciales. Se estima que entre mayo de 2004 y mayo de 2005, aproximadamente 1,2 millones los usuarios de computadoras en el Estados Unidos sufrido pérdidas causadas por phishing, totalizando aproximadamente US$ 929 millones. Las empresas de Estados Unidos pierden un estimado US$ 2 mil millones por año como sus clientes se convierten en víctimas. En 2007, los ataques de phishing se intensificaron. 3.6 millones de adultos perdidos US$ 3,2 billones en los 12 meses terminados en agosto de 2007. Microsoft afirma estas estimaciones son exagerado y pone la pérdida anual de "phishing" en los Estados Unidos en US$ 60 millones. En Reino Unido las pérdidas por fraude bancario web — sobre todo de "phishing" — casi se duplicó a GB£ 23. 2m en 2005, de GB£ 12. 2m en 2004, mientras que los usuarios de computadoras de 1 en 20 afirmados que han perdido a "phishing" en 2005.

Según 3er Microsoft informática segura índice informe aparecido en febrero de 2014, el impacto mundial anual de "phishing" puede ser tan alto como $ 5 billones.

La postura adoptada por el Reino Unido banca cuerpo APACS es que "clientes deben también tomar precauciones sensatas... así que no son vulnerables a los criminales". Del mismo modo, cuando la primera oleada de ataques de "phishing" a sector bancario de la República de Irlanda en septiembre de 2006, la Banco de Irlanda inicialmente se negó a cubrir las pérdidas sufridas por sus clientes, Aunque las pérdidas con la melodía de €113.000 hicieron buena.

Anti-phishing

Recientemente, en 2007, la adopción de estrategias anti-phishing que necesitan proteger la información personal y financiera a las empresas fue baja. Ahora hay varias técnicas diferentes para combate phishing, incluyendo legislación y tecnología creada específicamente para proteger contra el phishing. Estas técnicas incluyen medidas que pueden adoptarse por individuos, así como por las organizaciones. Teléfono, sitio web y correo electrónico "phishing" pueden ahora ser informó a las autoridades, tal como se describe por debajo de.

Respuestas sociales

Una estrategia para combatir el phishing es formar personas para reconocer los intentos de phishing y tratar con ellos. Educación puede ser eficaz, especialmente en su formación proporciona retroalimentación directa. Una táctica más reciente de phishing, que utiliza correos electrónicos de phishing dirigidos a una empresa específica, conocida como Spear phishing, ha sido aprovechado para capacitar a personas en varios lugares, incluyendo United States Military Academy en West Point, Nueva York. En junio del de 2004 experimento con spear phishing, 80% de 500 cadetes de West Point que enviaron un correo electrónico falso de un inexistente Col. Robert Melville en West Point, se engañó para hacer clic en un enlace que supuestamente los llevaría a una página donde entrarían información personal. (La página les informó que habían sido engañados).

La gente puede tomar medidas para evitar intentos de phishing ligeramente modificando sus hábitos de navegación. Al entrar en contacto sobre una cuenta que necesitan ser "verificada" (o cualquier otro tema utilizadas por los phishers), es una precaución sensata para contactar con la empresa de que el correo electrónico al parecer origina para comprobar que el correo electrónico es legítimo. Por otra parte, la dirección que el individuo sabe es que sitio web genuino de la compañía puede ser escrito en la barra de direcciones del navegador, en lugar de confiar en cualquier hipervínculos en el mensaje phishing sospechosos.

Casi todos mensajes de correo electrónico legítimos de las empresas a sus clientes contienen un elemento de información que no está fácilmente disponible para los phishers. Algunas compañías, por ejemplo PayPal, dirección siempre sus clientes por su nombre de usuario en los correos electrónicos, si dirige a un correo electrónico al destinatario de manera genérica ("Estimado cliente de PayPal") es probable que sea un intento de" phishing ". Correos electrónicos de los bancos y compañías de tarjetas de crédito suelen incluyen números de cuenta parcial. Sin embargo, investigaciones recientes ha demostrado que el público no suele distinguen entre los pocos primeros dígitos y los últimos pocos dígitos de un número de cuenta — un problema significativo desde los primeros pocos dígitos a menudo son las mismas para todos los clientes de una institución financiera. Personas pueden ser entrenados para tener sus sospechas despertó si el mensaje no contiene ninguna información personal específica. "Phishing" intentos a principios de 2006, sin embargo, utiliza información personalizada, que lo hace peligroso suponer que la presencia de información personal solo garantiza que un mensaje es legítimo. Por otra parte, otro estudio reciente concluyó en parte que la presencia de información personal no afecta significativamente la tasa de éxito de los ataques de phishing, lo que sugiere que la mayoría no prestar atención a esos detalles.

El Grupo de trabajo Anti-Phishing, una asociación de aplicación de la industria y derecho, ha sugerido que las técnicas convencionales de phishing podrían obsoletas en el futuro como personas son cada vez más conscientes de las técnicas de ingeniería social utilizadas por los phishers. Predicen Pharming y otros usos de malware se convertirán en herramientas más comunes para robar información.

Todo el mundo puede ayudar a educar al público por fomentar prácticas seguras y evitar peligrosos. Por desgracia, incluso conocidos jugadores son conocidos para incitar a los usuarios al comportamiento peligroso, por ejemplo pidiendo a sus usuarios a revelar sus contraseñas para servicios de terceros, como el correo electrónico.

Respuestas técnicas

Se han implementado las medidas anti-phishing como características incrustadas en los navegadores, como las extensiones o barras de herramientas para navegadores y como parte de los procedimientos de inicio de sesión Web. Software anti-phishing también está disponible. Las siguientes son algunas de las principales aproximaciones al problema.

Ayudando a identificar sitios web legítimo

Más sitios web dirigido por phishing son sitios web seguro de lo que significa que SSL con PKI fuerte criptografía se utiliza para la autenticación de servidor, donde la URL del sitio web se utiliza como identificador. En teoría debería ser posible para la autenticación SSL ser utilizado para confirmar el sitio al usuario, y éste era requisito de diseño de SSL v2 y la meta de navegación segura. Pero en la práctica, esto es fácil de engañar.

El defecto superficial es que la interfaz de usuario de seguridad del navegador (IU) es insuficiente para lidiar con amenazas fuertes de hoy. Hay seguridad en la autenticación TLS con certificados de tres partes: indicando que la conexión está en el modo autenticado, indicando que el usuario del sitio está conectado a, y que indica qué autoridad dice que es este sitio. Los tres son necesarios para la autenticación y necesitan ser confirmado por/para el usuario.

Conexión segura

La pantalla estándar para la navegación segura de los mid-1990s a mediados de los años 2000 fue el candado. En 2005, Mozilla armó un amarillo barra de direcciones como una mejor indicación de la conexión segura. Esta innovación se revirtió posteriormente debido a la Certificados EV, que sustituyó a determinados certificados proporcionando un alto nivel de verificación de identidad de la organización con una pantalla verde y otros certificados con un color azul muy extendido favicon cuadro a la izquierda de la barra de URL (además el interruptor de "http" a "https" en la dirección url de sí mismo).

Qué sitio

El usuario se espera para confirmar que el nombre de dominio en la barra del navegador URL era en realidad donde quisieran ir. URL pueden ser demasiado complejas para ser analizado fácilmente. Los usuarios a menudo no conocen o reconocen la dirección URL de los sitios legítimos que intentan conectarse, para que la autenticación se convierte en algo sin sentido. Una condición para la autenticación de servidor significativo es tener un identificador de servidor que es significativo para el usuario; muchos sitios de ecommerce cambiará los nombres de dominio dentro de su sistema global de sitios web, añadiendo a la posibilidad de confusión. Simplemente mostrando el nombre de dominio para el sitio visitado, como algunas barras de herramientas anti-phishing, no es suficiente.

Algunos navegadores más recientes, tales como Internet Explorer 8, Mostrar la dirección URL completa en color gris, con sólo el nombre de dominio propio en negro, como un medio de ayudar a los usuarios a identificar direcciones URL fraudulentas.

Un enfoque alternativo es la petname extensión para Firefox que permite a los usuarios escribir en sus propias etiquetas para sitios web, así que más tarde pueden reconocer cuando han regresado al sitio. Si el sitio no es reconocido, entonces el software puede advertir al usuario o bloquear el sitio absoluto. Esto representa la gestión de la identidad centrado en el usuario de la identidad del servidor. Algunos sugieren que es mejor que un petname una imagen gráfica seleccionada por el usuario.

Con el advenimiento de Certificados EV, los navegadores normalmente muestran ahora nombre de la organización en verde, que es mucho más visible y esperemos que más concuerda con las expectativas del usuario. Proveedores de navegador han decidido limitar sólo a este despliegue prominente Certificados EV, dejando al usuario a valerse por sí mismo con todos los otros certificados.

¿Quién es la autoridad

El navegador necesita afirmar quién es la autoridad que hace el reclamo de que el usuario está conectado a. En el nivel más simple, ninguna autoridad se indica, y por lo tanto el navegador es la autoridad, en cuanto se refiere al usuario. Los vendedores de navegador asumieran esta responsabilidad mediante el control de un lista de raíz de CAs aceptable. Esta es la práctica estándar actual.

El problema con esto es que no todas las autoridades de certificación (CAs) emplean igualmente bien ni aplicable comprobando, independientemente de los intentos por vendedores de navegador para controlar la calidad. Ni hacer suscribir CAs todos del mismo modelo y concepto que son certificados de autenticación de ecommerce organizaciones. Certificado de fabricación es el nombre dado a los certificados de bajo valor que se entregan en una tarjeta de crédito y una confirmación por correo electrónico; en ambos casos son fácilmente pervertidas por los defraudadores. Por lo tanto, un sitio de alto valor puede ser fácilmente falseado por un certificado válido proporcionado por otro CA. Esto podría ser porque el CA está en otra parte del mundo y está familiarizado con los sitios de comercio electrónico de alto valor, o podría ser que no se tiene cuidado en absoluto. Como la CA sólo es acusado de proteger a sus propios clientes y no los clientes de otras CAs, esta falla es inherente en el modelo.

La solución a esto es que el navegador debe mostrar, y el usuario debe estar familiarizado con el nombre de la autoridad. Esto presenta la CA como una marca y permite al usuario conocer el puñado de CAs que es probable que entren en contacto dentro de su país y su sector. El uso de la marca también es crítico para la CA proporciona un incentivo para mejorar su control, como el usuario aprenderá la marca y la demanda buena buscando sitios de alto valor.

Esta solución primero se puso en práctica en las primeras versiones de IE7, al Mostrar Certificados EV. En esta pantalla, se muestra la entidad emisora. Esto era un caso aislado, sin embargo. Hay resistencia a CAs se marca en el cromo, resultando en una suplencia hasta el nivel más simple anterior: el navegador es la autoridad del usuario.

Defectos fundamentales en el modelo de seguridad de la navegación segura

Experimentos para mejorar la seguridad de interfaz de usuario se han traducido en beneficios, pero también han expuesto fallas fundamentales en el modelo de seguridad. Las causas del fracaso de la autenticación SSL emplear correctamente en navegación segura son muchos y entrelazan.

Los usuarios tienden a no comprobar la información de seguridad, incluso cuando se muestra explícitamente a ellos. Por ejemplo, la gran mayoría de advertencias para los sitios para configuraciones incorrectas, no es un ataque Man-in-the-middle (MITM). Los usuarios han aprendido a eludir las advertencias y tratar todas las advertencias con el mismo desdén, resultando en síndrome de clics. Por ejemplo, Firefox 3 tiene un proceso 4-Haga clic para agregar una excepción, pero se ha demostrado para ser ignorada por un usuario experimentado en un caso real de MITM.

Otro factor subyacente es la falta de apoyo de hosting virtual. Las causas específicas son la falta de apoyo para Indicación de nombre de servidor en los servidores web TLS, gastos y molestias de la adquisición de los certificados. El resultado es que el uso de la autenticación es demasiado raro para ser otra cosa que un caso especial. Esto ha provocado una falta general de conocimientos y recursos en autenticación dentro de TLS, que a su vez ha significado que los intentos por vendedores de navegador para actualizar sus interfaces de seguridad han sido lentos y deslucido.

El modelo de seguridad para el navegador seguro incluye muchos de los participantes: usuario, proveedor de navegador, desarrolladores, CA, auditor, proveedor de web server, sitio de comercio electrónico, los reguladores (por ejemplo, FDIC) y comités de estándares de seguridad. Hay una falta de comunicación entre los diferentes grupos que están comprometidos con el modelo de seguridad. Por ejemplo, aunque la comprensión de la autenticación es fuerte a nivel de protocolo de los comités de IETF, este mensaje no llega el grupo de IU. Proveedores de servidores web no priorizar el Indicación de nombre de servidor Fix (TLS/SNI), no lo veo como un parche de seguridad sino más bien una nueva característica. En la práctica, todos los participantes miran a los demás como el origen de las fallas principales de "phishing", por lo tanto no se priorizan las soluciones locales.

Asuntos mejoraron levemente con el foro del CAB, como ese grupo incluye navegador vendedores, auditores y CAs. Pero el grupo no salió de una manera abierta y el resultado sufrió de los intereses comerciales de los primeros jugadores, así como la falta de paridad entre los participantes. Incluso hoy en día, Foro de taxi no está abierto y no incluye representación de pequeñas CAs, los usuarios finales, los dueños del comercio electrónico, etc..

Los vendedores se comprometen a estándares, que se traduce en un efecto de subcontratación cuando se trata de seguridad. Aunque ha habido muchos y buenos experimentos en la mejora de la seguridad de interfaz de usuario, estos no se han adoptado porque no son estándar, o chocan con las normas. Modelos de amenazas pueden reinventarse a sí mismos en alrededor de un mes; Normas de seguridad toma alrededor de 10 años para ajustar.

Los mecanismos de control empleados por los vendedores del navegador sobre el CAs no han sido actualizados substancialmente; el modelo de amenaza tiene. El proceso de control y calidad sobre CAs escaso está sintonizado con la protección de los usuarios y el direccionamiento de las amenazas reales y actuales. Los procesos de auditoría están en gran necesidad de actualización. Las recientes directrices EV documentado el modelo actual con mayor detalle y establecido un buen punto de referencia, pero no empujó para que cualquier cambio sustancial a realizarse.

Navegadores alertando a los usuarios a sitios web fraudulentos

Otro enfoque popular a la lucha contra el "phishing" es mantener una lista de sitios de phishing conocidos y visitar sitios en la lista. Navegador IE7 de Microsoft, Mozilla Firefox 2.0, Safari 3.2, y Ópera todos contienen este tipo de medidas anti-phishing. Firefox 2 usado Google software anti-phishing. Opera 9.1 utiliza vivo listas negras De PhishTank y GeoTrust, así como vivo listas blancas De GeoTrust. Algunas implementaciones de este enfoque envían las URL visitadas a un servicio central para comprobar, que ha expresado su preocupación sobre la privacidad. Según un informe de Mozilla a finales de 2006, Firefox 2 fue encontrado para ser más eficaz que el Internet Explorer 7 para detectar sitios fraudulentos en un estudio por un compañía de pruebas de software independiente.

Un enfoque introducido a mediados de 2006 consiste en cambiar a un servicio especial de DNS que filtra el phishing conocidos dominios: esto funciona con cualquier navegador, y es similar en principio al uso de un archivo hosts para bloquear anuncios web.

Para mitigar el problema de los sitios de "phishing" haciéndose pasar por un sitio víctima incrustando sus imágenes (por ejemplo, logotipos), varios propietarios de sitios han alterado las imágenes para enviar un mensaje al visitante que un sitio puede ser fraudulento. La imagen puede ser desplazada a un nuevo nombre de archivo y el original sustituidos permanentemente, o un servidor puede detectar que la imagen no fue solicitada como parte de la navegación normal y en su lugar enviar una imagen de advertencia.

Aumento de inicios de sesión de contraseña

El Bank of Americadel sitio web es uno de varios que preguntar a los usuarios seleccionar una imagen personal y mostrar esta imagen seleccionados por el usuario con formularios que solicite una contraseña. Los usuarios de servicios en línea del banco han sido instruidos para introducir una contraseña sólo cuando ven la imagen que seleccionaron. Sin embargo, varios estudios sugieren que algunos usuarios se abstengan de ingresar sus contraseñas cuando imágenes están ausentes. Además, esta característica (como otras formas de autenticación de dos factores) es susceptible a otros ataques, como los sufridos por Banco escandinavo Nordea a finales de 2005, y Citibank en el año 2006.

Un sistema similar, en el cual aparece un generado automáticamente "identidad Cue" que consta de una palabra color dentro de una caja de color a cada usuario del sitio web, está en uso en otras instituciones financieras.

Aspectos de seguridad son una técnica relacionada que consiste en superponer una imagen seleccionados por el usuario en el formulario de login como una señal visual que la forma es legítima. A diferencia de los esquemas de imagen basado en Web, sin embargo, la propia imagen es compartida entre el usuario y el navegador y no entre el usuario y el sitio Web. El plan también se basa en un autenticación mutua Protocolo, lo que hace que sea menos vulnerable a los ataques que afectan a esquemas de autenticación de usuario.

Todavía otra técnica se basa en una red dinámica de imágenes que es diferente para cada intento de inicio de sesión. El usuario debe identificar las imágenes que se ajustan sus categorías preseleccionados (como perros, coches y flores). Sólo después de que se han identificado correctamente las imágenes que se ajustan sus categorías se les permite ingresar su contraseña alfanumérica para completar el inicio de sesión. A diferencia de las imágenes estáticas en el sitio web de Bank of America, un método de autenticación basado en imágenes dinámicas crea una clave única para el inicio de sesión, requiere la participación activa del usuario y es muy difícil para un sitio web de "phishing" replicar correctamente porque tendría que mostrar una cuadrícula diferente de imágenes generadas al azar que incluye categorías secreta del usuario.

Eliminar correo phishing

Especializada filtros de spam puede reducir el número de correos electrónicos de phishing que llegan a las bandejas de entrada de sus destinatarios. Estos enfoques se basan en aprendizaje automático y procesamiento del lenguaje natural enfoques para clasificar los correos phishing. Autenticación de la dirección de correo electrónico es un nuevo enfoque.

Monitoreo y takedown

Varias empresas ofrecen los bancos y otras organizaciones propensas a sufrir de estafas de phishing servicios las 24 horas para monitorear, analizar y ayudar a cerrar sitios web de phishing. Los individuos pueden contribuir informando "phishing" a grupos de voluntarios y la industria, tales como PhishTank. Los individuos también pueden contribuir al reportar intentos de phishing teléfono teléfono Phishing, Comisión Federal de comercio. Correos electrónicos y páginas web de phishing pueden notificarse a Google. El Tablón de anuncios de Internet crimen Complaint Center lleva phishing y ransomware alertas.

Verificación de transacciones y firma

También han surgido soluciones utilizando el teléfono móvil (teléfono inteligente) como un segundo canal para la verificación y autorización de transacciones bancarias.

Limitaciones de las respuestas técnicas

Un artículo publicado en Forbes en agosto de 2014 argumenta que los problemas de "phishing" razón persisten incluso después de una década de tecnologías anti-phishing se venden es que "phishing" es "un medio tecnológico para explotar las debilidades humanas" y que la tecnología no puede compensar completamente las debilidades humanas.

Respuestas jurídicas

El 26 de enero de 2004, Estados Unidos Comisión Federal de comercio presentó la primera demanda contra un phisher sospechoso. El acusado, un Californiano adolescente, supuestamente creó una página web diseñada para parecerse a la America Online sitio web y lo usó para robar información de tarjetas de crédito. Otros países han seguido esta pista por localizar y arrestar a los phishers. Un phishing kingpin, Valdir Paulo de Almeida, fue detenido en Brasil para conducir una de la más grande "phishing" anillos de crimen, que en dos años robó entre US$ 18 millones y US$ 37 millones. Autoridades británicas encarcelan a dos hombres en junio de 2005 por su papel en una estafa de "phishing", en un caso conectado a la Servicio secreto de Estados Unidos Operación Firewall, dirigida a sitios web notorios "Cardador". En 2006 ocho personas fueron arrestados por la policía japonesa por sospecha de fraude "phishing" creando falsos sitios Web de Yahoo Japan, propios de la red (¥ 100 millonesUS$ 870.000). Los arrestos continuaron en 2006 con el FBI Operación Cardkeeper detener a una banda de 16 años en los Estados Unidos y Europa.

En Estados Unidos, Senador Patrick Leahy introdujo el Ley Anti-Phishing de 2005 en Congreso en 01 de marzo de 2005. Esto proyecto de ley, si se había promulgado la ley, habría sometido criminales que crean sitios web falsos y enviaron correos electrónicos falsos para defraudar a los consumidores a multas de hasta US$ 250.000 y penas de hasta cinco años de prisión. El Reino Unido reforzar su arsenal jurídico contra el phishing con el Fraude ley 2006, que introduce un delito general de fraude que puede transportar hasta a diez años de prisión y prohíbe el desarrollo o la posesión de phishing kits con intención de cometer fraude.

Las empresas han sumado al esfuerzo para reprimir "phishing". El 31 de marzo de 2005, Microsoft presentado 117 demandas federales en el Tribunal de distrito de Estados Unidos para el distrito occidental de Washington. Acusan a las demandas"John Doe"acusados de obtener contraseñas e información confidencial. Marzo de 2005 también vio una alianza entre Microsoft y el Gobierno australiano enseñando a los funcionarios policiales combatir diversos delitos cibernéticos, incluyendo "phishing". Microsoft anunció un previsto más de 100 demandas fuera de Estados Unidos en marzo de 2006 seguido por el comienzo, a partir de noviembre de 2006, de 129 demandas mezcla acciones penales y civiles. AOL reforzado sus esfuerzos contra el phishing a principios de 2006 con tres pleitos buscando un total de US$ 18 millones en las 2005 las enmiendas a la ley de delitos informáticos de Virginia, y Earthlink se ha unido en ayudando a identificar seis hombres posteriormente acusados de fraude "phishing" en Connecticut.

En enero de 2007, Jeffrey Brett Goodin de California se convirtió en el primer acusado declarado culpable por un jurado bajo las disposiciones de la CAN-SPAM Act de 2003. Fue encontrado culpable de enviar miles de correos electrónicos a los usuarios de America Online, mientras posando como Departamento de facturación, que incitó a los clientes a enviar personal de AOL y la información de tarjeta de crédito. Frente a un posible 101 años de prisión por la violación de CAN-SPAM y diez otros cuenta incluyendo fraude electrónico, el uso no autorizado de tarjetas de crédito y el uso indebido de la marca registrada de AOL, fue sentenciado a 70 meses de servir. Goodin había estado en custodia desde fallando comparecer para una audiencia de la corte anterior y empezó a cumplir su condena inmediatamente.

Véase también

• SMiShing
• Amenaza persistente avanzada
• Brandjacking
• Clickjacking
• Autoridad de certificación
• Estafa
• Hacker (seguridad informática)
• Durante la sesión "phishing"
• Fraude en Internet
• Ensayo de penetración
• SiteKey
• Espía-phishing
• Delitos
• Typosquatting

Referencias

• Ghosh, Ayush (2013). "Seclayer: un plugin para prevenir los ataques de phishing". IUP Journal of Information Technology, 4, 9, 52-64.

Enlaces externos

• Grupo de trabajo Anti-Phishing
• Centro de gestión de la identidad y protección de la información—Utica College
• Tapando el agujero de "phishing": legislación versus tecnología—Duke Law & Technology Review
• Conoce a tu enemigo: Phishing—Proyecto Honeynet estudio de caso
• Un esfuerzo inútil: Phishing como la tragedia de los comunes— Microsoft Corporation
• Base de datos para obtener información sobre los sitios de phishing registrados por el público— PhishTank
• El impacto de los incentivos en el aviso y desmontaje − Laboratorio de computación, Universidad de Cambridge (PDF, 344 kB)
• Información y archivo de los correos Phishing—Scamdex.com

Otras Páginas

• Tranvias en Turku
• Placa mucoide
• Berhanu Alemu
• NopCommerce
• Backup IASO