Спуфинг, вишинг, смишинг и фарминг: подмена и обман

Спуфинг (spoofing) — это атака, при которой злоумышленник подделывает данные об источнике, чтобы выдать себя за доверенный объект — другого пользователя, устройство или сайт. Цель — обойти проверки и заставить жертву или систему довериться поддельному отправителю, после чего похитить данные, деньги или получить несанкционированный доступ.

Термин применяется к разным уровням: можно подделать адрес отправителя письма, IP-адрес сетевого пакета, соответствие домена и IP-адреса в DNS, номер, который видит абонент при входящем звонке, или внешний вид веб-страницы. Общее у всех этих случаев одно — принимающая сторона (человек или система) получает сигнал с поддельными «верительными данными» и на основании этого принимает решение, которое не приняла бы, если бы знала настоящий источник.

Виды спуфинга различаются тем, какие именно данные об источнике подделываются — адрес почты, сетевой адрес, доменное имя, физический адрес устройства в локальной сети, номер телефона или внешний вид сайта. Ниже — шесть основных типов и типичный сценарий использования каждого.

↔ таблицу можно прокрутить вбок

Веб-спуфинг стоит немного отдельно от строк таблицы: здесь подделывается не техническая запись, а визуальное впечатление сайта — похожий домен (тайпсквоттинг), скопированный дизайн страницы входа. Веб-спуфинг не всегда требует вмешательства в DNS — иногда достаточно похожего домена и ссылки в письме или SMS, — но именно он лежит в основе поддельных страниц входа, на которые ведут фишинговые ссылки и смишинг-сообщения.

Вишинг (vishing, voice phishing) — это мошенничество по телефону, при котором злоумышленник голосовым звонком выдаёт себя за сотрудника банка, службы безопасности, госоргана или техподдержки, чтобы получить от жертвы деньги, коды подтверждения или доступ к её счетам. Вишинг часто идёт в паре со спуфингом номера: на экране телефона отображается номер, похожий на официальный или совпадающий с ним, хотя звонок пришёл не оттуда.

Разговор обычно построен на классических приёмах социальной инженерии — давлении авторитета («я звоню из службы безопасности банка»), срочности («на ваш счёт покушаются прямо сейчас») и секретности («не кладите трубку и никому не говорите, пока мы решаем вопрос»). Сценарии варьируются: от требования назвать код из SMS «для отмены операции» до предложения перевести деньги на «безопасный счёт».

Признаки вишинга:

• звонящий торопит и запрещает класть трубку или советоваться с родственниками, коллегами;
• просит назвать код из SMS или push-уведомления, CVV-код карты или полный номер счёта;
• номер при обратном наборе не совпадает с официальным номером организации на её сайте или карте;
• предлагает «безопасный счёт» или конкретное приложение для «защиты» денег;
• использует пугающий повод — блокировку счёта, уголовное дело, срочную угрозу потери средств.

Смишинг (smishing, SMS phishing) — это мошенничество через текстовые сообщения, SMS или мессенджеры, когда жертве присылают ссылку на поддельный сайт или просьбу перезвонить по указанному номеру, чтобы выманить логин, пароль или данные карты. По механике смишинг — это фишинг, перенесённый в канал коротких сообщений, часто с последующим переходом на страницу веб-спуфинга.

Типичные шаблоны сообщений: «посылка не может быть доставлена, уточните адрес по ссылке», «карта заблокирована, подтвердите данные», «штраф не оплачен», «вы выиграли приз». Имя отправителя SMS (alphanumeric sender ID) при этом нередко подделано и визуально совпадает с именем банка или службы — в отличие от email, где SPF/DKIM/DMARC создают криптографическую проверку подлинности, у SMS-сервисов сопоставимого повсеместного механизма проверки отправителя обычно нет, что делает подмену имени в SMS технически проще.

Признаки смишинга:

• ссылка сокращена или ведёт на домен, незначительно отличающийся от официального;
• сообщение создаёт срочность и требует немедленного действия;
• текст содержит ошибки или формулировки, нетипичные для официальных уведомлений организации;
• сообщение просит ввести данные карты или пароль на странице, открытой по ссылке из SMS.

Фарминг (pharming) — это атака, при которой подмена DNS-записи или файла hosts на устройстве жертвы перенаправляет пользователя на поддельный сайт-двойник, даже если пользователь вручную ввёл в браузере правильный адрес. В этом ключевое отличие фарминга от классического фишинга: обман не требует клика по вредоносной ссылке — скомпрометирован сам механизм преобразования доменного имени в IP-адрес, поэтому даже осторожный пользователь, который всегда проверяет адресную строку, может не заметить подмену на уровне сети.

Технически фарминг реализуется двумя основными путями:

• компрометация DNS-сервера или его кэша (DNS-спуфинг на уровне резолвера) — потенциально затрагивает всех пользователей, которые обращаются к этому серверу;
• вредоносное ПО на устройстве жертвы, которое изменяет локальный файл hosts или DNS-настройки сети — затрагивает только заражённое устройство.

DNS-спуфинг из таблицы видов спуфинга выше — это техническая подмена, а фарминг — конкретное её применение: перенаправление на мошеннический сайт, обычно копию страницы входа в банк или сервис, ради кражи логина и пароля.

Базовая защита от спуфинга строится на двух уровнях: технической проверке подлинности отправителя (для email и DNS) и поведенческой привычке не доверять входящему каналу связи по умолчанию (для звонков и SMS) — независимо от того, что показывает номер, имя отправителя или адресная строка.

Для email-спуфинга — три технологии проверки подлинности, которые настраиваются в DNS-записях домена:

На портале эти механизмы разбираются подробнее на странице класса защита почты (SPF/DKIM/DMARC, anti-spoofing) — там же обзор продуктов, которые закрывают эту задачу как встроенную функцию почтового шлюза.

Для человека — набор привычек, которые не зависят от конкретного канала атаки:

• не называть коды из SMS или push-уведомлений по телефону — легитимные организации их не запрашивают;
• перезванивать по номеру с официального сайта или карты, а не по входящему номеру и не по номеру, продиктованному звонящим;
• не переходить по ссылкам из SMS и не вводить данные карты на странице, открытой из сообщения;
• использовать MFA — многофакторную аутентификацию — так, что даже при частичной утечке пароля вход в аккаунт требует второго фактора, который вишинг или смишинг не всегда способны выманить полностью.

На уровне инфраструктуры компании задачу закрывают несколько классов СЗИ: почтовый шлюз с SPF/DKIM/DMARC (класс email) — против email-спуфинга и части фишинговых писем; межсетевой экран следующего поколения (NGFW) — против части сетевых атак с подменой адреса, включая отдельные сценарии IP- и ARP-спуфинга внутри периметра; веб-шлюз (SWG) — блокировка перехода на уже известные вредоносные и фишинговые адреса, в том числе страницы веб-спуфинга и результаты фарминга.