За результатами дослідження компанії Check Point, яка спеціалізується на кібербезпеці, LinkedIn став найпопулярнішою платформою для фішингу в 2022 році. Згідно з даними звіту, на LinkedIn припадало 45% спроб шахрайства.
На другому місці з великим відривом — Microsoft (всього 13%). Також у п’ятірці найпопулярніших сервісів — DHL (13%), Amazon (9%) та Apple (3%). А в другій п'ятірці — Google та Netflix: в обох брендів по 1%.
Зібрали поради, які допоможуть захистити себе та свій пристрій від фішингових атак, а також інших онлайн-загроз.
Популярні прийоми фішингу в LinkedIn
Шахраї маніпулюють своїми жертвами, звертаючись до базових почуттів:
- Страх — ви чогось не зробите і через це щось втратите.
- Цікавість — вам має бути цікаво відкрити лист і дізнатися про його вміст.
- Вигода — ви перейдете за посиланням із повідомлення і щось отримаєте як винагороду.
✉️ Повідомлення про блокування профілю
Користувачеві повідомляють, що його профіль буде заблокований через скаргу. В «тілі» листа — клікабельне посилання «спростувати скаргу». Якщо натиснути його, відкриється сторінка, де потрібно ввести логін і пароль. Так фішери здобудуть ваші дані або завантажать шкідливий софт на комп'ютер. Після чого, наприклад, спишуть гроші з банківської картки або отримають доступ до корпоративного акаунта.
✉️ Надсилання документів
Лист із безневинним початком і фотографією користувача, що нагадує аватар рекрутера, а всередині — вкладення. Щойно ви відкриваєте документ із листа, вас ніби викидає із соцмережі: «З'єднання було перервано. Введіть логін та пароль». За інерцією багато хто вбиває дані для входу в акаунт — і таким чином фішери перехоплюють їх.
Або ще один приклад: користувач LinkedIn — працівник відділу закупівель. Йому надходить повідомлення від «великого постачальника продукції» з пропозицією про співпрацю та документом із прейскурантом у форматі .doc. Людина відкриває файл і спрацьовує макрос, який завантажує, а потім запускає шкідливий софт.
✉️ Помилка доставки повідомлення
Ви можете отримати приватне повідомлення в LinkedIn, замасковане під корпоративну розсилку, з текстом: «Лист, надісланий вам роботодавцем Y, не був доставлений. Щоб переглянути повідомлення, перейдіть за посиланням». У такому разі люди, які чекають на важливий лист, часто клікають на посилання. Після цього їх перенаправляє на сторінку «Підтвердіть свій акаунт», де необхідно ввести логін та пароль.
✉️ Повідомлення від «техпідтримки LinkedIn»
Розсилка в соцмережі нібито від саппорта LinkedIn про те, що хтось заволодів вашим акаунтом і вам необхідно негайно перейти за посиланням для зміни пароля.
Фішери правдоподібно імітують стиль розсилок LinkedIn: повідомлення виглядають так, ніби їх справді відправила соцмережа.
12 порад, щоб убезпечити свій акаунт
Зібрали декілька лайфхаків, які допоможуть не попадатися на фішингові розсилки — причому не тільки в LinkedIn:
1. Увімкніть двофакторну автентифікацію (2FA). Якщо ви входите у профіль на LinkedIn з нового пристрою, вам потрібно пройти декілька перевірок. Доступні два методи підтвердження: за допомогою SMS та програми для автентифікації (наприклад, Microsoft Authenticator). LinkedIn рекомендує другий варіант.
#2. Перевіряйте списки місць та пристроїв, із яких вже виконувався вхід в акаунт LinkedIn. Виявивши невідому локацію або пристрій, з якого ви не заходили у свій профіль, змініть пароль та виконайте вихід із підозрілої сесії.
#3. Періодично перевіряйте адреси електронної пошти та номери телефонів облікового запису LinkedIn. Вони мають бути актуальними — на випадок, якщо доведеться змінити пароль для входу в акаунт.
#4. Іноді моніторте свої недавні контакти в LinkedIn. Переконайтеся, що ваша мережа складається з людей, яких ви знаєте чи кому довіряєте.
#5. Зайдіть у «Конфіденційність та налаштування» (Settings) профілю та знайдіть пункт «Вкажіть, хто може бачити вашу стрічку активності» (Visibility → Manage active status). Виберіть «Ваші контакти». Цей параметр означає, що тільки ваші контакти з LinkedIn зможуть дізнатися, що ви публікували, коментували або лайкали у соцмережі.
#6. Вкажіть, хто може переглядати та вивантажувати вашу адресу електронної пошти. Це можете бути тільки ви, контакти 1 рівня, контакти 1 та 2 рівнів, а також усі користувачі LinkedIn.
#7. Налаштуйте, хто може подавати заявки на додавання до списку контактів. Це можуть бути:
- усі користувачі LinkedIn
- тільки ті люди, які знають вашу адресу електронної пошти або фігурують у вашому списку «Імпортовані контакти»
- лише користувачі, які відображаються в «Імпортованих контактах»
#8. Вчасно оновлюйте софт. З оновленнями програмного забезпечення розробники намагаються «закривати» вразливості в продукті, які дозволяють шахраям завантажувати шкідливий софт на пристрої користувачів.
#9. Використовуйте антивіруси. Навіть вбудований Windows Defender може врятувати девайс від завантаження шкідливих програм, а профіль у соцмережі — від крадіжки персональних даних.
#10. Придумайте складні та різні паролі для всіх вебресурсів. За результатами дослідження менеджера паролів NordPass, найпоширенішими у 2022 році були паролі password, 123456 та qwerty. Тим часом, на злам пароля типу 123456, 111111111, password або iloveyя знадобиться всього секунда.
Паролі мають бути складними та унікальними: 8–14 символів, з літерами обох регістрів, цифрами та спецсимволами. Їх потрібно складати мінімум із трьох комбінацій випадкових слів, цифр та символів. Важливо: у паролі не варто використовувати особисті дані, зокрема ім'я, номер телефону, дату народження або адресу.
Подбайте також про те, щоби комбінацію було легко запам'ятати. Приклад надійного пароля: sandpuckeringelephant2:), у перекладі — пісок кривиться слон. Щоби запам'ятати такий пароль, просто подумайте про слона, який живе в африканській піщаній пустелі і постійно кривиться від сонця. І не забудьте, що у слона два ока, а ще він усміхається.
Крім того, пароль від вашого профілю в LinkedIn не повинен збігатися з паролями від робочих акаунтів. Його треба міняти хоча б раз на пів року.
#11. Перевіряйте URL-адресу за допомогою спеціальних інструментів. Наприклад, VirusTotal або urlscan. На основі більш ніж 70 антивірусних рушіїв вони аналізують підозрілі файли — і швидко знаходять віруси, «черв’яків», «трояни», а також інші шкідливі програми. Рекомендується перевірка всіх посилань, адже акаунти ваших колег або друзів теж можуть бути зламані.
#12. Для покупок онлайн використовуйте окрему картку, а не ту, на якій ви зберігаєте більшу частину заощаджень. Оплачуйте лише на ресурсах із 3D Secure, щоб була переадресація на платіжну систему. Їх можна впізнати за логотипами Mastercard SecureCode або Verified by Visa. На сайтах шахраїв така переадресація не відбувається.
Бажаєте отримувати дайджест статей?
