Jeśli pracujesz lub jesteś właścicielem przedsiębiorstwa, musisz wiedzieć, że zawsze istnieje wysokie ryzyko cyberataków i oszustw. Oszustwa e-mail^{(Email Scams)} są najczęstsze z nich. Phishing występuje w wielu odmianach, takich jak Tabnabbing, Spear Phishing oraz Vishing i Smishing. Kilka dni temu przyjrzeliśmy się oszustwom internetowym związanym z pharmingiem^{(Pharming online frauds)} – dzisiaj przyjrzymy się oszustwom wielorybniczym^{(Whaling Scams)} , które jest pojawiającym się zagrożeniem dla cyberbezpieczeństwa.

Czym są oszustwa związane z wielorybami?

W oszustwach związanych z wielorybami^(Whaling) jesteś zwykle celem ataków za pośrednictwem poczty e-mail — jest to wyspecjalizowane oszustwo phishingowe^{(Phishing scam)} . Atakujący bada Twoją aktywność online i uzyskuje przydatne informacje o Tobie z innych źródeł. Informacje te są wykorzystywane do tworzenia profesjonalnie wyglądającej spersonalizowanej wiadomości e-mail. Wyświetlenie oficjalnego e-maila może spowodować, że zrezygnujesz z ochrony i prawdopodobnie ufasz takiemu e-mailowi. Chodzi o to, aby uzyskać od Ciebie informacje do dalszych oszukańczych działań.

Teraz musisz zdać sobie sprawę, że istnieje cienka różnica między wielorybnictwem^(Whaling) a spear phishingiem ^{(Spear Phishing)}. Wielorybnictwo^(Whaling) zazwyczaj jest wymierzone w kadrę kierowniczą wysokiego szczebla, podczas gdy drugie oszustwo jest skierowane do pracowników firmy, ogólnie do klientów firmy. Nazywa się wielorybnictwo^(Whaling) , ponieważ cele są zwykle duże lub ważne. I tak Wieloryby^(Whales) są wybierane ze względu na ich autorytet i dostęp w ramach organizacji.

Jak działa wielorybnictwo^(Whaling) i dlaczego jesteś na celowniku

Większość celów to zwykle biznesmeni, przedsiębiorcy, prezesi^(CEOs) i pracownicy korporacji. Cele są zwykle specyficzne dla biznesu, a ataki są planowane w celu uzyskania poufnych informacji o działalności organizacji.

Tego rodzaju ataki z wykorzystaniem inżynierii społecznej są bardzo trudne do zidentyfikowania, a ludzie zwykle przekazują dane takim oszustom. Oszust wysyła spersonalizowaną wiadomość e-mail z adresu, który być może znasz. Oszust może udawać, że jest twoim szefem lub inną przyjazną organizacją. Lub może naśladować jako twojego konsultanta finansowego lub twojego prawnika. Treść wiadomości e-mail jest w większości zwrócona na uwagę, dzięki czemu możesz szybko odpowiedzieć i jest najmniejsza szansa, że ​​zostaną złapani.

Wiadomość e-mail może wymagać przelania pieniędzy jako płatności na należny rachunek lub może wymagać podania niektórych danych firmy, które są wymagane w centrali. Lub może zapytać o dane osobowe pracowników organizacji.

Oszust lub osoba atakująca już przeszukała Cię, aby utworzyć dla Ciebie spersonalizowaną wiadomość e-mail. Badania mogą opierać się na twoich działaniach online lub na jakichkolwiek informacjach uzyskanych z innych źródeł. E-maile dotyczące wielorybów^{(Whaling emails)} wydają się po prostu normalne i idealne i to jedyny powód, dla którego ludzie wpadają w pułapkę. Nazwy, logo i inne informacje użyte w wiadomości e-mail mogą być prawdziwe lub nie. Ale jest to przedstawione w taki sposób, że normalnie ludzie nie mogą zaznaczyć różnicy między tymi e-mailami.

Ponadto adres e-mail nadawcy lub wspomnianej witryny jest podobny do kogoś, kogo możesz znać. Załączniki mogą być złośliwe lub nie. Jedynym celem tych oszustw jest przekonanie Cię, że wiadomość e-mail jest całkowicie normalna i wymaga pilnego działania. A kiedy postępujesz zgodnie z instrukcjami zawartymi w e-mailu, w końcu wyciekasz niektóre poufne dane nieautoryzowanej osobie lub stronie internetowej.

Jak chronić się przed atakami wielorybniczymi

Musisz nauczyć się rozpoznawać ataki typu phishing^{(identify Phishing Attacks)} , aby dowiedzieć się więcej o ogólnej ochronie przed phishingiem, aby uniknąć oszustw typu phishing^{(avoid Phishing scams)} .

Kluczem do ochrony jest zachowanie czujności. Czytaj wszystkie e-maile związane z pracą od końca do końca i miej oko na coś podejrzanego. Jeśli właśnie poczułeś, że coś jest nie tak z e-mailem, skontaktuj się z organizacją, z której rzekomo pochodzi e-mail.

1] Zweryfikuj^(Verify) adres e-mail nadawcy, a następnie odpowiadaj tylko na e-maile. Zazwyczaj witryny lub adresy e-mail, z których otrzymujesz wiadomości e-mail, są prawie identyczne z normalnymi adresami e-mail, które możesz znać. „O” może być zastąpione przez „0” (zero) lub mogą być dwa „ss” zamiast jednego „s”. Tego rodzaju błędy są łatwo przeoczone ludzkim okiem i stanowią one podstawę takich ataków.

2] Jeśli wiadomość e-mail wymaga pilnego działania, musisz uważnie się przyjrzeć, a następnie podjąć decyzję. Jeśli istnieją linki do witryn wychodzących, zweryfikuj ich adres przed podaniem jakichkolwiek informacji do tej witryny. Sprawdź również znak kłódki lub zweryfikuj certyfikat witryny.

3] Nie podawaj żadnych danych finansowych ani danych kontaktowych na żadnej stronie internetowej ani w wiadomości e-mail. Dowiedz się, kiedy zaufać witrynie^{(Know when to trust a website)} , podejmij środki ostrożności przed kliknięciem jakichkolwiek łączy internetowych^{(precautions before clicking on any web links)} i przestrzegaj podstawowych norm bezpieczeństwa korzystania z Internetu.

4] Miej odpowiedni program antywirusowy, firewall chroniący Twój komputer i nie pobieraj żadnych załączników z żadnego z tych e-maili. RAR/7z lub inne pliki wykonywalne zawierają złośliwe oprogramowanie lub trojany^(Trojans) . Regularnie zmieniaj hasła i twórz kopie zapasowe ważnych dokumentów w bezpiecznej lokalizacji.

5 ] Całkowicie^{(] Completely)} zniszcz swoje fizyczne dokumenty przed wyrzuceniem ich, aby nie zawierały żadnych informacji o Tobie i Twojej organizacji.

Przykłady ataków wielorybniczych

Chociaż można znaleźć mnóstwo takich historii o oszustwach w Internecie. Nawet największe firmy, takie jak Snapchat i Seagate , wpadły w pułapki tych oszustw. W zeszłym roku ofiarą takiego oszustwa padł wysoki rangą pracownik Snapchata^(Snapchat) , w którym e-mail podszywający się pod prezesa firmy pytał o listę płac pracowników. Spójrz na kilka przykładów:

• Seagate : Udany atak wielorybniczy wylądował złodziei do 10 000 dokumentów podatkowych W-2 dla wszystkich obecnych i byłych pracowników.
• Snapchat : Pracownik zakochał się w wiadomości e-mail podszywającej się pod żądanie dyrektora generalnego Evana Spiegela^{(CEO Evan Spiegel)} i ujawnieniu danych płacowych 700 pracowników.
• FACC : Austriacki dostawca przemysłu lotniczego stracił 50 milionów euro z powodu ataku wielorybniczego.
• Ubiquiti Networks : Ta firma zajmująca się technologiami sieciowymi poniosła stratę 39,1 miliona dolarów w wyniku ataku na wieloryby.
• Weight Watchers International : e-mail dotyczący wielorybów pozwolił złodziejom uzyskać dane podatkowe dla prawie 450 obecnych i byłych pracowników.

Już oszukano?

Czy uważasz, że padłeś ofiarą oszustwa wielorybniczego ? ^(Whaling)Natychmiast poinformuj szefa swojej organizacji i zwróć się o pomoc prawną. Jeśli podałeś im jakiekolwiek dane bankowe lub jakiekolwiek hasła, natychmiast je zmień. Skonsultuj się z ekspertem ds. cyberbezpieczeństwa, aby prześledzić ścieżkę i dowiedzieć się, kto był atakującym. Poszukaj pomocy prawnej i skonsultuj się z prawnikiem.

Dostępne są różne usługi online, w których można zgłaszać takie oszustwa. Prosimy o zgłaszanie takich oszustw, aby ich działalność mogła zostać zakłócona i aby nie dotyczyło to większej liczby osób.

Jeśli chcesz dowiedzieć się więcej, istnieje doskonały eBook zatytułowany Wielorybnictwo, Anatomia ataku^{(Whaling, Anatomy of an attack)} , który możesz pobrać bezpłatnie.

Chroń siebie, swoich pracowników i swoją organizację przed takimi oszustwami i oszustwami internetowymi. Rozpowszechniaj informacje i pomóż swoim współpracownikom, przyjaciołom i rodzinie zachować ochronę.^{(Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.)}

Przeczytaj tutaj o najczęstszych oszustwach i oszustwach internetowych i e-mailowych^{(most common Online and Email scams & frauds)} .

What are Whaling scams & how to protect your Enterprise

If you work in оr own an enterprise, then you need to know that thеre is always a high risk of cyber-attacks & scams taking plаce. Email Scams are the most common among them. Phishing comes in many flavors like Tabnabbing, Spear Phishing as well as Vishing and Smishing. A few days back, we took a look at Pharming online frauds – today we will take a look at Whaling Scams which is the emerging cyber-security threat.

What are Whaling scams

In Whaling scams, you are targeted usually by email – it is a specialized Phishing scam. The attacker studies your online activity and obtains useful information about you from other sources. And that information is used to create a professional looking personalized e-mail. Seeing an official email can cause you to drop your defenses and you are very likely to trust such email. The idea is to obtain information from you for further fraudulent activities.

Now you have to realize that there is a thin line of difference between Whaling and Spear Phishing. Whaling typically targets high-level executives, whereas the latter scam targets employees of a company, customers of a company generally. It is called Whaling because the targets are usually large or important. And so Whales are chosen because of their authority and access within an organization.

How does Whaling work and why are you targeted

Most of the targets are usually businessmen, entrepreneurs, CEOs, and corporate employees. The targets are usually business specific and attacks are planned for the purpose of obtaining any sensitive information about the activities of an organization.

These kind of socially engineered attacks are very difficult to identify and people usually end up giving data to such scammers. The scammer sends a personalized email from an address you may be familiar with. The scammer may mimic to be your boss or another friendly organization. Or he/she may mimic as your financial consultant or your lawyer. The content of the email is mostly attention seeking so that you may reply promptly and there is the least chance of them getting caught.

The email might require you to transfer some money as a payment to a due bill or it may ask you for some company data that is required at a head office. Or it may ask personal details about the employees of the organization.

The scammer or the attacker has already researched you to create a personalized email for you. And the research may be based upon your online activities or upon any information obtained from other sources. Whaling emails just seem normal and perfect and that is the only reason people fall into the trap. The names, logos and other information used in the email may be real or not. But it is presented in such a way that normally people cannot mark a difference between these emails.

Also, the email address of the sender or the website mentioned is similar to someone you may know. The attachments may or may not be malicious. The sole purpose of these scams is to convince you that the email is completely normal and requires urgent action. And when you follow the instructions in the email, you end up leaking out some confidential data to an unauthorized person or website.

How to stay protected from Whaling attacks

You have to learn to identify Phishing Attacks to know more about protection from phishing in general so that you can avoid Phishing scams.

The key to staying protected is to stay attentive. Read all your work related emails end to end and keep an eye on something fishy. If you just felt that there is something wrong with the email, contact the organization from which the email is said to be.

1] Verify the sender’s email and then only respond to emails. Usually, the websites or email addresses from where you are receiving emails are almost identical to normal email addresses that you may know. An ‘o’ may be replaced with a ‘0’ (zero) or there may be two ‘ss’ instead of one ‘s’. This kind of errors are easily overlooked by a human eye, and these forms the basis of such attacks.

2] If the email requires some urgent action, then you must look carefully and then take the decision. If there are any outbound website links, verify their address before supplying any information to that website. Also, check for the padlock sign or verify the website’s certificate.

3] Do not provide any financial or any contact details to any website or an email. Know when to trust a website, take precautions before clicking on any web links and follow the basic internet usage safety norms.

4] Have proper antivirus, firewall software protecting your computer and do not download any attachments from any of these emails. RAR/7z or any other executable files are most suspected to contain any malware or Trojans. Regularly change passwords and create a backup of important documents at a secure location.

5] Completely destroy your physical documents before disposing of them so that they cannot provide any information about you and your organization.

Whaling attack examples

While you can find a ton of such scam stories online. Even the major companies like Snapchat and Seagate have fallen into the traps of these scams. Last year, a high-rank employee of Snapchat was a victim of such a scam where an email impersonating the CEO of the company inquired about the payroll of the employees. Take a look at some examples:

• Seagate: A successful whaling attack landed thieves up to 10,000 W-2 tax documents for all current and past employees.
• Snapchat: An employee fell for an email impersonating a request from CEO Evan Spiegel and compromised payroll data for 700 employees.
• FACC: The Austrian aircraft industry supplier lost 50 million euros due to a whaling attack.
• Ubiquiti Networks: This networking tech company suffered a $39.1 million loss as a result of a whaling attack.
• Weight Watchers International: A whaling email allowed thieves to obtain tax data for nearly 450 current and former employees.

Already Scammed?

Do you think that you’ve been a victim of a Whaling scam? Immediately inform the head of your organization and seek legal help. If you provided them with any bank details or any sort of passwords, change them immediately. Consult a cyber-security expert to track back the path and know who the attacker was. Seek out for legal help and consult a lawyer.

There are various online services available where you can report such scams. Please report such scams so that their activity can be disrupted and more people are not affected.

If you are interested in knowing more, there is this excellent eBook titled Whaling, Anatomy of an attack, which you can download free.

Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.

Read here about the most common Online and Email scams & frauds.

Related posts

• Jak sprawdzić, czy link jest bezpieczny, czy nie, korzystając z przeglądarki internetowej?

• Dowiedz się, czy Twoje konto internetowe zostało zhakowane i wyciekły dane e-mail i hasła

• Wskazówki dotyczące bezpieczeństwa w Internecie dla dzieci, studentów i nastolatków

• Artykuł o zabezpieczeniach internetowych i wskazówki dla użytkowników systemu Windows

• Chroń swoje dzieci przed treściami dla dorosłych za pomocą czystego przeglądania

• Unikaj bankowości internetowej i innych cyberoszustw — wskazówki dotyczące bezpieczeństwa dla użytkowników komputerów PC

• Definicja ataku sprayem hasła i samoobrona

• Czym są cyfrowe ślady, ślady lub cień?

• Co to jest pharming i jak możesz zapobiegać oszustwom internetowym?

• Kradzież tożsamości online: wskazówki dotyczące zapobiegania i ochrony

• Darmowy generator fałszywych nazw do generowania fałszywej tożsamości

• Darmowe narzędzie online PDF Editor do edycji plików PDF - PDF Tak

• Lista najlepszych stron internetowych z darmowym konwerterem czcionek

• Czym jest atak typu Man-In-The-Middle (MITM): definicja, zapobieganie, narzędzia

• Cyberataki — definicja, rodzaje, zapobieganie

• Koronawirus COVID-19 Phishing, oszustwa, oszustwa i schematy

• Najlepsze bezpłatne narzędzia do tworzenia schematów blokowych online

• Darmowy kreator kolaży zdjęć Narzędzia i oprogramowanie online

• Najlepsze bezpłatne kursy szkoleniowe online, aby zachować formę w domu

• Co to jest phishing i jak rozpoznać ataki phishingowe?