Εάν εργάζεστε ή είστε ιδιοκτήτης μιας επιχείρησης, τότε πρέπει να γνωρίζετε ότι υπάρχει πάντα υψηλός κίνδυνος επιθέσεων στον κυβερνοχώρο και απάτες. Οι απάτες μέσω email^{(Email Scams)} είναι οι πιο συνηθισμένες μεταξύ τους. Το Phishing έρχεται σε πολλές γεύσεις όπως Tabnabbing, Spear Phishing καθώς και Vishing και Smishing. Πριν από λίγες μέρες, ρίξαμε μια ματιά στις διαδικτυακές απάτες Pharming^{(Pharming online frauds)} – σήμερα θα ρίξουμε μια ματιά στις απάτες φαλαινοθηρίας^{(Whaling Scams)} που είναι η αναδυόμενη απειλή για την ασφάλεια στον κυβερνοχώρο.

Τι είναι οι απάτες με τη φαλαινοθηρία

Στις απάτες φαλαινοθηρίας^(Whaling) , στοχεύεστε συνήθως μέσω email – πρόκειται για μια εξειδικευμένη απάτη Phishing^{(Phishing scam)} . Ο εισβολέας μελετά τη διαδικτυακή σας δραστηριότητα και λαμβάνει χρήσιμες πληροφορίες για εσάς από άλλες πηγές. Και αυτές οι πληροφορίες χρησιμοποιούνται για τη δημιουργία ενός εξατομικευμένου e-mail με επαγγελματική εμφάνιση. Η εμφάνιση ενός επίσημου email μπορεί να σας κάνει να εγκαταλείψετε τις άμυνές σας και είναι πολύ πιθανό να εμπιστευτείτε ένα τέτοιο email. Η ιδέα είναι να λάβουμε πληροφορίες από εσάς για περαιτέρω δόλιες δραστηριότητες.

Τώρα πρέπει να συνειδητοποιήσετε ότι υπάρχει μια λεπτή γραμμή διαφοράς μεταξύ του Whaling και του Spear Phishing . Η φαλαινοθηρία^(Whaling) στοχεύει συνήθως στελέχη υψηλού επιπέδου, ενώ η τελευταία απάτη στοχεύει υπαλλήλους μιας εταιρείας, πελάτες μιας εταιρείας γενικά. Ονομάζεται φαλαινοθηρία^(Whaling) επειδή οι στόχοι είναι συνήθως μεγάλοι ή σημαντικοί. Και έτσι οι Φάλαινες^(Whales) επιλέγονται λόγω της εξουσίας και της πρόσβασής τους σε έναν οργανισμό.

Πώς λειτουργεί το Whaling και γιατί στοχεύεστε

Οι περισσότεροι από τους στόχους είναι συνήθως επιχειρηματίες, επιχειρηματίες, CEOs και εταιρικοί υπάλληλοι. Οι στόχοι είναι συνήθως συγκεκριμένοι για τις επιχειρήσεις και οι επιθέσεις σχεδιάζονται με σκοπό τη λήψη οποιασδήποτε ευαίσθητης πληροφορίας σχετικά με τις δραστηριότητες ενός οργανισμού.

Αυτού του είδους οι κοινωνικά σχεδιασμένες επιθέσεις είναι πολύ δύσκολο να εντοπιστούν και οι άνθρωποι συνήθως καταλήγουν να δίνουν δεδομένα σε τέτοιους απατεώνες. Ο απατεώνας στέλνει ένα εξατομικευμένο email από μια διεύθυνση που μπορεί να γνωρίζετε. Ο απατεώνας μπορεί να μιμηθεί ότι είναι το αφεντικό σας ή άλλη φιλική οργάνωση. Ή μπορεί να μιμηθεί ως οικονομικός σύμβουλός σας ή δικηγόρος σας. Το περιεχόμενο του μηνύματος ηλεκτρονικού ταχυδρομείου αναζητά κυρίως την προσοχή, ώστε να μπορείτε να απαντήσετε αμέσως και υπάρχει η λιγότερη πιθανότητα να συλληφθούν.

Το email μπορεί να σας ζητήσει να μεταφέρετε κάποια χρήματα ως πληρωμή σε ληξιπρόθεσμο λογαριασμό ή μπορεί να σας ζητήσει κάποια εταιρικά δεδομένα που απαιτούνται σε μια έδρα. Ή μπορεί να ζητήσει προσωπικά στοιχεία για τους υπαλλήλους του οργανισμού.

Ο απατεώνας ή ο εισβολέας σας έχει ήδη ερευνήσει για να δημιουργήσει ένα εξατομικευμένο email για εσάς. Και η έρευνα μπορεί να βασίζεται στις διαδικτυακές δραστηριότητές σας ή σε οποιεσδήποτε πληροφορίες που λαμβάνονται από άλλες πηγές. Τα email φαλαινοθηρίας^{(Whaling emails)} απλά φαίνονται φυσιολογικά και τέλεια και αυτός είναι ο μόνος λόγος που οι άνθρωποι πέφτουν στην παγίδα. Τα ονόματα, τα λογότυπα και άλλες πληροφορίες που χρησιμοποιούνται στο email μπορεί να είναι αληθινά ή όχι. Παρουσιάζεται όμως με τέτοιο τρόπο που συνήθως οι άνθρωποι δεν μπορούν να σημειώσουν διαφορά μεταξύ αυτών των email.

Επίσης, η διεύθυνση email του αποστολέα ή του ιστότοπου που αναφέρεται είναι παρόμοια με κάποιον που ίσως γνωρίζετε. Τα συνημμένα μπορεί να είναι ή να μην είναι κακόβουλα. Ο μοναδικός σκοπός αυτών των απατών είναι να σας πείσουν ότι το email είναι απολύτως φυσιολογικό και απαιτεί επείγουσα δράση. Και όταν ακολουθείτε τις οδηγίες στο email, καταλήγετε να διαρρέετε ορισμένα εμπιστευτικά δεδομένα σε μη εξουσιοδοτημένο άτομο ή ιστότοπο.

Πώς να μείνετε προστατευμένοι από επιθέσεις φαλαινοθηρίας

Πρέπει να μάθετε να αναγνωρίζετε τις επιθέσεις ηλεκτρονικού "ψαρέματος"^{(identify Phishing Attacks)} για να μάθετε περισσότερα σχετικά με την προστασία από το ηλεκτρονικό "ψάρεμα" γενικά, ώστε να μπορείτε να αποφύγετε τις απάτες ηλεκτρονικού "ψαρέματος" (phishing)^{(avoid Phishing scams)} .

Το κλειδί για να παραμείνετε προστατευμένοι είναι να παραμένετε προσεκτικοί. Διαβάστε όλα τα μηνύματα ηλεκτρονικού ταχυδρομείου που σχετίζονται με την εργασία σας από άκρη σε άκρη και παρακολουθήστε κάτι ψαροειδές. Εάν απλώς αισθανθήκατε ότι κάτι δεν πάει καλά με το email, επικοινωνήστε με τον οργανισμό από τον οποίο λέγεται ότι προέρχεται το email.

1] Επαληθεύστε^(Verify) το email του αποστολέα και, στη συνέχεια, απαντήστε μόνο σε μηνύματα ηλεκτρονικού ταχυδρομείου. Συνήθως, οι ιστότοποι ή οι διευθύνσεις ηλεκτρονικού ταχυδρομείου από τις οποίες λαμβάνετε μηνύματα ηλεκτρονικού ταχυδρομείου είναι σχεδόν πανομοιότυπες με τις κανονικές διευθύνσεις ηλεκτρονικού ταχυδρομείου που μπορεί να γνωρίζετε. Το "o" μπορεί να αντικατασταθεί με ένα "0" (μηδέν) ή μπορεί να υπάρχουν δύο "s" αντί για ένα "s". Αυτού του είδους τα λάθη παραβλέπονται εύκολα από το ανθρώπινο μάτι, και αυτά αποτελούν τη βάση τέτοιων επιθέσεων.

2] Εάν το email απαιτεί κάποια επείγουσα ενέργεια, τότε πρέπει να κοιτάξετε προσεκτικά και στη συνέχεια να λάβετε την απόφαση. Εάν υπάρχουν εξερχόμενοι σύνδεσμοι ιστότοπου, επαληθεύστε τη διεύθυνσή τους πριν δώσετε οποιαδήποτε πληροφορία σε αυτόν τον ιστότοπο. Επίσης, ελέγξτε για το σήμα του λουκέτου ή επαληθεύστε το πιστοποιητικό του ιστότοπου.

3] Μην παρέχετε οικονομικά στοιχεία ή στοιχεία επικοινωνίας σε οποιονδήποτε ιστότοπο ή email. Μάθετε πότε να εμπιστεύεστε έναν ιστότοπο^{(Know when to trust a website)} , λάβετε προφυλάξεις πριν κάνετε κλικ σε συνδέσμους ιστού^{(precautions before clicking on any web links)} και ακολουθήστε τους βασικούς κανόνες ασφαλείας χρήσης του Διαδικτύου.

4] Έχετε κατάλληλο λογισμικό προστασίας από ιούς, τείχος προστασίας που προστατεύει τον υπολογιστή σας και μην κάνετε λήψη συνημμένων από κανένα από αυτά τα μηνύματα ηλεκτρονικού ταχυδρομείου. RAR/7z ή οποιαδήποτε άλλα εκτελέσιμα αρχεία είναι ύποπτα ότι περιέχουν κακόβουλο λογισμικό ή Trojans . Αλλάζετε τακτικά κωδικούς πρόσβασης και δημιουργείτε αντίγραφα ασφαλείας σημαντικών εγγράφων σε ασφαλή τοποθεσία.

5 ] Καταστρέψτε εντελώς^{(] Completely)} τα φυσικά σας έγγραφα πριν τα πετάξετε, ώστε να μην μπορούν να παρέχουν πληροφορίες για εσάς και τον οργανισμό σας.

Παραδείγματα επιθέσεων φαλαινοθηρίας

Ενώ μπορείτε να βρείτε έναν τόνο από τέτοιες ιστορίες απάτης στο διαδίκτυο. Ακόμη και οι μεγάλες εταιρείες όπως η Snapchat και η Seagate έχουν πέσει στις παγίδες αυτών των απατών. Πέρυσι, ένας υψηλόβαθμος υπάλληλος του Snapchat έπεσε θύμα μιας τέτοιας απάτης όπου ένα email που υποδύθηκε τον διευθύνοντα σύμβουλο της εταιρείας ρωτούσε για τη μισθοδοσία των εργαζομένων. Ρίξτε μια ματιά σε μερικά παραδείγματα:

• Seagate : Μια επιτυχημένη επίθεση φαλαινοθηρίας προσγείωσε κλέφτες έως και 10.000 φορολογικά έγγραφα W-2 για όλους τους σημερινούς και προηγούμενους υπαλλήλους.
• Snapchat : Ένας υπάλληλος έπεσε σε ένα email που υποδύθηκε ένα αίτημα από τον CEO Evan Spiegel και παραβίασε τα δεδομένα μισθοδοσίας 700 υπαλλήλων.
• FACC : Ο αυστριακός προμηθευτής αεροσκαφών έχασε 50 εκατομμύρια ευρώ λόγω επίθεσης φαλαινοθηρικών.
• Ubiquiti Networks : Αυτή η εταιρεία τεχνολογίας δικτύωσης υπέστη ζημιά 39,1 εκατομμυρίων δολαρίων ως αποτέλεσμα επίθεσης φαλαινοθηρικών.
• Weight Watchers International : Ένα email για φαλαινοθηρία επέτρεψε στους κλέφτες να αποκτήσουν φορολογικά στοιχεία για σχεδόν 450 νυν και πρώην υπαλλήλους.

Έχετε ήδη απατηθεί;

Πιστεύετε ότι έχετε πέσει θύμα απάτης φαλαινοθηρίας^(Whaling) ; Ενημερώστε αμέσως τον επικεφαλής του οργανισμού σας και ζητήστε νομική βοήθεια. Εάν τους παρείχατε τραπεζικά στοιχεία ή οποιοδήποτε είδος κωδικού πρόσβασης, αλλάξτε τα αμέσως. Συμβουλευτείτε έναν ειδικό στον τομέα της κυβερνοασφάλειας για να παρακολουθήσετε το μονοπάτι και να μάθετε ποιος ήταν ο εισβολέας. Αναζητήστε νομική βοήθεια και συμβουλευτείτε έναν δικηγόρο.

Υπάρχουν διάφορες διαθέσιμες διαδικτυακές υπηρεσίες όπου μπορείτε να αναφέρετε τέτοιες απάτες. Παρακαλούμε αναφέρετε τέτοιες απάτες ώστε να διαταραχθεί η δραστηριότητά τους και να μην επηρεαστούν περισσότερα άτομα.

Εάν ενδιαφέρεστε να μάθετε περισσότερα, υπάρχει αυτό το εξαιρετικό eBook με τίτλο Whaling, Anatomy of an attack , το οποίο μπορείτε να κατεβάσετε δωρεάν.

Προστατέψτε τον εαυτό σας, τους υπαλλήλους σας και τον οργανισμό σας από τέτοιες απάτες και διαδικτυακές απάτες. Διαδώστε το και βοηθήστε τους συναδέλφους, τους φίλους και την οικογένειά σας να παραμείνουν προστατευμένοι.^{(Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.)}

Διαβάστε εδώ για τις πιο συνηθισμένες απάτες και απάτες μέσω Διαδικτύου και ηλεκτρονικού ταχυδρομείου^{(most common Online and Email scams & frauds)} .

What are Whaling scams & how to protect your Enterprise

If yoυ wоrk in or оwn an enterprise, then you need tо know that there is always a high risk of сyber-attacks & scams taking placе. Emaіl Scams are the most сommon among them. Phishіng comes in many flavors lіke Tabnabbing, Spear Phishing as well as Vishing and Smishing. A few days back, we took a look at Pharming online frauds – today we will take a look at Whaling Scams which is the emerging cyber-security threat.

What are Whaling scams

In Whaling scams, you are targeted usually by email – it is a specialized Phishing scam. The attacker studies your online activity and obtains useful information about you from other sources. And that information is used to create a professional looking personalized e-mail. Seeing an official email can cause you to drop your defenses and you are very likely to trust such email. The idea is to obtain information from you for further fraudulent activities.

Now you have to realize that there is a thin line of difference between Whaling and Spear Phishing. Whaling typically targets high-level executives, whereas the latter scam targets employees of a company, customers of a company generally. It is called Whaling because the targets are usually large or important. And so Whales are chosen because of their authority and access within an organization.

How does Whaling work and why are you targeted

Most of the targets are usually businessmen, entrepreneurs, CEOs, and corporate employees. The targets are usually business specific and attacks are planned for the purpose of obtaining any sensitive information about the activities of an organization.

These kind of socially engineered attacks are very difficult to identify and people usually end up giving data to such scammers. The scammer sends a personalized email from an address you may be familiar with. The scammer may mimic to be your boss or another friendly organization. Or he/she may mimic as your financial consultant or your lawyer. The content of the email is mostly attention seeking so that you may reply promptly and there is the least chance of them getting caught.

The email might require you to transfer some money as a payment to a due bill or it may ask you for some company data that is required at a head office. Or it may ask personal details about the employees of the organization.

The scammer or the attacker has already researched you to create a personalized email for you. And the research may be based upon your online activities or upon any information obtained from other sources. Whaling emails just seem normal and perfect and that is the only reason people fall into the trap. The names, logos and other information used in the email may be real or not. But it is presented in such a way that normally people cannot mark a difference between these emails.

Also, the email address of the sender or the website mentioned is similar to someone you may know. The attachments may or may not be malicious. The sole purpose of these scams is to convince you that the email is completely normal and requires urgent action. And when you follow the instructions in the email, you end up leaking out some confidential data to an unauthorized person or website.

How to stay protected from Whaling attacks

You have to learn to identify Phishing Attacks to know more about protection from phishing in general so that you can avoid Phishing scams.

The key to staying protected is to stay attentive. Read all your work related emails end to end and keep an eye on something fishy. If you just felt that there is something wrong with the email, contact the organization from which the email is said to be.

1] Verify the sender’s email and then only respond to emails. Usually, the websites or email addresses from where you are receiving emails are almost identical to normal email addresses that you may know. An ‘o’ may be replaced with a ‘0’ (zero) or there may be two ‘ss’ instead of one ‘s’. This kind of errors are easily overlooked by a human eye, and these forms the basis of such attacks.

2] If the email requires some urgent action, then you must look carefully and then take the decision. If there are any outbound website links, verify their address before supplying any information to that website. Also, check for the padlock sign or verify the website’s certificate.

3] Do not provide any financial or any contact details to any website or an email. Know when to trust a website, take precautions before clicking on any web links and follow the basic internet usage safety norms.

4] Have proper antivirus, firewall software protecting your computer and do not download any attachments from any of these emails. RAR/7z or any other executable files are most suspected to contain any malware or Trojans. Regularly change passwords and create a backup of important documents at a secure location.

5] Completely destroy your physical documents before disposing of them so that they cannot provide any information about you and your organization.

Whaling attack examples

While you can find a ton of such scam stories online. Even the major companies like Snapchat and Seagate have fallen into the traps of these scams. Last year, a high-rank employee of Snapchat was a victim of such a scam where an email impersonating the CEO of the company inquired about the payroll of the employees. Take a look at some examples:

• Seagate: A successful whaling attack landed thieves up to 10,000 W-2 tax documents for all current and past employees.
• Snapchat: An employee fell for an email impersonating a request from CEO Evan Spiegel and compromised payroll data for 700 employees.
• FACC: The Austrian aircraft industry supplier lost 50 million euros due to a whaling attack.
• Ubiquiti Networks: This networking tech company suffered a $39.1 million loss as a result of a whaling attack.
• Weight Watchers International: A whaling email allowed thieves to obtain tax data for nearly 450 current and former employees.

Already Scammed?

Do you think that you’ve been a victim of a Whaling scam? Immediately inform the head of your organization and seek legal help. If you provided them with any bank details or any sort of passwords, change them immediately. Consult a cyber-security expert to track back the path and know who the attacker was. Seek out for legal help and consult a lawyer.

There are various online services available where you can report such scams. Please report such scams so that their activity can be disrupted and more people are not affected.

If you are interested in knowing more, there is this excellent eBook titled Whaling, Anatomy of an attack, which you can download free.

Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.

Read here about the most common Online and Email scams & frauds.

Related posts

• Πώς να ελέγξετε εάν ένας σύνδεσμος είναι ασφαλής ή όχι χρησιμοποιώντας το πρόγραμμα περιήγησής σας

• Μάθετε εάν ο διαδικτυακός λογαριασμός σας έχει παραβιαστεί και αν διέρρευσαν στοιχεία email και κωδικού πρόσβασης

• Συμβουλές για την ασφάλεια στο Διαδίκτυο για παιδιά, μαθητές και εφήβους

• Άρθρο για την Ασφάλεια Διαδικτύου και συμβουλές για χρήστες Windows

• Προστατέψτε τα παιδιά σας από περιεχόμενο για ενηλίκους χρησιμοποιώντας την Καθαρή περιήγηση

• Τι είναι το Fleeceware; Πώς να προστατευτείτε από τις εφαρμογές Fleeceware;

• Αναθεώρηση προγράμματος περιήγησης Globus Free VPN: Κρυπτογράφηση όλης της κυκλοφορίας, Περιήγηση ανώνυμα

• Τι είναι τα Προσωπικά Αναγνωρίσιμα Στοιχεία (PII) και πώς να τα προστατέψετε στο διαδίκτυο;

• Οι καλύτερες δωρεάν εφαρμογές Online Survey και Form Builder

• Κατάλογος με τους καλύτερους διαδικτυακούς ιστότοπους μετατροπής γραμματοσειρών δωρεάν

• Γιατί μου στέλνει μηνύματα η Microsoft; Είναι γνήσια ή phishing;

• Γνωρίζω τον κωδικό πρόσβασής σας. Το Sextortion επιστρέφει με περισσότερη δύναμη

• Τι είναι το δακτυλικό αποτύπωμα επισκεψιμότητας ιστότοπου; Πώς να προστατεύσετε τον εαυτό σας;

• Τι είναι το Phishing και πώς να αναγνωρίζετε τις Επιθέσεις Phishing;

• Τι είναι το Pharming και πώς μπορείτε να αποτρέψετε αυτήν την διαδικτυακή απάτη;

• Τι είναι το έγκλημα στον κυβερνοχώρο; Πώς να το αντιμετωπίσετε;

• Τι είναι το Pastejacking; Γιατί δεν πρέπει να κάνετε copy paste από τον ιστό;

• 5 καλύτερα πρόσθετα απορρήτου Firefox για ασφάλεια στο διαδίκτυο

• Δωρεάν Γεννήτρια Ψεύτικων Ονομάτων για δημιουργία Ψεύτικης Ταυτότητας

• Σκούρα μοτίβα: κόλπα ιστότοπου, παραδείγματα, τύποι, πώς να εντοπίσετε και να αποφύγετε