Фишингът е вид социално инженерна атака, при която хакерите се опитват чрез измама да измъкнат чувствителна информация от потребителите чрез имейл. Обикновено това включва създаване на фишинг кампания, при която атакуващите ще изпращат същия фишинг имейл до голяма група получатели в опит да измамят поне малка част от тези потенциални жертви. Да не се бърка със spear phishing, който е по-целенасочена фишинг атака чрез имейл, която използва специфични знания или подробности за получателя(ите), за да ги измами и допълнително да извлече чувствителна информация. Фишингът е постоянен проблем, за който бизнесите са наясно и са в постоянна битка за изкореняване и с основателна причина. Статистиката  година след година отразява, че ИТ решенията подчертават атаките на социалното инженерство като една от основните кибер заплахи, пред които са изправени, водещи до прекъсване на бизнеса и финансови загуби.

Общият консенсус за фишинг атаките е, че те непрекъснато нарастват по обем, стабилни са в степента си на успех, увеличават разходите за бизнеса, обикновено се използват за доставяне на зловреден софтуер като ransomware и се развиват. Например, The Anti-Phishing Working Group пуска тримесечен доклад, показващ текущите тенденции за фишинг, а последният им доклад показва, че фишинг атаките са се удвоили през последната година поради пандемията от COVID-19 и процентът на фишинг остава на стабилно, но високо ниво. . Центърът за оплаквания от интернет престъпления на ФБР (IC3) регистрира подобни резултати, показващи удвояване на жалбите за фишинг през последната година. С увеличаването на фишинг атаките се увеличава и броят на нарушенията и тези нарушения струват на бизнеса големи суми пари. Годишният доклад на IBM „Cost of a Data Breach Report“, с изследване на Ponemon Institute, разкрива, че прогнозната обща цена на пробив на данни през 2020г. е около $3,86 милиона и допълнително се е увеличила до $4,24 милиона през 2021г., най-високата средна цена за 17 години. Загубата на чувствителна информация не е единствената заплаха от фишинг атаки. Докладът за разследвания на нарушаване на данните на Verizon (DBIR) показва, че почти целият злонамерен софтуер (96%) се доставя чрез имейл съобщения, включително рансъмуерът. Тази публикация обаче е създадена, за да подчертае еволюцията и сложността на фишинг атаките, използвайки примери от реалния свят, от опита на служителите на WatchGuard. Еволюцията на фишинга се разшири отвъд имейла в други комуникационни среди като услуги за SMS/текстови съобщения (SMiShing), гласови повиквания (Vishing) и социални медии (въдичарски – Angler Phishing). Съвсем наскоро служителите на Watchguard изпитаха две от тях – SMiShing и Angler Phishing. Както може би се досещате, SMiShing е фишинг или социално инженерство през услуги за SMS и текстови съобщения като WhatsApp, Signal и Facebook Messenger. Въдичарски фишинг имаме, когато измамниците използват комуникациите в социалните медии, за да се маскират като легитимен представител за обслужване на клиенти, за да извличат информация. Това може да дойде под формата на SMS услуги за социални медии, както и директни съобщения в Instagram, Twitter или LinkedIn, наред с други. Първият инцидент, преживян от служител на WatchGuard, включва LinkedIn. Потребител на име Емили Нора се маскира като служител на WatchGuard на позицията експерт  „Изграждане на връзки“, която не съществува. Този фалшив служител се опита да се свърже  с няколко служители на WatchGuard, вероятно просто карайки наред по  списъка със служители, свързани с официалния WatchGuard LinkedIn профил. За щастие служителите на WatchGuard потушиха този опит за фишинг  незабавно. Екранна снимка на този фалшив служител, който се опитва да се свърже с официален служител на WatchGuard, може да се види по-долу.

Друг интересен опит за фишинг дойде чрез WhatsApp. Потребител, представящ се за главния изпълнителен директор на WatchGuard, Prakash Panjwani, се опита да извърши чуждестранна транзакция, като използва служител в WatchGuard да обработва плащането. Беше използван официалния образ на Пракаш и чрез  тактики на социално инженерство се опитаха да подмамят служителя да извърши действието (да прати пари). Отново този опит за фишинг  беше открит и докладван по съответните канали в организацията.

Защитата от фишинг атаки от всякакъв тип винаги трябва да започва с подходящо обучение по въпросите. Проучванията показват, че симулацията и геймификацията на фишинг атаки помагат на потребителите да откриват и предотвратяват фишинг атаки. Тази кратка публикация обаче подчертава важността на обучението не само за фишинг чрез имейл, но и за фишинг чрез всички възможни комуникационни среди, които вашата организация използва; основно фишинг, vishing, SMiShing и обучение за въдичарски фишинг. Освен обучението, здравият разум и вашето его извървяват дълъг път в откриването и предотвратяването на фишинг. Например, ако вашата организация има директория на служителите, можете да потърсите служител като Емили Нора или да знаете, че текущата позиция всъщност не съществува. Друг пример е да знаете, че главният изпълнителен директор на вашата организация вероятно няма да се свърже с вас чрез WhatsApp, за да извърши значимо бизнес решение, като например плащане. Въпреки това, тези сценарии са индивидуални за всяка организация. Най-безопасният възможен начин е просто да докладвате за всяка подозрителна комуникация на специалист по сигурността във вашата организация, ако е възможно.