Pancingan data

Apakah pancingan data?

Phishing ialah sejenis serangan siber yang memberikan penggodam akses kepada data selamat mangsa. Walaupun penggodaman tradisional melibatkan kaedah kekerasan untuk mencuba banyak kombinasi kata laluan yang berbeza, pancingan data menggunakan kejuruteraan sosial untuk menipu pengguna supaya menyerahkan maklumat log masuk mereka. Homofon "memancing", di mana penggodam menyasarkan ramai pengguna dengan harapan "gigitan", pancingan data menyebabkan pengguna berbilion dolar di seluruh dunia, dan telah digunakan oleh ejen kerajaan negeri untuk peperangan ekonomi dan politik.

Definisi yang lebih mendalam

Pancingan data berfungsi dengan membuai mangsa kepada rasa selamat yang palsu. Selalunya, pengguna yang disasarkan tidak tahu apa-apa yang tidak kena: serangan itu nampaknya datang daripada sumber yang dipercayai, seperti rakan sekerja atau rakan, atau daripada syarikat seperti bank pengguna atau pembekal e-mel. Walaupun e-mel telah menjadi cara utama serangan, beberapa penggodam telah menggunakan komunikasi telefon dan menghantar mesej untuk menyasarkan orang.

Dalam serangan pancingan data, penggodam mencipta tapak web atau e-mel yang hampir sempurna menyerupai yang biasa dilihat oleh pengguna setiap hari. Dalam sesetengah kes, e-mel itu mengandungi pautan yang kelihatan tidak berbahaya yang memasang perisian hasad pada komputer pengguna yang boleh merakam ketukan kekunci atau menyediakan "terowong" ke dalam data mangsa. Orang lain selalunya mengarahkan pengguna ke halaman log masuk yang tidak dapat dibezakan daripada jenis orang yang dianggap remeh apabila mereka menggunakan e-mel, akaun media sosial atau bank dalam talian mereka. Walau bagaimanapun, data yang dimasukkan ke dalam halaman ini pergi terus kepada penggodam, yang membolehkannya log masuk dan mencuri maklumat.

Tapak web palsu itu hidup di URL palsu yang menyerupai laman web sebenar yang biasa digunakan oleh mangsa. Penipuan biasa URL Gmail sebenar, https://mail.google.com/, mungkin kelihatan seperti http://mail.googlecom.com. Perhatikan sedikit perubahan pada nama. Pautan sedemikian mungkin bersembunyi di sebalik teks, seperti "Klik di sini", untuk kelihatan sah. Phisher juga menggunakan alamat e-mel yang kelihatan sebenar, tetapi apabila mereka mengakses akaun mangsa, mereka mungkin menghantar e-mel kepada orang lain dalam senarai kenalannya daripada alamat e-mel sebenar mangsa.

Hampir semua sistem e-mel mempunyai beberapa bentuk perlindungan pancingan data yang mengesan alamat e-mel palsu atau pautan dalam teks kandungan e-mel dan mengalihkan mesej tersebut ke folder spam. Walau bagaimanapun, tiada perlindungan automatik yang sempurna, dan hanya memerlukan satu serangan yang berjaya untuk merosakkan organisasi dengan teruk.

Contoh pancingan data

Serangan pancingan data yang paling menonjol baru-baru ini disasarkan pada kempen presiden 2016 Hillary Clinton. Pengerusi kempennya, John Podesta, yang pernah berkhidmat sebagai timbalan ketua kakitangan Presiden Bill Clinton, menerima e-mel yang nampaknya daripada Google yang menunjukkan bahawa akaun Gmailnya telah dikompromi oleh penggodam dan dia perlu menukar kata laluannya. Ia tidak benar; penggodam sendiri telah menghantar e-mel itu. Namun, dia memasukkan maklumat log masuk lamanya, yang dihantar kepada penggodam, yang kemudiannya mengeluarkan 20,000 e-mel peribadi Podesta kepada WikiLeaks, dan kejatuhan berikutnya adalah faktor utama kekalahan Clinton dalam pilihan raya umum. Percubaan pancingan data adalah sangat baik sehingga ia juga memperdaya pengurus IT kempen, yang memberitahu Podesta bahawa ia adalah "e-mel yang sah."

##Sorotan

• Percubaan pancingan data mungkin menggunakan tapak web yang kelihatan rasmi, e-mel atau bentuk komunikasi lain untuk menipu pengguna supaya menyerahkan butiran seperti nombor kad kredit, nombor keselamatan sosial atau kata laluan.

• Tapak web pancingan data boleh kelihatan sama dengan tapak web rasmi, mendorong pengguna memasukkan bukti kelayakan sebenar mereka di tapak web berniat jahat.

• Pancingan data ialah sejenis kecurian data yang melibatkan orang ramai secara sukarela menyerahkan maklumat peribadi mereka kepada pelakon jahat.