Hoe geavanceerd het plan ook was van Russische inlichtingendiensten om zich te mengen in de presidentsverkiezingen van 2016, ze gebruikten een eenvoudige hacktechniek, onder andere, om de e-mailaccounts van democratische agenten te infiltreren, volgens de laatste aanklacht van speciaal aanklager Robert Mueller. En die techniek, ook wel 'spearphishing' genoemd, blijft een bedreiging, niet alleen voor campagnefunctionarissen, maar ook voor werknemers en consumenten.

Spear phishing is een scam waarbij cybercriminelen zich voordoen als betrouwbare bronnen en valse elektronische berichten sturen naar gerichte personen om hen te misleiden tot het onthullen van gevoelige informatie.

In het geval van John Podesta, de voorzitter van de presidentiële campagne van Hillary Clinton, het was een misleidende e-mail die eruitzag als een beveiligingsmelding van Google, Podesta vragen om zijn wachtwoord te wijzigen door op een ingesloten link te klikken, volgens de aanklacht die vrijdag werd ingediend. Podesta volgde de instructies van de e-mail, zijn wachtwoord wijzigen en hackers toegang geven tot 50, 000 van zijn e-mails.

Maar speervissen kan komen in de vorm van een e-mail die van je baas lijkt te komen, waarin u wordt gevraagd uw W2-formulier op te sturen. Of een bericht met een verwachte factuur, met het verzoek dat u het geld overmaakt naar een rekening die wordt beheerd door kwaadwillenden.

"De aanklacht illustreert echt de vele toepassingen die deze technologie kan gebruiken, " zei Edward McAndrew, een voormalige federale aanklager voor cybercriminaliteit en co-leider van Ballard Spahr's privacy- en gegevensbeveiligingsgroep in Philadelphia. "Het gaat niet alleen om het stelen van iemands persoonlijke informatie. Het gaat om financiële fraude, of in dit geval zelfs verkiezingsfraude."

Hoe het gedaan wordt

In typische phishing-zwendel, cybercriminelen sturen algemene e-mails naar een groot aantal gebruikers, in de hoop dat iemand het aas grijpt en een geïnfecteerde bijlage downloadt of op een link naar een nepwebsite klikt.

Speer phishing oplichting, daarentegen, zijn afgestemd op specifieke doelen. Hackers zullen een persoon van tevoren onderzoeken, het scannen van sociale media-accounts en openbare informatie om iemands werk te leren, vrienden of interesses om een ​​betrouwbare e-mail te maken.

"Ze zullen uitzoeken waar je werkt en wie je collega's zijn en proberen een nep-e-mail te sturen die eruitziet alsof hij van een van je collega's is, " zei Gabriël Weinberg, CEO en oprichter van DuckDuckGo, gevestigd in Paoli, een internetzoekmachine die geen gebruikersgegevens bijhoudt of opslaat.

Dat is wat er dinsdag gebeurde bij het bedrijf van Weinberg. Een van zijn medewerkers ontving een e-mail van een afzender met de naam van Weinberg met de vraag:"Ik heb je nodig om een ​​taak uit te voeren. Laat het me weten als je niet bezig bent, " volgens een kopie van het bericht. De afzender die zich voordeed als Weinberg wilde "een aantal Apple Gift Cards cadeau doen aan sommige klanten." Weinberg en zijn collega beet niet.

De persoon die zich voordeed als Weinberg gebruikte een e-mailadres dat niet eens in de buurt kwam van het echte werk. Maar Michael Levy, het hoofd van computercriminaliteit voor het U.S. Attorney's Office in Philadelphia, dat cybercriminelen doorgaans e-mailadressen aanmaken die bijna identiek zijn aan die van vertrouwde bronnen, sluipen in een extra letter of het gebruik van een nul in plaats van een hoofdletter "O, " bijvoorbeeld.

In sommige gevallen, zoals de Russische hack van het Democratic Congressional Campaign Committee, spear phishing-e-mails zullen gebruikers naar nepwebsites leiden, waar slachtoffers hun inloggegevens invoeren en hackers onbewust hun gebruikersnamen en wachtwoorden geven. In de DCCC-zaak Russische agenten installeerden vervolgens malware op minstens 10 computers van de commissie, volgens de aanklacht, waardoor ze de computeractiviteit van individuele werknemers kunnen volgen, wachtwoorden stelen en toegang houden tot het DCCC-netwerk.

"Er zijn twee manieren om in computers te komen, "Zei Levy. "Er is geraffineerd hacken waarbij je uitzoekt hoe je door een beveiligingssysteem kunt breken ... [of] je de zwakste schakel in het beveiligingssysteem aanvalt, en dat is de gebruiker."

Zodra hackers toegang hebben tot het e-mailsysteem van een bedrijf, "ze zullen zitten en kijken om zoveel mogelijk over mensen te leren, "Lieve zei, eraan toevoegend dat cybercriminelen alles kunnen achterhalen, van de e-mailgewoonten van werknemers tot de naam van de vrouw van de president van het bedrijf.

McAndrew, van Ballard Spahr, zei zodra hackers toegang krijgen tot een e-mailaccount, ze kunnen de berichten van een gebruiker bekijken, werkagenda's en contacten, alsof iemand 'vrijwel over zijn schouders meekijkt'.

"Je bent in staat om over gebeurtenissen te weten voordat ze plaatsvinden door erover te lezen, ' zei McAndrew. 'Je weet wat er gaat gebeuren.'

Hackers die op de hoogte zijn van een aanstaande betaling kunnen toeslaan door spear-phishing-e-mails te sturen om de ontvangers te misleiden om geld over te schrijven naar accounts die onder de controle van de hackers staan, zei McAndrew.

Slachtoffers van internetcriminaliteit leden in 2017 meer dan $ 1,4 miljard aan verliezen, bijna een verdubbeling sinds 2013, volgens een FBI-rapport over de kwestie dat in mei werd vrijgegeven. Misdrijven vermeld als "compromitterende zakelijke e-mail/e-mailaccount" waren goed voor meer dan $ 676 miljoen van dat totaal van 2017, die de grootste schadecategorie vertegenwoordigen.

Hoe jezelf te beschermen?

Een manier om het risico van spear phishing te verminderen is het gebruik van multi-factor authenticatie, die een extra beveiligingslaag toevoegt door niet alleen een gebruikersnaam en wachtwoord te vereisen, maar kennis of bezit van iets dat alleen die gebruiker heeft, zoals een code die naar een mobiele telefoon wordt verzonden.

"Zelfs als je wordt misleid en je gaat naar een of andere nepsite en typt je wachtwoord in, het zal nutteloos zijn zonder" het andere stuk informatie, zei Anthony Vance, directeur van het Centre for Cybersecurity van Temple University.

Vance stelde voor om twofactorauth.org te gebruiken, die gebruikers vertelt of websites multi-factor authenticatie ondersteunen. Met belangrijke services zoals Google of Yahoo kunnen gebruikers de service activeren.

Experts zeiden dat individuen ook wat gezond verstand moeten gebruiken. Weersta de drang om op links of bijlagen van een onbekende bron of onverwacht bericht te klikken. Neem contact op met collega's voordat u op een verdachte e-mail reageert.

"Het belangrijkste dat mensen kunnen doen, is elke e-mail die ze ontvangen onderzoeken, ' zei McAndrew.

©2018 The Philadelphia Inquirer
Gedistribueerd door Tribune Content Agency, LLC.