Callback phishing-aanvallen nemen toe. Als u ooit een e-mail hebt ontvangen waarin u wordt gevraagd een service te verlengen of een rekening te betalen voor een service die u nooit hebt gekocht, heeft u zelf callback-phishing meegemaakt.
Wat is callback-phishing?
Een callback-phishingaanval, soms ook wel telefoongeoriënteerde aanvalslevering (TOAD) genoemd, combineert twee phishingmethoden. Het slachtoffer ontvangt een phishing-e-mail waarin wordt gewaarschuwd voor een probleem. In plaats van meer informatie over de situatie in de e-mail te geven, voegt de bedreigingsactor een contactnummer toe, in de hoop dat het slachtoffer terugbelt.
Wanneer de ontvanger het genoemde telefoonnummer belt, gebruikt de bedreigingsactor social engineering-technieken om de slachtoffer in het delen van gevoelige gegevens, het installeren van malware of het ondernemen van enige andere actie die de bedreigingsactor ten goede kan komen.
Hoe callback-phishing werkt
Eerst ontvangt een slachtoffer een e-mail waarin staat dat er een betaling verschuldigd is voor een abonnement op een dienst. Vaak zit er geen factuur bij de post. Het slachtoffer wordt dan nieuwsgierig of woedend bij het ontvangen van het betalingsverzoek voor een dienst die ze in de eerste plaats niet hebben gekocht, dus bellen ze het telefoonnummer dat in de e-mail wordt vermeld.
Een bedreigingsactor woont de oproep bij en verleidt het slachtoffer om specifieke stappen te volgen om de bestelling te annuleren. Wanneer het slachtoffer deze stappen volgt, wordt er malware op zijn pc geïnstalleerd of ontvangt de bedreigingsactor gevoelige informatie.
De bedreigingsactor beëindigt het gesprek zodra het slachtoffer de actie onderneemt die de bedreigingsactor wil.
Waarom hackers proberen phishing-aanvallen terug te bellen
Door een succesvolle callback-phishingaanval uit te voeren, kan een bedreigingsactor:
- Steel gevoelige gegevens, inloggegevens of andere soorten vertrouwelijke gegevens.
- Installeer ransomware op de computer van het slachtoffer om gegevens te versleutelen om losgeld te krijgen.
- Krijg de creditcardgegevens of bankrekeninggegevens van het slachtoffer om geld te stelen.
- Installeer software voor externe toegang op de computer van het slachtoffer om gevoelige bestanden te stelen.
Bij de meeste callback-phishingcampagnes is het doel van de aanval het stelen van gegevens, geld of beide.
Tegenwoordig gebruiken de meeste personen en bedrijven antiphishing- of antispamoplossingen om een e-mail met een kwaadaardig bestand te blokkeren.
Terugbel-phishing-e-mails bevatten echter geen schadelijke bijlagen of schadelijke links. Dus deze e-mails hebben de neiging e-mailfilters te omzeilen en worden afgeleverd op de computers van de slachtoffers. Ook hebben callback-phishing-aanvallen lage kosten per doelwit.
Het is dus geen verrassing dat steeds meer bedreigingsactoren callback-phishing-pogingen ondernemen.
Hoe u callback-phishingaanvallen kunt voorkomen
Een succesvolle callback phishing campagne kan onherstelbare schade toebrengen aan een individu of een bedrijf.
Hier zijn enkele manieren om u te beschermen tegen callback-phishing-aanvallen.
Implementeer e-mailbeveiligingsoplossing
Hoewel sommige zorgvuldig opgestelde callback-phishing-e-mails door e-mailbeveiligingsoplossingen kunnen glippen, het implementeren van een gereputeerde oplossing voor e-mailbeveiliging, zoals een e-mailgateway, kan helpen om die van uw bedrijf te verbeteren veiligheidshouding.
Overweeg hoe een BEC-aanval (Business Email Compromise) u enorme hoeveelheden geld en reputatieverlies kan kosten. Het implementeren van een robuuste e-mailbeveiligingsoplossing kan het risico op zakelijke e-mailaanvallen minimaliseren. In de meeste gevallen zal een e-mailbeveiligingsoplossing e-mailspoofing, phishing en scams detecteren en blokkeren. Een dergelijke oplossing kan ook helpen voorkomen dat malware op uw pc wordt geïnstalleerd.
Bovendien kan een goede e-mailbeveiligingsoplossing u waarschuwen voor verdacht gebruikersgedrag. Zorg er dus voor dat je er een hebt beste e-mailsuites voor veilige inboxconfiguratie.
Zelfs als u niet in een professionele omgeving werkt, kan het hebben van goede antivirussoftware op uw apparaat u optimale beveiliging bieden tegen phishing-e-mails en vele andere cyberbeveiligingsbedreigingen.
Controleer e-mails nauwkeurig op voor de hand liggende phishingtekens
Hoewel callback-phishing-e-mails geen kwaadaardige bijlagen of links hebben, hebben ze er wel een paar top phishing-tekens waar je op moet letten.
Een e-mail is waarschijnlijk een phishing-e-mail en heeft een ongebruikelijke afzender. De e-mail kan bijvoorbeeld claimen afkomstig te zijn van een legitiem bedrijf, maar heeft geen gebrandmerkt e-mailadres. In plaats daarvan heeft het een generiek e-mailadres zoals google.com of yahoo.com.
U kunt ook achterdochtig zijn over e-mails die vol staan met spel- en grammaticale fouten. Geen enkel legitiem bedrijf verstuurt e-mails vol met tekstuele fouten. Let ook op berichten die een kort venster geven om een taak uit te voeren. Een e-mailadres geeft je bijvoorbeeld een paar uur de tijd om een betaling te doen om een abonnement actief te houden.
Een phish-e-mail kan worden gemarkeerd door uw e-mailprovider. Sommige e-mailproviders hebben ingebouwde antispamtechnologie om gebruikers te waarschuwen voor phishing- en spam-e-mails.
Nu combineren bedreigingsactoren verschillende social engineering-tactieken om slachtoffers te misleiden om hen te bellen. Wees dus extra voorzichtig bij het ondernemen van acties op basis van e-mails die argwaan wekken.
Wees achterdochtig als het om geld gaat
Een onfeilbare manier om te voorkomen dat u ten prooi valt aan een callback-phishingaanval, is door te controleren of een bericht over geld of inloggegevens gaat.
Als een e-mail van een ogenschijnlijk legitiem bedrijf een gevoel van urgentie oproept en u vraagt om geld te sturen, wees dan achterdochtig.
Als de e-mail geen gedetailleerde informatie bevat behalve het telefoonnummer van de medewerker van de klantenservice, is de kans groot dat deze deel uitmaakt van een terugbel-phishingcampagne.
Organiseer phishing-trainingsprogramma's
Callback-phishing, een onderdeel van social engineering-aanvallen, is eerder gebaseerd op menselijke fouten dan op systeemkwetsbaarheden.
Dus door regelmatig trainingsprogramma's voor cyberbeveiliging van medewerkers uit te voeren, kan het risico op callback-phishing-aanvallen worden geminimaliseerd.
Hier zijn de belangrijkste gebieden waarop u zich moet concentreren wanneer het opzetten van een trainingsprogramma voor beveiligingsbewustzijn. Om te beginnen zou een trainingsprogramma voor beveiligingsbewustzijn onderwijs moeten bieden over verschillende soorten cyberbeveiliging aanvallen, waaronder callback-phishing, spam, malware, social engineering-methoden, op scripts gebaseerde aanvallen en veel meer. Er moet voldoende aandacht zijn voor het herkennen van phishing-e-mails, kwaadaardige URL's, frauduleuze websites, enz.
Werknemers mogen geen zakelijk e-mailadres gebruiken om legitieme, vertrouwde technologietools van valse websites te downloaden of zich te abonneren op willekeurige online services. Dit is een zekere manier om phishing- of spam-e-mails uit te nodigen. U moet ervoor zorgen dat uw werknemers het beste wachtwoordbeveiligingsbeleid volgen. Ze moeten ook multi-factor authenticatie gebruiken om een beveiligingslaag aan hun accounts toe te voegen.
Uw trainingsprogramma moet ook nep-phishingtests bevatten om te beoordelen of uw werknemers klaar zijn om callback-phishing-campagnes te bestrijden. En zorg ervoor dat uw medewerkers de best practices volgen zakelijke e-mailaccounts beschermen om oplichting te voorkomen.
Terugbellen Phishing uitgelegd
Nu weet u wat callback-phishing is en hoe u dit kunt voorkomen. Blijf waakzaam om te voorkomen dat u ten prooi valt aan een callback-phishingaanval. U moet ook meer leren om te begrijpen hoe een spam-e-mail eruitziet om zo'n e-mail snel te herkennen.
