Phishing

Lata 2000–2009

• 2001
  • Pierwsza znana bezpośrednia próba ataku na system płatności dotknęła system E-gold w czerwcu 2001 roku, co pociągnęło za sobą sprawdzenie numerów id („post-9/11 id check”) krótko po atakach na World Trade Center.

• 2003
  • Pierwszy znany atak na bank detaliczny został odnotowany przez The Banker we wrześniu 2003 roku.

• 2004
  • Szacuje się, że między majem 2004 a majem 2005 roku około 1,2 miliona użytkowników komputerów w Stanach Zjednoczonych straciło na skutek phishingu w sumie około 929 milionów dolarów. Przedsiębiorstwa w Stanach Zjednoczonych tracą szacunkowo 2 miliardy dolarów rocznie, gdy ich klienci stają się ofiarami phishingu.

• 2005
  • W Wielkiej Brytanii straty spowodowane oszustwami związanymi z bankowością internetową – głównie z phishingiem – niemal podwoiły się z 12,2 mln GBP w 2004 roku do 23,2 mln GBP w 2005 roku, podczas gdy 1 na 20 ankietowanych użytkowników komputerów zadeklarował, że padł ofiarą phishingu w roku 2005.

• 2006
  • Prawie połowa kradzieży przeprowadzonych przy pomocy phishingu w 2006 roku została popełniona przez grupy działające w ramach Russian Business Network z siedzibą w St. Petersburgu.
  • Banki spierały się z klientami z powodu strat spowodowanych phishingiem. Stanowisko przyjęte przez brytyjski organ bankowy APACS informuje o konieczności zachowania ostrożności przez klientów, aby nie stać się narażonymi na atak przestępcy. Gdy pierwsza fala ataków phishingowych uderzyła w sektor bankowy Republiki Irlandii we wrześniu 2006 roku, Bank Irlandii na początku odmawiał pokrycia szkód poniesionych przez klientów, jednakże straty w wysokości 113 000 euro ostatecznie pokryto.
  • Phisherzy skupili się na klientach banków oraz serwisach płatności online. Maile rzekomo pochodzące z Internal Revenue Service były używane do zbierania wrażliwych danych amerykańskich podatników. Pierwsze takie ataki przeprowadzano bez pewności, że wiadomości trafią do klientów banków lub serwisów, pod które podszywali się oszuści. Badania pokazały, iż phisherzy w późniejszym okresie zdołali pozyskiwać informacje o tym, jakich banków używają potencjalne ofiary i wysyłać odpowiednio sprofilowane e-maile.
  • Serwisy społecznościowe stały się celem ataków phishingowych ze względu na fakt, że dane personalne na tych stronach mogą zostać użyte do kradzieży tożsamości. Pod koniec 2006 roku robak przejął strony MySpace i wysyłał bezpośrednie linki do stron zaprojektowanych aby kraść dane logowania. Eksperymenty pokazały, że ponad 70% ataków phishingowych na serwisy społecznościowe kończy się sukcesem.

• 2007
  • 3,6 miliona dorosłych straciło 3,2 miliarda dolarów w ciągu dwunastu miesięcy do sierpnia 2007 roku. Microsoft przyznaje, że te szacowania są mocno przesadzone i uważa, że ogólne straty spowodowane phishingiem w USA wyniosły 60 milionów dolarów.
  • Przestępcy, którzy złamali zabezpieczenia bazy danych TD Ameritrade i wykradli 6,3 miliona adresów mailowych, chcieli także uzyskać nazwy użytkowników i hasła, więc rozpoczęli atak spear phishingowy.

• 2008
  • Na witrynę RapidShare przeprowadzono atak phishingowy, którego celem było zdobycie konta premium. Korzyściami płynącymi z posiadania uprawnień użytkownika premium były: brak ograniczenia prędkości pobierania oraz konieczności oczekiwania na pobieranie i limitów czasowych między pozyskiwaniem kolejnych plików, a także automatyczne usuwanie udostępnionych plików.

• 2009
  • W styczniu 2009 r. ataki typu phishing doprowadziły do nieautoryzowanych przelewów pieniężnych o łącznej wysokości 1,9 mln USD za pośrednictwem kont bankowych online Experi-Metals.
  • W trzecim kwartale 2009 roku Anti-Phishing Working Group zgłosiło otrzymanie 115 570 e-maili od klientów z USA i Chin zawierających w ponad 25% strony phishingowe.

Spear phishing

Phishing spersonalizowany pod konkretną osobę lub firmę nazywany jest spear phishingiem. Oszuści najpierw zbierają informacje na temat ofiary, co znacznie zwiększa ich szanse na powodzenie ataku. Według badania firmy Trend Micro z 2012 roku wiadomości spear phishingowe wykorzystano w 91% analizowanych ataków ukierunkowanych.

W 2016 roku grupa Threat Group-4127, znana też jako APT28, prowadziła kampanię spear phishingową wymierzoną w konta pocztowe związane ze sztabem wyborczym Hillary Clinton oraz z Krajowym Komitetem Partii Demokratycznej (DNC). Wiadomości zawierały skrócone odnośniki prowadzące do fałszywej strony logowania Google. Grupa posługiwała się m.in. domeną accoounts-google.com, łudząco podobną do adresów Google, a w swoich kampaniach zaatakowała łącznie ponad 1800 kont Google.

Clone phishing

Clone phishing jest typem phishingu, w którym prawdziwy e-mail posiadający załącznik lub link zostaje użyty przez przestępcę jako wzór przy tworzeniu wiadomości na potrzeby oszustwa. Załączniki lub linki zostają zastąpione złośliwymi wersjami, a następnie wysłane z adresu email sfałszowanego tak, aby wyglądał jak ten należący do oryginalnego nadawcy.

Ta technika może zostać użyta pośrednio, przy pomocy wcześniej zainfekowanej maszyny do stworzenia następnej wykorzystując zaufanie społeczne do wnioskowanego adresu email, ponieważ obie strony otrzymują oryginalny email.

Whaling

Część ataków phishingowych została skierowana w szczególności do kierownictwa wyższego szczebla i innych ważnych celów z branży biznesowej. Z tego powodu ataki te nazwano whaling (z ang. „wielorybnictwo”). W przypadku ataków tego typu, sfałszowana witryna lub wiadomość jest tworzona z uwzględnieniem np. stanowiska ofiary w firmie. Treść e-maili często przypomina pisma pochodzące z kancelarii prawnych lub urzędów państwowych. Taka wiadomość może zawierać załącznik w postaci złośliwego oprogramowania i nakłaniać ofiarę do jego instalacji np. w celu uzyskania dostępu do ważnego dokumentu.