Phishing-as-a-Service (PhaaS) uitgelegd

Phishing-as-a-Service (PhaaS) is een vorm van georganiseerde cybercriminaliteit waarbij criminelen via het web phishingdiensten aanbieden aan anderen in ruil voor geld. Hierdoor wordt phishing potentieel riskanter en gemakkelijk toegankelijk voor iedereen.

door

Leestijd: 5 min
Phishing-as-a-Service (PhaaS) uitgelegd
Inhoudsopgave-

Cybercriminaliteit is weliswaar lucratief, maar heeft een hoge toetredingsdrempel. In het verleden hadden hackers de kennis en vaardigheden nodig om hun aanvallen vanaf nul te ontwikkelen. In het recente verleden behoren deze technische barrières echter tot het verleden met de opkomst van de ondergrondse phishing-as-a-service-sector. Iedereen kan nu met één druk op de knop cybercrimineel worden, als hij maar weet waar hij moet zoeken en hoeveel hij wil uitgeven.

Phishing kan de eerste stap zijn van een geraffineerd plan om gegevens te stelen, en het is nog steeds een populaire tactiek om één eenvoudige reden: het werkt. Phishing bestaat al heel lang, maar de cybercriminelen van tegenwoordig weten hoe ze het op allerlei manieren kunnen gebruiken.

Volgens FBI-statistieken waren phishing en zijn varianten het op twee na derde meest voorkomende cybermisdaad in 2017wat resulteerde in ruwweg 30 miljoen dollar aan schade. Phishing-aanvallen namen aanzienlijk toe in 2019. Phishing-e-mails waren een belangrijk ingangspunt voor ransomware in 2020goed voor 54% van alle digitale kwetsbaarheden. Slecht gebruikersgedrag en het gebrek aan cyberbeveiligingstraining en afgedwongen authenticatieprotocollen waren cruciale factoren die bijdroegen aan deze alarmerende statistieken.

Leer hoe u "geen DMARC record gevonden" fout hier.

Wat is Phishing-as-a-Service (PhaaS)?

Phishing-as-a-Service (PhaaS) is een vorm van georganiseerde cybercriminaliteit waarbij criminelen via het web phishingdiensten aanbieden aan anderen in ruil voor geld. Phishing is een variant van e-mailfraude waarbij criminelen berichten versturen die zich voordoen als een legitiem bedrijf om mensen te verleiden hen persoonlijke informatie te geven, zoals bankgegevens of wachtwoorden. PhaaS-aanbieders maken vaak nepwebsites en landingspagina's die er echt uitzien, waardoor het nog moeilijker wordt voor mensen om de zwendel te herkennen. 

Phishing-as-a-service wordt steeds geraffineerder, en PhaaS-aanbieders kunnen beveiligingsmaatregelen als e-mailverificatie met twee factoren vaak omzeilen. Phishing-as-a-Service is dan ook een groeiend probleem waar bedrijven zich bewust van moeten zijn. Er zijn stappen die bedrijven kunnen nemen om zich ertegen te beschermen, zoals het trainen van werknemers in het herkennen van phishing-e-mails, het gebruik van anti-phishing-software en het implementeren van e-mailverificatieprotocollen. Naarmate Phishing-as-a-Service providers echter sluwer worden, moeten bedrijven voortdurend waakzaam zijn om zichzelf te beschermen.

Waarom is Phishing-as-a-Service een probleem?

Voor veel ondernemingen is de proliferatie van PhaaS een teken van gevaar. Phishing is nu al een groot beveiligingsprobleem; volgens Egress is 73% van de ondernemingen het afgelopen jaar het doelwit geweest van succesvolle phishing-aanvallen. Het te gelde maken van phishing-kits zal de situatie alleen maar verergeren.

Phishing-as-a-service is een probleem omdat het de drempel voor phishing verlaagt. 

PhaaS heeft een nieuwe generatie cybercriminelen geïnspireerd om zich aan phishing te wagen door de drempels om binnen te komen te verlagen, en het rendement voor hen is enorm. Om een efficiënte e-mail te versturen, moet een cybercrimineel over het algemeen HTML kennen. Hij moet ook weten hoe hij een website kan maken die er authentiek uitziet, zelfs als hij inloggegevens steelt. Als iemand een phishing-kit koopt, zijn deze vaardigheden niet vereist om een phishing-aanval uit te voeren. Er zit maar heel weinig tijd tussen het bedenken van een aanval en de 'uitvoering' ervan.

Zelfs de mensen die al phishing-aanvallen uitvoeren, kunnen baat hebben bij PhaaS. Dat komt omdat de bekwaamheid van de daders doorgaans het succes van een phishing-campagne beperkt. Maar meer mensen zullen in hun aanvallen trappen als ze een phishingkit kopen.

PhaaS maakt het ook moeilijker om phishing-pogingen te vervolgen.

Het stelt mensen die bedreven zijn in het maken van phishingkits in staat aan de handel te verdienen zonder phishingaanvallen uit te voeren. Als een gebruiker van een phishingkit wordt gepakt, is het onwaarschijnlijk dat de persoon die de phishingkit heeft verkocht, wordt aangeklaagd. De eigenlijke cybercrimineel kan dus doorgaan met het verkopen van soortgelijke kits aan andere mensen.

Hoe kan de dreiging van phishing worden tegengegaan?

Hoewel phishing een oude truc is, zal het gebruikers blijven misleiden, maar u kunt veilig blijven door de volgende beste praktijken toe te passen:

Uw werknemers opleiden

Naast het voorlichten van uw werknemers over phishing, is het essentieel om systemen te hebben die uw bedrijf kunnen beschermen als een werknemer in een phishing-zwendel trapt. U kunt bijvoorbeeld overwegen een spamfilter te gebruiken om te voorkomen dat verdachte e-mails de inbox van uw werknemers bereiken. U moet ook een proces hebben voor het melden van verdachte e-mails, zodat ze kunnen worden onderzocht. Door deze voorzorgsmaatregelen te nemen, kunt u uw bedrijf beschermen tegen phishing-aanvallen.

Ten eerste, wees wantrouwig ten aanzien van ongevraagde e-mails of sms'jes die beweren van een gerenommeerde organisatie afkomstig te zijn. Zelfs als het bericht van een bekend bedrijf afkomstig lijkt, klik dan nooit op links of bijlagen tenzij u zeker weet dat ze veilig zijn. Als u het niet zeker weet, ga dan rechtstreeks naar de website van de organisatie in plaats van op de links in het bericht te klikken.

Houd uw antivirussoftware up-to-date

Antivirussoftware kan phishing-aanvallen detecteren en blokkeren, maar alleen als deze up-to-date is. Verouderde software herkent mogelijk niet de nieuwste phishing-zwendel, waardoor u kwetsbaar wordt voor dezelfde aanvallen. Controleer uw antivirussoftware dus regelmatig om er zeker van te zijn dat deze up-to-date is en correct werkt. Vergeet ook niet om uw andere software up-to-date te houden, zoals uw besturingssysteem en webbrowser.

Tot slot: wees voorzichtig met het online verstrekken van persoonlijke informatie. Phishers kunnen zich voordoen als legitieme bedrijven om u gevoelige informatie te ontfutselen. Verstrek uw persoonlijke gegevens dus alleen aan betrouwbare websites.

Gebruik DMARC om uw e-mails te authenticeren 

Phishing-e-mails kunnen door e-mailspamfilters uit uw inbox worden gehouden, maar hackers proberen deze filters voortdurend te omzeilen. Er is geen kanaal met een groter bereik dan e-mail, dat wereldwijd zo'n 5 miljard accounts heeft. Daarom gebruiken aanvallers e-mail het liefst als route voor hun schadelijke bedoelingen.

Hier komt DMARC om de problemen op te lossen die spamfilters niet kunnen oplossen. 

DMARC is ontworpen om e-mail spoofing en phishing aanvallen tegen te gaan die het gevolg zijn van vervalste bedrijfsdomeinen. DMARC geeft u niet alleen volledig inzicht in uw e-mailkanalen, maar maakt ook phishing-aanvallen zichtbaar. Door constante bewaking en bronverificatie kan het de impact van phishingaanvallen verminderen, spoofing voorkomen, bescherming bieden tegen merkmisbruik en oplichterij, en zakelijke e-mail beschermen tegen compromittering.

Organisaties die niet bekend zijn met de details van de implementatie of die implementatietijd en -inspanning willen besparen, kunnen gebruik maken van onze DMARC Analyzer gebruiken om hun implementatieproces te stroomlijnen.

Het aanmaken van een DMARC-record voor je domein kan je merk en klanten beschermen tegen phishingaanvallen.

Een DMARC record bevat vier belangrijke componenten:

  • DMARC-beleid
  • SPF-uitlijning
  • DKIM uitlijning
  • Rapportagemogelijkheden

De DMARC beleid specificeert hoe inkomende e-mails moeten worden behandeld als DMARC faalt. SPF afstemming zorgt ervoor dat e-mails die alleen worden verzonden vanaf geautoriseerde IP-adressen door de DMARC-controles komen. DKIM afstemming verifieert het ondertekeningsdomein voor een e-mail. Opties voor rapportage opgeven waar DMARC-rapporten naartoe moeten worden gestuurd.

Laatste woorden

Zowel particulieren als bedrijven zijn kwetsbaar voor phishing. Het leidt tot het hacken van persoonlijke accounts en infiltratie in bedrijfsnetwerken. Phishing-as-a-service verergert dit probleem nog doordat iedereen, ongeacht zijn vaardigheidsniveau, dergelijke aanvallen kan uitvoeren.

PhaaS verhoogt niet alleen de frequentie van phishing-aanvallen, maar maakt ook elke aanval potentieel succesvoller. Maar het goede nieuws is dat er een manier is om de klap te verzachten! Het PowerDMARC team kan u helpen bij elke stap van uw DMARC implementatie traject om uw verdediging tegen phishing-as-a-service sneller op te bouwen dan elke andere oplossing die er is! Neem vandaag nog een gratis DMARC proefversie om het zelf te ervaren.

Nieuwste berichten van Ahona Rudra (zie alle)
Uitleg over Ransomware-as-a-Service (RaaS)Ransomware als dienst RaaSDMARC niet-geverifieerde post is verbodenDMARC Unauthenticated Mail is verboden [OPGELOST]