miniatura|Aquest és un exemple d'un intent de phishing. Fent-se passar per un correu electrònic oficial, tracta d'enganyar els clients del banc perquè donin informació sobre el seu compte amb un enllaç a la pàgina del phisher.
En informàtica, la pesca (també conegut pel mot anglès phishing) és un frau de suplantació de personalitat que es fa amb un correu electrònic o missatgeria instantània amb el que es demanen dades sobre les targetes de crèdit, claus bancàries, o altres tipus d'informació.
Els missatges empren tot tipus d'arguments relacionats amb la seguretat de l'entitat per justificar la necessitat d'introduir les dades d'accés. Alguns exemples poden ser: Problemes de caràcter tècnic Recents deteccions de fraus Noves recomanacions de seguretat Canvis en la política de seguretat de l'entitat
El cibercriminal, conegut com a phisher, es fa passar per una persona o empresa de confiança en una aparent comunicació oficial electrònica, comunament un correu electrònic, o algun sistema de missatgeria instantània o fins i tot utilitzant també trucades telefòniques. . Ed Skoudis. Phone phishing: The role of VoIP in phishing attacks. 13 juny 2006
Donat el creixent nombre de denúncies d'incidents relacionats amb el phishing o pharming , calen mètodes addicionals de protecció. S'han realitzat intents amb lleis que castiguen la pràctica i campanyes per prevenir als usuaris amb l'aplicació de mesures tècniques als programes. Es considera phishing també, la lectura per part de terceres persones, de les lletres i números que es marquen en el teclat d'un ordinador o computadora.
Origen del terme El terme phishing prové del mot anglès "fishing" (pesca), que al·ludeix a l'intent de fer que els usuaris "mosseguin l'ham". a qui el practica se li diu phisher.Stutz, Michael AOL: A Cracker 's Paradise? 29 gen de 1998 També es diu que el terme phishing és la contracció de password harvesting fishing (collita i pesca de contrasenyes), encara que això probablement és un acrònim retroactiu, atès que l'escriptura ph és comunament utilitzada per hackers per substituir la f, com a arrel de l'antiga forma de hacking telefònic coneguda com a phreaking."phishing, n." OED Online, March 2006, Oxford University Press. Oxford English Dictionary Online. . 9 agost 2006
El primer esment del terme phishing data del gener de 1996. Es va donar en el grup de notícies de hackers alt.2600,"phish, v." OED Online, March 2006, Oxford University Press. Oxford English Dictionary Online. http://dictionary.oed.com/cgi/entry/30004303/ 9 agost 2006 tot i que és possible que el terme ja hagués aparegut anteriorment en l'edició impresa del butlletí de notícies hacker 2600 Magazine.Ollmann, Gunter. Phishing Guide: Understanding and Preventing Phishing Attacks. Technical Info. . 10 de juliol del 2006. El terme phishing va ser adoptat pels que intentaven "pescar" comptes de membres d'AOL.
Els que van començar a fer phishing a AOL durant els anys 1990 solien obtenir comptes per usar els serveis d'aquesta companyia a través de números de targetes de crèdit vàlids, generats utilitzant algoritmes per a tal efecte. Aquests comptes d'accés a AOL podien durar setmanes i fins i tot mesos. El 1995 AOL va prendre mesures per prevenir aquest ús fraudulent dels seus serveis, de manera que els crackers van recórrer al phishing per obtenir comptes legítimes a AOL.
El phishing a AOL estava estretament relacionat amb la comunitat de warez que intercanviava programari falsificat. Un cracker es feia passar per empleat d'AOL i enviava un missatge instantani a una víctima potencial. Per poder enganyar la víctima de manera que donés informació confidencial,AOL: A Cracker 's Paradise?. Michael Stutz. Wired News . 29 gener 1998 el missatge podia contenir texts com ara "verificant compte" o "confirmant informació de factura". Un cop l'usuari enviava la seva contrasenya, l'atacant podia tenir accés al compte de la víctima i utilitzar-la per a diversos propòsits criminals, incloent el spam. Tant el phishing com el warezing a AOL requerien generalment l'ús de programes escrits per crackers, com el AOLHell.
El 1997 AOL va reforçar la seva política respecte al phishing i els warez van ser terminantment expulsats dels servidors d'AOL. Durant aquest temps el phishing era tan freqüent a AOL que van decidir afegir en el seu sistema de missatgeria instantània, una línia de text que indicava: «No one working at AOL will ask for your password or billing information» («ningú que treballi a AOL li demanarà a vostè la seva contrasenya o informació de facturació »). Simultàniament AOL va desenvolupar un sistema que desactivava de forma automàtica un compte involucrat en phishing, normalment abans que la víctima pogués respondre. Els phishers es van traslladar de forma temporal al sistema de missatgeria instantani d'AOL (AIM), a causa que no podien ser expulsats del servidor d'AIM. El tancament obligat de l'escena de warez a AOL va causar que molts phishers deixessin el servei, i en conseqüència la pràctica. http://www.rajuabju.com/warezirc/historyofaolwarez.htm History of AOL Warez. 28 de setembre del 2006.
Intents recents de phishing Els intents més recents de phishing han pres com a objectiu a clients de bancs i serveis de pagament en línia. Encara que l'exemple que es mostra a la primera imatge és enviat per phishers de forma indiscriminada amb l'esperança de trobar a un client d'aquest banc o servei, estudis recents mostren que els phishers al principi són capaços d'establir amb quin banc té relació una possible víctima, i d'aquesta manera enviar un correu electrònic, falsejat apropiadament, a la possible víctima.Phishing for clues, Indiana University Bloomington , 15 de setembre de 2005 (en anglès) en termes generals, aquesta variant cap a objectius específics en el phishing s'ha anomenat spear phishing (literalment pesca amb arpó). Els llocs d'Internet amb fins socials també s'han convertit en objectius per als phishers, atès que molta de la informació proveïda en aquests llocs pot ser utilitzada en el robatori d'identitat. [https: //web.archive.org/web/20060720203307/http://www.pcworld.com/resource/article/0%2Caid%2C125956%2Cpg%2C1%2CRSS%2CRSS%2C00.asp Phishing Scam Takes Aim at MySpace. com. Jeremy Kirk. IDG Network. 2 de juny de 2006 (en anglès) Alguns experiments han atorgat una taxa d'èxit d'un 90% en atacs phishing en xarxes socials. Tom Jagatic and Nathan Johnson and Markus Jakobsson and Filippo Menczer . Social Phishing . A publication on Communications of the ACM. 3 de juny de 2006. (en anglès) A finals de 2006 un cuc informàtic es va apropiar d'algunes pàgines del lloc web MySpace aconseguint redireccionar els enllaços de manera que apuntessin a una pàgina web dissenyada per robar informació d'ingrés dels usuaris.Malicious Website / Malicious Code: MySpace XSS QuickTime Worm. Websense Security Labs. 5 de desembre del 2006.
Tècniques de phishing La majoria dels mètodes de phishing utilitzen la manipulació en el disseny del correu electrònic per aconseguir que un enllaç sembli una ruta legítima de l'organització per la qual es fa passar l'impostor. URLs manipulades, o l'ús de subdominis, són trucs comunament usats per phishers; per exemple en aquesta URL: http://www.nombredetubanco.com/ejemplo , en la qual el text mostrat a la pantalla no correspon amb l'adreça real a la qual condueix. Un altre exemple per disfressar enllaços és el d'utilitzar adreces que continguin el caràcter arrova: @, per a posteriorment preguntar el nom d'usuari i contrasenya (contrari als estàndardsBerners- Lee, Tim. Uniform Resource Locators, IETF Network Working Group, 28 de gener de 2006). Per exemple, l'enllaç http: //[email protected]/ pot enganyar un observador casual i fer-li creure que l'enllaç que va a obrir a la pàgina de www.google.com , quan realment l'enllaç envia al navegador a la pàgina de members.tripod.com (i al intentar entrar amb el nom d'usuari de www.google.com , si no existeix tal usuari, la pàgina obrirà normalment). Aquest mètode ha estat erradicat des de llavors en els navegadors de MozillaFisher, Darin. Warn when HTTP URL auth information is not necessary or when it 's provided. Bugzilla. 28 agost 2005 i Internet Explorer.Microsoft. A security update is available that modifies the default behavior of Internet Explorer for handling user information in HTTP and in HTTPS URL Microsoft Knowledgebase Database . 28 d'agost de 2005 Altres intents de phishing utilitzen comandaments en JavaScripts per alterar la barra d'adreces. Això es fa posant una imatge de la URL de l'entitat legítima sobre la barra d'adreces, o tancant la barra d'adreces original i obrint una nova que conté la URL il·legítima.
En un altre mètode popular de phishing, l'atacant utilitza contra la víctima el propi codi de programa del banc o servei pel qual es fa passar. Aquest tipus d'atac resulta particularment problemàtic, ja que dirigeix l'usuari a iniciar sessió en la pròpia pàgina del banc o servei, on la URL i els certificats de seguretat semblen correctes. En aquest mètode d'atac (conegut com a Cross Site Scripting) els usuaris reben un missatge dient que han de "verificar" els seus comptes, seguit per un enllaç que sembla la pàgina web autèntica; en realitat, l'enllaç està modificat per realitzar aquest atac, a més és molt difícil de detectar si no es tenen els coneixements necessaris.
Un altre problema amb les URL és el relacionat amb el maneig de Nom de domini internacionalitzat (IDN) en els navegadors, ja que pot ser que adreces que resultin idèntiques a la vista puguin conduir a diferents llocs (per exemple domini.com es veu similar a dοminiο.com , encara que en el segon les lletres "o" hagin estat reemplaçades per la corresponent lletra grega ómicron, "ο"). En usar aquesta tècnica és possible dirigir als usuaris a pàgines web amb males intencions. Tot i la publicitat que s'ha donat sobre aquest defecte, conegut com a IDN spoofingEvgeniy Gabrilovich and Alex Gontmakher. The Homograph Attack. Communications of the ACM 45 (2): 128 . febrer de l'any 2002 o atacs homògrafs,Johanson, Eric. The State of Homograph Attacks Rev1.1. The Shmoo Group. 11 d'agost del 2005. cap atac conegut de phishing ho ha utilitzat.
Addline "Phishing" Laddline phishing fa referència a una doble suplantació d'identitat, on el victimari és capaç d'accedir de forma fraudulenta a l'ordinador o dispositiu mòbil de la víctima, i robar informació de més d'un compte personal. Aquesta tècnica es feu famosa devers l'any 2013 als Estats Units després de la implantació massiva de serveis gratuïts de wifi. L'atacant roba generalment de tres a quatre comptes disponibles dins de l'ordinador al qual hagi accedit. Un cop obtinguda la informació de diverses persones (correus, PayPal, Amazon, Bitcoin, comptes bancaris), llavors efectua operacions fraudulentes a nom d'una altra persona a qui se li hagi robat el compte. Aquestes estafes són bastant senzilles i comunes per diverses raons: El hackeig d'ordinadors connectats a xarxes públiques (places, parcs, hotels, restaurants) és senzill. És gairebé impossible de rastrejar, ja que les operacions fraudulentes es realitzen des de comptes amb permisos, i sovint fan servir aplicacions per a ocultar l'adreça o redirigir a l'ordinador hackejat des d'un inici. A causa del modus operandi, en cas que se'n trobi el responsable, no se'l pot acusar de robatori. Les víctimes solen assumir que els culpables són els amos dels comptes robats. Aquesta acció normalment atura les investigacions pertinents. Les sumes de diners obtinguts per laddline phishing solen ser baixos (menys de 50.000 €) de manera que els bancs dediquen poca atenció i suport a la víctima.
Modus operandi de l'addline phishing