1.

0 Pengenalan

Phishing adalah sejenis serangan di mana penjenayah menggunakan e-mel palsu dan laman web
penipuan untuk menipu orang ramai untuk menyerahkan maklumat peribadi. Mangsa melihat e-mel
ini sebagai berkaitan dengan jenama yang dipercayai, sedangkan pada hakikatnya mereka adalah
karya artis yang berminat untuk mencuri identiti. Phishing adalah masalah yang meluas yang
memberi kesan kepada perniagaan dan pengguna. Untuk mengurangkan kerosakan akibat phishing,
pihak berkepentingan telah melaksanakan tindak balas mereka sendiri: penyemak imbas web utama
mempunyai penapis terbina dalam, pembekal perkhidmatan Internet menapis e-mel phishing yang
mencurigakan, pegawai penguatkuasa undang-undang mencari dan mendakwa penipu. Penipuan
Phishing juga berkembang, kadang-kadang pada tahap yang lebih cepat daripada penanggulangan.
Phishers melancarkan serangan ke atas kumpulan tertentu seperti pengguna laman rangkaian sosial
melalui pelbagai saluran seperti telefon dan mesej segera, dan alat pemancingan phishing dan
kelayakan yang dikompromi sedia ada untuk dijual dengan harga rendah di pasaran hitam Internet.
Skim pancingan data canggih seperti serangan manusia dan malware semakin kerap.

Istilah phishing merujuk kepada tindakan menipu orang untuk mendedahkan maklumat sensitif atau
peribadi. Ia bergantung pada hakikat bahawa meminta sebilangan besar orang untuk maklumat ini,
akan sentiasa menipu sekurang-kurangnya sebilangan kecil orang. Dalam percubaan phishing,
penyerang biasanya akan mewujudkan situasi di mana orang percaya bahawa mereka berurusan
dengan pihak yang diberi kuasa, seperti bank mereka. Penyerang kemudian akan meminta mangsa
untuk maklumat sensitif seperti maklumat kad kredit. Kebanyakan aktiviti ini adalah automatik dan
sasarannya adalah sebilangan besar pengguna Internet. Oleh itu, phishing dianggap sebagai
serangan oportunistik dan bukannya sasaran.

Phishing juga berusaha untuk memperoleh maklumat sensitif seperti nama pengguna, kata laluan,
dan butiran kad kredit (dan kadang-kadang, tidak langsung, wang), sering kerana sebab-sebab yang
berniat jahat, dengan menyamar sebagai entiti yang boleh dipercayai dalam komunikasi elektronik.

Phishing Technique
Terdapat beberapa teknik yang digunakan untuk mendapatkan maklumat peribadi daripada
pengguna. Apabila teknologi menjadi lebih maju, teknik penjenayah siber yang digunakan juga lebih
maju. Untuk menghalang pancingan internet, pengguna harus tahu bagaimana orang jahat
melakukan ini dan mereka juga harus sedar akan teknik anti-phishing untuk melindungi diri daripada
menjadi mangsa.

a) Phishing Spear

Walaupun phishing tradisional menggunakan pendekatan 'semburan dan berdoa', makna e-mel
massa dihantar kepada seberapa ramai orang yang mungkin, serangan phishing adalah serangan
yang lebih disasarkan di mana peretas tahu mana individu atau organisasi tertentu mereka selepas
itu. Mereka melakukan penyelidikan mengenai sasaran untuk menjadikan serangan itu lebih
diperibadikan dan meningkatkan kemungkinan sasaran yang jatuh ke dalam perangkap mereka.

b) Pembajakan Sesi

Dalam sesi rampasan, phisher mengeksploitasi mekanisme kawalan sesi web untuk mencuri
maklumat daripada pengguna. Dalam prosedur penggodaman sesi mudah yang dikenali sebagai
session sniffing, phisher boleh menggunakan sniffer untuk memintas maklumat yang relevan supaya
dia boleh mengakses pelayan Web secara haram.
c) E-mel / Spam

Menggunakan teknik pemalsuan yang paling biasa, e-mel yang sama dihantar kepada berjuta-juta
pengguna dengan permintaan untuk mengisi butiran peribadi. Butiran ini akan digunakan oleh
phisher untuk aktiviti haram mereka. Kebanyakan mesej mempunyai nota mendesak yang
memerlukan pengguna memasuki kelayakan untuk mengemas kini maklumat akaun, mengubah
butiran, atau mengesahkan akaun. Kadang-kadang, mereka mungkin diminta untuk mengisi borang
untuk mengakses perkhidmatan baru melalui pautan yang disediakan dalam e-mel.

d) Suntikan Kandungan

Suntikan kandungan adalah teknik di mana phisher mengubah sebahagian daripada kandungan pada
halaman laman web yang boleh dipercayai. Ini dilakukan untuk mengelirukan pengguna untuk pergi
ke laman di luar laman web yang sah di mana pengguna diminta untuk memasukkan maklumat
peribadi.

e) Penghantaran Berbasis Web

Penghantaran berasaskan web adalah salah satu teknik phishing yang paling canggih. Juga dikenali
sebagai "man-in-the-middle", peretas terletak di antara laman web asal dan sistem pancingan data.
Butiran penangkap phishing semasa transaksi antara laman web yang sah dan pengguna. Sebagai
pengguna terus menyampaikan maklumat, ia dikumpulkan oleh phisher, tanpa pengguna
mengetahui mengenainya

f) Phishing melalui Search Engine

Beberapa penipuan pancingan data melibatkan enjin carian di mana pengguna diarahkan ke tapak
produk yang mungkin menawarkan produk atau perkhidmatan kos rendah. Apabila pengguna cuba
membeli produk dengan memasukkan butiran kad kredit, ia dikumpulkan oleh tapak pancingan data.
Terdapat banyak laman web bank palsu yang menawarkan kad kredit atau pinjaman kepada
pengguna pada kadar yang rendah tetapi mereka sebenarnya adalah tapak pancingan data.

g) Manipulasi Pautan

Manipulasi pautan adalah teknik di mana phisher menghantar pautan ke laman web yang berniat
jahat. Apabila pengguna mengklik pada pautan yang menipu, ia membuka laman web phisher dan
bukannya laman web yang disebut dalam pautan tersebut. Melangkah tetikus ke atas pautan untuk
melihat alamat sebenar menghalang pengguna daripada jatuh untuk manipulasi pautan.

h) Vishing (Phishing Suara)

Dalam phishing telefon, phisher membuat panggilan telefon kepada pengguna dan meminta
pengguna untuk mendail nombor. Tujuannya adalah untuk mendapatkan maklumat peribadi akaun
bank melalui telefon. Phishing telefon kebanyakannya dilakukan dengan ID pemanggil palsu.

i) Keyloggers

Keyloggers merujuk kepada malware yang digunakan untuk mengenal pasti input dari papan
kekunci. Maklumat tersebut dihantar kepada penggodam yang akan menguraikan kata laluan dan
jenis maklumat lain. Untuk menghalang pembalak utama daripada mengakses maklumat peribadi,
laman web selamat menyediakan pilihan untuk menggunakan klik tetikus untuk membuat entri
melalui papan kekunci maya.

j) Mishing (Phishing SMS)

Phishing yang dijalankan melalui Perkhidmatan Pesanan Ringkas (SMS), perkhidmatan pesanan teks
berasaskan telefon. Teks yang menghantam, sebagai contoh, cuba menarik perhatian mangsa ke
arah mendedahkan maklumat peribadi melalui pautan yang membawa kepada laman web
pancingan data

k) Trojan

Kuda Trojan adalah sejenis malware yang direka untuk mengelirukan pengguna dengan
tindakan yang kelihatan sah, tetapi sebenarnya membenarkan akses tanpa izin ke akaun
pengguna untuk mengumpul kepercayaan melalui mesin tempatan. Maklumat yang
diperoleh kemudian dihantar kepada penjenayah siber.

l) Malware

Penipuan Phishing yang melibatkan perisian hasad memerlukannya dijalankan pada

komputer pengguna. Malware biasanya dilampirkan kepada e-mel yang dihantar kepada
pengguna oleh phisher. Sebaik sahaja anda mengklik pada pautan, malware akan mula
berfungsi. Kadang-kadang, malware juga boleh dilampirkan ke fail yang boleh dimuat
turun.

m) Ransomware
Ransomware menafikan akses ke peranti atau fail sehingga tebusan telah
dibayar.Ransomware untuk PC adalah malware yang dipasang pada stesen kerja
pengguna menggunakan serangan kejuruteraan sosial di mana pengguna
mendapat ditipu dengan mengklik pada pautan, membuka lampiran, atau mengklik
iklan

n) Malvertising

Malvertising adalah iklan berniat jahat yang mengandungi skrip aktif yang direka untuk
memuat turun malware atau memaksa kandungan yang tidak diingini ke komputer anda.
Pengeksploitasi dalam Adobe PDF and Flash adalah kaedah yang paling biasa digunakan
dalam malvertisements

TYPE OF PHISHING

a) Phishing Menipu.
Istilah "phishing" pada asalnya merujuk kepada kecurian akaun menggunakan pemesejan
segera tetapi kaedah siaran paling umum hari ini adalah mesej e-mel yang menipu. Mesej
tentang keperluan untuk mengesahkan maklumat akaun, kegagalan sistem yang memerlukan
pengguna memasukkan semula maklumat mereka, caj akaun rekaan, perubahan akaun yang
tidak diingini, perkhidmatan percuma baru yang memerlukan tindakan pantas, dan banyak
penipuan lain disiarkan kepada kumpulan yang luas dengan harapan bahawa orang yang tidak
berani akan bertindak balas dengan mengklik pautan ke atau menandatangani ke laman palsu
di mana maklumat rahsia mereka boleh dikumpulkan.
b) Phishing berasaskan perisian perosak

Ia merujuk kepada penipuan yang melibatkan perisian berniat jahat pada PC pengguna. Malware
boleh diperkenalkan sebagai lampiran e-mel, sebagai fail yang boleh dimuat turun dari laman web,
atau dengan mengeksploitasi kelemahan keselamatan yang diketahui - satu isu tertentu untuk
perniagaan kecil dan sederhana (SMB) yang tidak selalu dapat menyimpan aplikasi perisian mereka
sehingga kini .

c) Keyloggers dan Screenloggers

Keyloggers dan Screenloggers adalah jenis tertentu malware yang mengesan input
papan kekunci dan menghantar maklumat yang relevan kepada penggodam melalui
Internet. Mereka boleh membenamkan diri ke dalam pelayar pengguna sebagai
program utiliti kecil yang dikenali sebagai objek pembantu yang berjalan secara
automatik apabila penyemak imbas dimulakan serta ke dalam fail sistem sebagai
pemacu peranti atau monitor skrin.
d) Pembongkar Sesi menggambarkan serangan di mana aktiviti pengguna dimonitorkan sehingga
mereka masuk ke akaun sasaran atau transaksi dan menetapkan kelayakan bona fide mereka. Pada
ketika itu perisian jahat mengambil alih dan boleh melakukan tindakan yang tidak dibenarkan,
seperti memindahkan dana, tanpa pengetahuan pengguna.

e) Trojan Web muncul secara tidak jelas apabila pengguna cuba log masuk. Mereka mengumpul
kelayakan pengguna secara tempatan dan menghantarnya ke phisher.

f) Hosts File Keracunan. Apabila pengguna menaip URL untuk melawat tapak web, ia mesti terlebih
dahulu diterjemahkan ke dalam alamat IP sebelum dihantar melalui Internet. Majoriti pengguna PC
SMB yang menjalankan sistem operasi Microsoft Windows mula-mula mencari "nama hos-hos" ini
dalam fail "host" mereka sebelum melakukan pencarian Domain Name System (DNS). Dengan
"keracunan" fail tuan rumah, penggodam mempunyai alamat yang dihantar, mengambil pengguna
secara tidak sengaja ke laman web "kelihatan sama" palsu di mana maklumat mereka boleh dicuri.

g) Penyusunan semula Rekonfigurasi Sistem mengubah suai tetapan pada PC pengguna untuk tujuan
berniat jahat. Sebagai contoh: URL dalam fail kegemaran mungkin diubahsuai untuk mengarahkan
pengguna untuk melihat laman web yang sama. Sebagai contoh: URL laman web bank boleh ditukar
dari "bankofabc.com" ke "bancofabc.com".

h) Pencurian Data.

PC tidak terjamin sering mengandungi subset maklumat sensitif yang disimpan di tempat lain pada
pelayan terjamin. Sudah tentu PC digunakan untuk mengakses pelayan tersebut dan boleh lebih
mudah dikompromikan. Kecurian data adalah pendekatan yang digunakan secara meluas untuk
pengintipan perniagaan. Dengan mencuri komunikasi sulit, dokumen reka bentuk, pendapat undang-
undang, rekod berkaitan pekerja, dan sebagainya, pencuri keuntungan dari penjualan kepada
mereka yang mungkin mahu memalukan atau menyebabkan kerosakan ekonomi atau kepada
pesaing.
4.0 Couse Of Phishing

Serangan Phishing semakin meningkat dan berkembang dalam pelbagai (kaedah yang lebih baru
termasuk phishing tombak dan penipuan Ketua Pegawai Eksekutif), meletakkan risiko berjuta-juta
pengguna di seluruh dunia - sebenarnya, semua orang dengan akaun e-mel. Kenapa mereka sangat
popular di kalangan penipu dan mengapa mereka begitu berjaya

Users are the weak link in the chain

Lack of training/awareness about phishing and ransomware is the number one reason these attacks
are so successful. According to the research, 6% of users have never received security awareness
training, crushing confidence in staff’s ability to recognise threats and act dutifully. Users should be
trained to be sceptical and suspicious of any unexpected incoming email and any other scam they
might encounter on social media

2. Organisasi tidak melakukan usaha wajar yang mencukupi

Syarikat-syarikat tidak melakukan cukup untuk mengurangkan risiko yang berkaitan dengan phishing
dan ransomware: mereka tidak mempunyai proses sandaran yang memadai di tempat, tidak
mengenal pasti pengguna yang paling lemah yang memerlukan latihan lebih lanjut, dan tidak
mempunyai proses kawalan dalaman yang kuat untuk mencegah penipuan CEO (seperti pengesahan
berganda untuk sebarang permintaan pemindahan bank).

6.0 Kesan Phishing

Warkah Phising hidup. Ia juga mencuri identiti. Organisasi jenayah di seluruh dunia menggunakan
teknik yang dikenali sebagai phishing untuk mengekstrak maklumat dari warga yang tidak bersalah
untuk mengakses butiran banknya, mencuri identiti, mencuci wang dan banyak lagi.

Percubaan boleh sukar ditemui dengan mata yang tidak terlatih, dan phishing berjaya
mempengaruhi semua orang, dari pengurus bank kepada anak kecil yang sekolah, kelab atau
kumpulannya mungkin ditangkap oleh jenis penipuan ini.

Kesan phishing jauh lebih berbahaya daripada hanya pencerobohan privasi. Phishing digunakan
untuk menjejaskan keselamatan komputer melalui kejuruteraan sosial. Ia boleh digunakan untuk
mencuri maklumat, mengganggu operasi komputer, mencuri wang, merosakkan reputasi,
memusnahkan maklumat penting atau memberi makan ego penyerang.

Oleh itu apabila ia datang kepada rakyat dan masyarakat, penipuan phishing benar-benar
merosakkan internet. Anda sentiasa dapat mencari beberapa penipuan di folder mel sampah atau
iklan anda di Facebook dan twitter yang cuba menghubungkan anda ke laman web palsu. Dengan
teknologi pancingan data yang semakin berkembang dan rangkaian sosial yang semakin meningkat,
orang semakin banyak risiko apabila mereka berkongsi maklumat peribadi dalam talian.
7.0 Kesimpulan

Phishing adalah aktiviti yang sangat menguntungkan bagi penjenayah. Dalam tempoh dua tahun
yang lalu, terdapat peningkatan dalam teknologi, kepelbagaian, dan kecanggihan serangan ini
sebagai tindak balas terhadap peningkatan kesedaran dan tindak balas pengguna, untuk
mengekalkan keuntungan.

Pengguna telah menjadi lebih sedar tentang jenayah pancingan data dan bagaimana mengenal pasti
tapak pancingan data yang tidak canggih. Sebagai tindak balas, penjenayah menggunakan
kelemahan pelayar web dan teknik penggumpalan untuk membuat halaman penipuan pancingan
data yang lebih sukar untuk membezakan dari laman sah; sehingga pengguna dapat menjadi korban
bahkan jika mereka menyadari penipuan phishing.