Атака типа «Человек посередине»: Полное руководство по защите
Атака типа «Человек посередине» (MITM) происходит, когда киберпреступник тайно перехватывает и потенциально изменяет коммуникацию между двумя сторонами, которые верят, что они общаются напрямую друг с другом. Злоумышленник встраивается между жертвой и легитимным сервисом—таким как сайт банка, провайдер электронной почты или корпоративная сеть—чтобы захватить чувствительные данные, включая учетные данные для входа, финансовую информацию и личные сведения. По данным FBI Internet Crime Complaint Center, MITM атаки приводят к убыткам, превышающим 2,4 миллиарда долларов в год только в Соединенных Штатах, при этом каждая жертва теряет в среднем 10 000 долларов за инцидент. Эти атаки наиболее часто происходят в открытых сетях Wi-Fi кафе, аэропортов и отелей, где злоумышленники могут легко перехватить незашифрованный трафик. Однако более изощренные варианты включают подделку DNS, удаление SSL, перехват электронной почты и захват сессий, которые могут скомпрометировать даже на вид защищенные соединения. Средняя MITM атака остается необнаруженной в течение 1-14 дней, в течение которых преступники могут отслеживать коммуникацию, собирать учетные данные для нескольких аккаунтов и совершать мошеннические операции. FBI сообщает, что атаки на бизнес-электронную почту—специфический тип MITM атаки—привели к убыткам в размере 2,9 миллиарда долларов в 2023 году. Опасность MITM атак заключается в их невидимости для жертв. В отличие от фишинговых писем, которые могут содержать очевидные красные флажки, успешная MITM атака представляет то, что выглядит как легитимный веб-сайт, почтовый сервис или интерфейс приложения. Жертвы неосознанно предоставляют свои учетные данные прямо злоумышленникам, веря, что они безопасно получают доступ к своим аккаунтам. После того как учетные данные захвачены, злоумышленники часто спешат опустошить банковские счета, совершить несанкционированные покупки, получить доступ к корпоративным системам или продать украденные учетные данные на темных веб-маркетплейсах за 50-500 долларов за аккаунт в зависимости от стоимости скомпрометированного сервиса.
Распространённые тактики
- • Поддельные сети Wi-Fi: Злоумышленники создают фальшивые точки доступа с именами, идентичными или очень похожими на легитимные открытые сети Wi-Fi (например, 'Starbucks_Guest' или 'Airport_Free_WiFi'), автоматически захватывая весь трафик от устройств, которые подключаются к этим вредоносным сетям.
- • Атаки на удаление SSL: Преступники понижают статус защищенных соединений HTTPS до незашифрованного HTTP, перехватывая начальный запрос на подключение, позволяя им видеть все передаваемые данные в открытом виде, в то время как браузер жертвы все еще отображает то, что выглядит как защищенное соединение.
- • Подделка ARP в локальных сетях: Злоумышленники отправляют поддельные сообщения ARP (протокол разрешения адресов) в локальную сеть, чтобы связать адрес MAC своего устройства с IP-адресом сетевого шлюза, маршрутизируя весь трафик жертвы сначала через устройство злоумышленника.
- • Подделка DNS и отравление кеша: Преступники нарушают DNS записи, чтобы перенаправить трафик, предназначенный для легитимных веб-сайтов, на серверы, контролируемые злоумышленниками и размещающие поддельные страницы входа, которые идеально имитируют банки, почтовых провайдеров или корпоративные порталы.
- • Захват сессии через кража cookies: Злоумышленники перехватывают cookies сессии, передаваемые по незащищенным соединениям, позволяя им выдавать себя за жертву и получать доступ к их активным сессиям без необходимости учетных данных для входа.
- • Компрометация учетной записи электронной почты для мошенничества со счетами: После получения доступа через MITM атаки на корпоративные учетные записи электронной почты, преступники отслеживают коммуникацию на предмет незавершенных счетов, а затем отправляют поддельные инструкции по платежам с скомпрометированного аккаунта, направляя средства на учетные записи, контролируемые злоумышленниками.
Как распознать
- Предупреждения браузера о безопасности относительно недействительных сертификатов SSL, несоответствиях сертификатов или небезопасных соединениях, появляющихся при доступе к обычно защищенным веб-сайтам—эти предупреждения указывают на потенциальное перехватывание вашего соединения.
- Неожиданные выходы из интернет-аккаунтов или запросы на повторную аутентификацию, когда вы должны были остаться в системе, что может указывать на попытку злоумышленника захватить учетные данные через поддельную страницу входа.
- Веб-сайты, загружаемые с 'http://' вместо 'https://' в адресной строке, когда вы знаете, что сайт обычно использует защищенные соединения, особенно для банковских, покупательских или почтовых сервисов.
- Незначительные вариации в URL-адресах веб-сайтов, доменных именах или внешнем виде при доступе к знакомым сайтам—например, 'bankofamerica-secure.com' вместо 'bankofamerica.com'—указывающие на то, что трафик был перенаправлен на сервер злоумышленника.
- Письма о подтверждении платежей или операций на банковских счетах за операции, которые вы не авторизовали, поступающие в течение минут или часов после доступа к аккаунтам в открытой Wi-Fi сети, предполагающие, что учетные данные были перехвачены и сразу же использованы.
- Несколько сетей Wi-Fi с идентичными или очень похожими названиями в одном месте (например, три сети с названием 'CoffeeShop_WiFi'), причем одна является поддельной сетью злоумышленника, предназначенной для захвата трафика.
Как защитить себя
- Никогда не получайте доступ к финансовым аккаунтам, не совершайте покупки и не вводите учетные данные при подключении к открытым сетям Wi-Fi; вместо этого используйте сотовое соединение вашего мобильного устройства или ждите, пока вы сможете получить доступ к доверенной частной сети.
- Установите и активируйте авторитетный сервис Virtual Private Network (VPN) на всех устройствах перед подключением к любой открытой или ненадежной сети Wi-Fi—VPN шифрует весь трафик, предотвращая перехватывание даже при подключении к вредоносной сети.
- Убедитесь, что веб-сайты отображают 'https://' с значком замка в адресной строке перед вводом каких-либо чувствительных информаций, и нажмите на замок, чтобы изучить детали сертификата SSL и подтвердить имя легитимной организации.
- Активируйте двухфакторную аутентификацию (2FA) на всех аккаунтах, которые ее поддерживают, особенно на электронной почте, банковских счетах и социальных сетях—даже если злоумышленники перехватят ваш пароль, они не смогут получить доступ к аккаунтам без второго фактора аутентификации.
- Установите расширения браузера, такие как HTTPS Everywhere, которые автоматически обеспечивают зашифрованные соединения с веб-сайтами и предупреждают вас, когда защищенные соединения недоступны или были понижены в статусе.
- Регулярно отслеживайте банковские счета, кредитные карты и онлайн-аккаунты на предмет несанкционированного доступа или операций, устанавливая мгновенные оповещения для всех попыток входа, изменений пароля и финансовых операций выше 1 доллара.
Реальные примеры
Деловой руководитель подключился к сети Wi-Fi аэропорта 'Airport_Premium' в ожидании полета и проверил корпоративную электронную почту для просмотра контрактов. Неизвестно ему, что сеть была поддельной, созданной злоумышленниками. В течение 48 часов преступники использовали его перехваченные учетные данные для отправки писем с его аккаунта в отдел бухгалтерии компании с обновленными инструкциями по переводу средств для незавершенного платежа в размере 47 000 долларов. Платеж был отправлен на счет злоумышленника до того, как мошенничество было обнаружено три дня спустя.
Аспирант регулярно занимался в кофейне и использовал их открытый Wi-Fi для доступа к своему интернет-банкингу для проверки баланса и оплаты счетов. Злоумышленник, проводящий подделку ARP в сети кофейни, перехватил его учетные данные в течение двух недель. Злоумышленник также захватил ответы на его контрольные вопросы, отслеживая его активность в браузере. Используя эту информацию, преступник опустошил его расчетный счет на 8 200 долларов и открыл две кредитные карты на его имя, в результате чего общие убытки составили 15 000 долларов.
Куда сообщить — Россия
Официальные каналы в вашем регионе для сообщения о мошенничестве.
МВД России — Управление «К»
КиберпреступностьУправление по борьбе с преступлениями в сфере IT. Электронное обращение в МВД.
Госуслуги — заявление в полицию
СообщениеПодача заявления о мошенничестве через портал Госуслуг.
Банк России — приёмная
Финансовый регуляторЖалобы на финансовые пирамиды, нелегальных брокеров, банковское мошенничество.
Считаете, что столкнулись с этим мошенничеством?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), атака типа «человек посередине»: полное руководство по защите is described at https://scamlens.org/ru/encyclopedia/man-in-the-middle-attack.