Атака типа «Человек посередине»: Полное руководство по защите
Атака типа «Человек посередине» (MITM) происходит, когда киберпреступник тайно перехватывает и потенциально изменяет коммуникацию между двумя сторонами, которые верят, что они общаются напрямую друг с другом. Злоумышленник встраивается между жертвой и легитимным сервисом—таким как сайт банка, провайдер электронной почты или корпоративная сеть—чтобы захватить чувствительные данные, включая учетные данные для входа, финансовую информацию и личные сведения. По данным FBI Internet Crime Complaint Center, MITM атаки приводят к убыткам, превышающим 2,4 миллиарда долларов в год только в Соединенных Штатах, при этом каждая жертва теряет в среднем 10 000 долларов за инцидент. Эти атаки наиболее часто происходят в открытых сетях Wi-Fi кафе, аэропортов и отелей, где злоумышленники могут легко перехватить незашифрованный трафик. Однако более изощренные варианты включают подделку DNS, удаление SSL, перехват электронной почты и захват сессий, которые могут скомпрометировать даже на вид защищенные соединения. Средняя MITM атака остается необнаруженной в течение 1-14 дней, в течение которых преступники могут отслеживать коммуникацию, собирать учетные данные для нескольких аккаунтов и совершать мошеннические операции. FBI сообщает, что атаки на бизнес-электронную почту—специфический тип MITM атаки—привели к убыткам в размере 2,9 миллиарда долларов в 2023 году. Опасность MITM атак заключается в их невидимости для жертв. В отличие от фишинговых писем, которые могут содержать очевидные красные флажки, успешная MITM атака представляет то, что выглядит как легитимный веб-сайт, почтовый сервис или интерфейс приложения. Жертвы неосознанно предоставляют свои учетные данные прямо злоумышленникам, веря, что они безопасно получают доступ к своим аккаунтам. После того как учетные данные захвачены, злоумышленники часто спешат опустошить банковские счета, совершить несанкционированные покупки, получить доступ к корпоративным системам или продать украденные учетные данные на темных веб-маркетплейсах за 50-500 долларов за аккаунт в зависимости от стоимости скомпрометированного сервиса.
Распространённые тактики
- •Поддельные сети Wi-Fi: Злоумышленники создают фальшивые точки доступа с именами, идентичными или очень похожими на легитимные открытые сети Wi-Fi (например, 'Starbucks_Guest' или 'Airport_Free_WiFi'), автоматически захватывая весь трафик от устройств, которые подключаются к этим вредоносным сетям.
- •Атаки на удаление SSL: Преступники понижают статус защищенных соединений HTTPS до незашифрованного HTTP, перехватывая начальный запрос на подключение, позволяя им видеть все передаваемые данные в открытом виде, в то время как браузер жертвы все еще отображает то, что выглядит как защищенное соединение.
- •Подделка ARP в локальных сетях: Злоумышленники отправляют поддельные сообщения ARP (протокол разрешения адресов) в локальную сеть, чтобы связать адрес MAC своего устройства с IP-адресом сетевого шлюза, маршрутизируя весь трафик жертвы сначала через устройство злоумышленника.
- •Подделка DNS и отравление кеша: Преступники нарушают DNS записи, чтобы перенаправить трафик, предназначенный для легитимных веб-сайтов, на серверы, контролируемые злоумышленниками и размещающие поддельные страницы входа, которые идеально имитируют банки, почтовых провайдеров или корпоративные порталы.
- •Захват сессии через кража cookies: Злоумышленники перехватывают cookies сессии, передаваемые по незащищенным соединениям, позволяя им выдавать себя за жертву и получать доступ к их активным сессиям без необходимости учетных данных для входа.
- •Компрометация учетной записи электронной почты для мошенничества со счетами: После получения доступа через MITM атаки на корпоративные учетные записи электронной почты, преступники отслеживают коммуникацию на предмет незавершенных счетов, а затем отправляют поддельные инструкции по платежам с скомпрометированного аккаунта, направляя средства на учетные записи, контролируемые злоумышленниками.
Как распознать
- Предупреждения браузера о безопасности относительно недействительных сертификатов SSL, несоответствиях сертификатов или небезопасных соединениях, появляющихся при доступе к обычно защищенным веб-сайтам—эти предупреждения указывают на потенциальное перехватывание вашего соединения.
- Неожиданные выходы из интернет-аккаунтов или запросы на повторную аутентификацию, когда вы должны были остаться в системе, что может указывать на попытку злоумышленника захватить учетные данные через поддельную страницу входа.
- Веб-сайты, загружаемые с 'http://' вместо 'https://' в адресной строке, когда вы знаете, что сайт обычно использует защищенные соединения, особенно для банковских, покупательских или почтовых сервисов.
- Незначительные вариации в URL-адресах веб-сайтов, доменных именах или внешнем виде при доступе к знакомым сайтам—например, 'bankofamerica-secure.com' вместо 'bankofamerica.com'—указывающие на то, что трафик был перенаправлен на сервер злоумышленника.
- Письма о подтверждении платежей или операций на банковских счетах за операции, которые вы не авторизовали, поступающие в течение минут или часов после доступа к аккаунтам в открытой Wi-Fi сети, предполагающие, что учетные данные были перехвачены и сразу же использованы.
- Несколько сетей Wi-Fi с идентичными или очень похожими названиями в одном месте (например, три сети с названием 'CoffeeShop_WiFi'), причем одна является поддельной сетью злоумышленника, предназначенной для захвата трафика.
Как защитить себя
- Никогда не получайте доступ к финансовым аккаунтам, не совершайте покупки и не вводите учетные данные при подключении к открытым сетям Wi-Fi; вместо этого используйте сотовое соединение вашего мобильного устройства или ждите, пока вы сможете получить доступ к доверенной частной сети.
- Установите и активируйте авторитетный сервис Virtual Private Network (VPN) на всех устройствах перед подключением к любой открытой или ненадежной сети Wi-Fi—VPN шифрует весь трафик, предотвращая перехватывание даже при подключении к вредоносной сети.
- Убедитесь, что веб-сайты отображают 'https://' с значком замка в адресной строке перед вводом каких-либо чувствительных информаций, и нажмите на замок, чтобы изучить детали сертификата SSL и подтвердить имя легитимной организации.
- Активируйте двухфакторную аутентификацию (2FA) на всех аккаунтах, которые ее поддерживают, особенно на электронной почте, банковских счетах и социальных сетях—даже если злоумышленники перехватят ваш пароль, они не смогут получить доступ к аккаунтам без второго фактора аутентификации.
- Установите расширения браузера, такие как HTTPS Everywhere, которые автоматически обеспечивают зашифрованные соединения с веб-сайтами и предупреждают вас, когда защищенные соединения недоступны или были понижены в статусе.
- Регулярно отслеживайте банковские счета, кредитные карты и онлайн-аккаунты на предмет несанкционированного доступа или операций, устанавливая мгновенные оповещения для всех попыток входа, изменений пароля и финансовых операций выше 1 доллара.
Реальные примеры
Деловой руководитель подключился к сети Wi-Fi аэропорта 'Airport_Premium' в ожидании полета и проверил корпоративную электронную почту для просмотра контрактов. Неизвестно ему, что сеть была поддельной, созданной злоумышленниками. В течение 48 часов преступники использовали его перехваченные учетные данные для отправки писем с его аккаунта в отдел бухгалтерии компании с обновленными инструкциями по переводу средств для незавершенного платежа в размере 47 000 долларов. Платеж был отправлен на счет злоумышленника до того, как мошенничество было обнаружено три дня спустя.
Аспирант регулярно занимался в кофейне и использовал их открытый Wi-Fi для доступа к своему интернет-банкингу для проверки баланса и оплаты счетов. Злоумышленник, проводящий подделку ARP в сети кофейни, перехватил его учетные данные в течение двух недель. Злоумышленник также захватил ответы на его контрольные вопросы, отслеживая его активность в браузере. Используя эту информацию, преступник опустошил его расчетный счет на 8 200 долларов и открыл две кредитные карты на его имя, в результате чего общие убытки составили 15 000 долларов.
Частые вопросы
Как определить, подключён ли я к поддельной Wi-Fi сети или если моё соединение перехватывается?
В чём разница между защищённым HTTPS соединением и тем, которое было скомпрометировано с помощью SSL stripping?
Что делать немедленно, если я подозреваю, что стал жертвой атаки «человек посередине»?
Можно ли восстановить банковский счёт или электронную почту, если учётные данные были украдены через атаку «человек посередине»?
Какие конкретные меры предосторожности следует принимать при использовании публичного Wi-Fi, чтобы защититься от таких атак?
Куда сообщить — Россия
Официальные каналы в вашем регионе для сообщения о мошенничестве.
МВД России — Управление «К»
КиберпреступностьУправление по борьбе с преступлениями в сфере IT. Электронное обращение в МВД.
Госуслуги — заявление в полицию
СообщениеПодача заявления о мошенничестве через портал Госуслуг.
Банк России — приёмная
Финансовый регуляторЖалобы на финансовые пирамиды, нелегальных брокеров, банковское мошенничество.
Считаете, что столкнулись с этим мошенничеством?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), атака типа «человек посередине»: полное руководство по защите is described at https://scamlens.org/ru/encyclopedia/man-in-the-middle-attack.