Verkregen UvAnetID gegevens worden primair gebruikt voor het versturen van grote hoeveelheden SPAM vanuit de UvA. Dit kan tot geval hebben dat:

Transcriptie

1 Over Phishing Inleiding Regelmatig ontvangen UvA-medewerkers en studenten een waarin gevraagd wordt naar UvAnetID gegevens. De afzender doet het voorkomen alsof het verzoek van het afkomstig is. De ontvanger wordt misleid doordat gebruik wordt gemaakt van een herkenbaar afzender-mailadres, zoals bijvoorbeeld Vaak wordt uitbreiding van de box of updaten van inloggevens als reden opgegeven voor het opvragen van UvAnetID gegevens. Deze poging tot fraude staat bekend als phishing en is een vorm van identiteitsfraude. Phishing is voor de eindgebruiker hinderlijk en verwarrend, maar kan ook tot overlast en schade leiden. Kwaadwillenden gebruiken de UvAnetID inloggevens primair om toegang te verkrijgen tot de UvA mailvoorziening om vervolgens grootschalig SPAM de wereld in te sturen. Veel onderwijsinstellingen hebben last van phishing maar ook andere instellingen zoals banken en internetproviders. Bij onderwijsinstellingen speelt mee dat adressen van medewerkers eenvoudig te achterhalen zijn door adresboeken te raadplegen of m.b.v. het doorzoeken van websites. Statistiek In 2009 zijn er 63 phishing incidenten door CERT-UvA geregistreerd. Daarnaast zijn er 21 Identity theft incidenten geregistreerd, doordat UvA medewerkers hebben gereageerd op phishing . De laatste categorie incidenten neemt de laatste maanden wel af. Het aantal phishing s gericht op de UvA neemt niet af. Schade Verkregen UvAnetID gegevens worden primair gebruikt voor het versturen van grote hoeveelheden SPAM vanuit de UvA. Dit kan tot geval hebben dat: Er verstoring optreedt aan de UvAmaildienst doordat de UvA op een of meerdere blacklists komt te staan. Op basis van deze blacklists bepalen veel organisaties of mail wel of niet wordt geblokkeerd. Microsoft (Hotmail) hanteert bijvoorbeeld na een SPAM incident een periode van 72 uur waarin geen enkele aangepakt wordt, die afkomstig is van de SPAM versturende instelling.

2 In de praktijk blijkt dan ook dat na een succesvolle phishing aanval bij de UvA, vaak klachten binnenkomen van UvA gebruikers, omdat de door hen verstuurde mail niet aankomt bij bepaalde organisaties (zoals VU, Hotmail, etc.). Verhoogde belasting op de UvA mailvoorziening die kan leiden tot verslechtering van de performance UvAmail beheer veel tijd kwijt is aan analyse en aan het opschonen van de UvAmail voorziening (verwijderen van nog te versturen SPAM uit de outputqueues) de mailbox van het phishing slachtoffer volloopt met mail replies op de SPAM Maatregelen Gebruikers klagen er soms over waarom er niets aan phishing wordt gedaan of waarom de phishing niet worden geblokkeerd? Zondermeer blokkeren van waar trefwoorden zoals username/password in voorkomen is niet gewenst, omdat het risico op false-positives (zie opmerking hierna) levensgroot is. Een voorbeeld hiervan is een gebruiker die zich bij een dienst aanmeldt (denk aan een webwinkel of bv. de aanvraag van een gastaccount voor UvAdraadloos). De gebruiker ontvangt na aanmelding in veel gevallen een legitieme met daarin vermeld username/password. De UvA doet veel (preventief en reactief) om overlast van phishing te voorkomen of te beperken, maar is daarbij wel zeer terughoudend met het tegenhouden van op basis van inhoud. Preventieve maatregelen Voorlichting Periodiek wordt op de UvAwebsite of in nieuwsbrieven gewaarschuwd tegen phishing . Het onderwerp phishing komt ook onder de aandacht in de beveiligingscampagne Cybersave yourself. SPAM adres filtering De basis SPAM maatregelen (greylisting en blacklisting van notoire SPAM bronnen) die zijn genomen in de UvAmail infrastructuur houden meer dan 80% SPAM en phishing tegen.

3 Extra filterregels zijn toegevoegd die blokkeren op basis van een discutabel afzenderadres (zoals en vanaf adressen die in het verleden zijn gebruikt om phishing te versturen etc.) SPAM content filtering Zodra de UvAmail voorziening een aanpakt treedt het SPAM content filter in werking. Nu wordt ondermeer een statistische analyse gemaakt van de combinatie van een aantal kenmerken m.b.t. de inhoud van de mail en de mate van waarschijnlijkheid dat deze combinatie spam of phishing betreft. Deze methode is niet waterdicht maar vangt een groot deel van de ongewenste berichten af. Er zijn ook kenmerken opgenomen om phishing te herkennen, zoals username en password. Naast de basis set heeft de UvA extra regels toegevoegd die de kans op het detecteren van phishing verhogen. Opmerking: Het SPAM filter kan ten onrechte een mail aanmerken als SPAM (falsepositive). Daarom geldt het principe dat de UvAmail voorziening nooit autonoom SPAM berichten tegenhoudt op basis van inhoud. De binnenkomende wordt voorzien van een SPAM score. Op basis van de SPAM score (SPAM flag) kan de eindgebruiker m.b.v. de client (bv. Outlook) rules definieren. De SPAM rules bepalen wat de eindgebruiker wil met een . De eindgebruiker kan bijvooorbeeld besluiten met een bepaalde SPAM score te verwijderen of op te slaan in een speciale folder (junk ). SPAM filtering is niet waterdicht Toch komt het met regelmaat voor dat phishing door de SPAM filtering glipt. Hier zijn een aantal redenen voor aan te voeren: De spammers/phishers kennen onze verdediging en passen zich daaraan aan De filters zijn niet waterdicht. De SPAM/phishing filters vereisen telkens weer onderhoud (mede door punt 1) vanwege nieuwe berichten. Veel phishing bevat ook geen trefwoorden meer zoals username/password, maar verwijzen naar een webformulier, waar de gebruiker wordt uitgenodigd vertrouwelijke gegevens in te voeren. Eindgebruikers maken geen gebruik van SPAM rules en ontvangen phishing e- mails in de inbox, ondanks dat de SPAM flag actief is.

4 Reactieve maatregelen Eindgebruikers melden regelmatig ontvangst van een phishing bij de servicedesk. De servicedesk registreert de melding en houdt een lijst bij van reeds gesignaleerde phishing s. Nieuwe phishing s worden doorgestuurd aan CERT-UvA inclusief alle mailheaders. CERT-UvA analyseert de en probeert phishing zo snel mogelijk onschadelijk te maken door: het reply-to adres te blokkeren en bovendien de betrokken serviceprovider te informeren en te verzoeken om maatregelen te nemen; in het geval dat in de phishing verwezen wordt naar een webformulier waar het slachtoffer verzocht wordt identiteitsgegevens achter te laten, wordt de desbetreffende webbeheerder op de hoogte gesteld en dringend verzocht het formulier te verwijderen; phishing met een te lage SPAM score door te sturen naar UvAmail beheerders met het verzoek om het SPAM-filter (indien mogelijk) aan te passen. Correctieve maatregelen In het geval dat een eindgebruiker toch UvAnetID gegevens heeft verstrekt wordt z.s.m. diens account geblokkeerd om de schade zoveel mogelijk te beperken. Daarnaast wordt direct actie ondernomen om UvAmail servers die t.g.v. SPAM-runs op blacklists staan z.s.m. weer van de blacklists te (laten) verwijderen. Aanvullende maatregelen Ondanks bovengenoemde maatregelen ondervindt de UvA nog steeds overlast van phisihing . De overlast kan verder worden teruggebracht door: Modernisering van de infrastructuur (Exchange2007/2010) waardoor misbruik van de voorziening eerder gedetecteerd wordt en beperkt wordt. De kwaliteit van het SPAM-filter kan nog worden verbeterd door actiever beheer. Aanpassen van rules op basis van phishing die geen of onvoldoende SPAM score heeft gekregen. Gebruik van de SPAM rules in de (Outlook) mail cliënt is onvoldoende bekend bij de eindgebruiker. Een default instelling van de SPAM rules in de mail cliënt kan mogelijk bijdrage aan het verkleinen van de kans dat een eindgebruiker een phishing tegenkomt.

5 Mogelijk is het zinvol gebruik te maken van op het internet beschikbare lijsten van ongewenste reply-to adressen. Alternatief is om binnen Surfnet-verband de lijst van ongewenste reply-to mailadressen centraal te registreren. Herhaaldelijk blijven voorlichten over phishing , maar ook voorlichting over het belang van het UvAnetID draagt bij aan het terugdringen van het aantal incidenten. Opmerking: Een Universitair Medisch Centrum heeft op initiatief van het lokale CERTteam phishing verstuurd aan haar eigen medewerkers. De bedoeling was om inzicht te verkrijgen in het aantal medewerkers dat zou reageren en om vervolgens de resultaten te gebruiken om de bewustwording te verhogen. Uiteindelijk hebben meer dan 400 medewerkers gereageerd en username/password gegevens achtergelaten. Sinds de actie is het aantal Identity theft incidenten drastisch teruggelopen. De resultaten zijn interessant, maar de actie heeft wel voor veel onrust gezorgd. Het geeft wel aan dat meer instellingen te maken hebben met het fenomeen phishing en hun heil ondermeer zoeken in bewustwording. Over de wijze waarop lopen de meningen uiteen.