What is Phishing?

Co to jest phishing?

Phishing to rodzaj cyberataku, w którym przestępca podszywa się pod zaufaną osobę, firmę lub instytucję, aby nakłonić odbiorcę do wykonania niebezpiecznego działania. Najczęściej chodzi o podanie hasła, danych osobowych, numeru karty płatniczej, kodu autoryzacyjnego albo innych informacji pozwalających przejąć konto lub ukraść pieniądze.

Phishing jest formą inżynierii społecznej. Atakujący nie zawsze próbuje przełamać zabezpieczenia systemu za pomocą specjalistycznego programu. Często skupia się na człowieku i wykorzystuje jego zaufanie, pośpiech, ciekawość, strach albo chęć otrzymania korzyści.

Wiadomość phishingowa może wyglądać jak korespondencja od banku, firmy kurierskiej, urzędu, dostawcy hostingu, administratora poczty, sklepu internetowego, współpracownika lub przełożonego. Może informować o zablokowanym koncie, niedopłacie, zwrocie pieniędzy, nieodebranej przesyłce, wygasającej domenie albo konieczności pilnego potwierdzenia danych.

Phishing nie ogranicza się do poczty elektronicznej. Ataki mogą być prowadzone przez SMS-y, komunikatory, media społecznościowe, rozmowy telefoniczne, reklamy w wyszukiwarkach, fałszywe kody QR, a nawet wiadomości wysłane z przejętego konta znajomego lub kontrahenta.

Jak działa phishing?

Atak phishingowy zwykle zaczyna się od przygotowania wiarygodnego pretekstu. Przestępca wybiera markę, instytucję lub osobę, pod którą chce się podszyć. Następnie tworzy wiadomość albo stronę internetową przypominającą prawdziwy serwis.

Typowy atak przebiega w kilku etapach:

1. Podszycie się pod zaufanego nadawcę. Oszust wykorzystuje nazwę firmy, jej logo, kolory, stopkę wiadomości, dane pracownika lub adres podobny do prawdziwego.
2. Wywołanie emocji. Wiadomość może straszyć utratą dostępu do konta, naliczeniem opłaty lub zablokowaniem usługi. Innym razem obiecuje nagrodę, zwrot podatku albo atrakcyjną ofertę.
3. Nakłonienie do działania. Odbiorca ma kliknąć link, zeskanować kod QR, otworzyć załącznik, zadzwonić pod wskazany numer, wykonać przelew lub podać dane.
4. Przejęcie informacji albo urządzenia. Dane wpisane na fałszywej stronie trafiają do przestępcy. Załącznik może natomiast instalować złośliwe oprogramowanie.
5. Wykorzystanie zdobytego dostępu. Atakujący może zalogować się do poczty, bankowości, sklepu, panelu strony lub firmowego systemu. Może również rozsyłać kolejne wiadomości w imieniu ofiary.

Phishing bywa początkiem większego ataku. Przejęta skrzynka może posłużyć do podszywania się pod firmę, zmiany numeru rachunku na fakturze, kradzieży dokumentów albo rozesłania zainfekowanych załączników do klientów.

Jakie są rodzaje phishingu?

• Phishing e-mailowy – To najbardziej rozpoznawalna odmiana ataku. Odbiorca otrzymuje wiadomość przypominającą korespondencję od znanej firmy lub instytucji. E-mail zawiera link do fałszywej strony, niebezpieczny załącznik albo prośbę o przesłanie poufnych informacji. Wiadomość może zostać wysłana do tysięcy przypadkowych osób. Oszuści liczą na to, że przynajmniej część odbiorców korzysta z usługi, pod którą się podszywają.
• Spear phishing jest atakiem skierowanym do konkretnej osoby, firmy albo zespołu. Wiadomość może zawierać prawdziwe imię odbiorcy, nazwę stanowiska, informacje o projekcie, dane kontrahenta lub inne szczegóły znalezione w internecie. Dzięki personalizacji atak wygląda bardziej wiarygodnie niż masowa wiadomość. Przestępca może na przykład podszyć się pod przełożonego i poprosić pracownika księgowości o wykonanie pilnego przelewu.
• Whaling – to odmiana spear phishingu kierowana do osób zajmujących wysokie stanowiska, np. właścicieli firm, członków zarządu, dyrektorów lub osób mających dostęp do finansów i poufnych informacji. Wiadomości tego typu często dotyczą ważnej umowy, płatności, dokumentu prawnego albo poufnej decyzji biznesowej.
• Smishing – to phishing prowadzony przez wiadomości SMS. Przestępca może informować o niedopłacie za paczkę, mandacie, zaległej fakturze, problemie z kontem albo konieczności potwierdzenia tożsamości. Link umieszczony w SMS-ie prowadzi zwykle do fałszywej strony płatności lub logowania. Szczególnie niebezpieczna jest presja czasu, np. groźba naliczenia kary w ciągu kilku godzin.
• Vishing wykorzystuje rozmowę telefoniczną lub wiadomość głosową. Oszust może przedstawić się jako pracownik banku, policjant, konsultant operatora albo członek działu IT. Atakujący próbuje przekonać rozmówcę, że jego pieniądze lub konto są zagrożone. Następnie prosi o podanie kodu, instalację aplikacji, wykonanie przelewu albo przekazanie danych logowania. Numer wyświetlany na ekranie telefonu nie zawsze potwierdza tożsamość rozmówcy. Może zostać sfałszowany za pomocą techniki określanej jako spoofing.
• Quishing to phishing wykorzystujący kod QR. Po jego zeskanowaniu użytkownik trafia na stronę służącą do wyłudzania danych. Kod może znajdować się w e-mailu, dokumencie PDF, ulotce, na parkomacie albo naklejce umieszczonej na oryginalnym kodzie. Ponieważ adres strony nie jest od razu widoczny, odbiorcy trudniej ocenić, dokąd prowadzi odnośnik.
• Clone phishing – W tym przypadku oszust kopiuje prawdziwą wiadomość, którą odbiorca mógł wcześniej otrzymać. Zachowuje jej wygląd i treść, ale podmienia link lub załącznik na niebezpieczny. Wiadomość może zostać przedstawiona jako ponowne wysłanie dokumentu, poprawiona faktura albo aktualna wersja pliku.
• Phishing w mediach społecznościowych i komunikatorach – Atak może rozpocząć się od wiadomości wysłanej przez przejęte konto znajomego. Przestępca prosi o szybką pożyczkę, zagłosowanie w konkursie, podanie kodu lub otwarcie linku. Podobne wiadomości pojawiają się również na firmowych komunikatorach. Oszust może udawać pracownika, klienta, rekrutera albo osobę odpowiedzialną za obsługę techniczną.

Jak rozpoznać wiadomość phishingową?

Nie istnieje jedna cecha, która zawsze potwierdza oszustwo. Najlepiej oceniać kilka elementów jednocześnie. Szczególną ostrożność powinny wzbudzić:

• presja czasu i żądanie natychmiastowego działania,
• groźba zablokowania konta, skrzynki, domeny lub usługi,
• informacja o niespodziewanej nagrodzie, nadpłacie albo zwrocie pieniędzy,
• prośba o hasło, kod autoryzacyjny, dane karty lub numer PESEL,
• nietypowy adres nadawcy,
• link prowadzący do innej domeny niż oficjalna,
• załącznik, którego się nie spodziewasz,
• prośba o zmianę numeru rachunku na fakturze,
• żądanie zachowania wiadomości w tajemnicy,
• nietypowa forma kontaktu ze strony przełożonego lub kontrahenta,
• skrócony adres URL, który ukrywa stronę docelową,
• kod QR przesłany bez jasnego uzasadnienia,
• prośba o instalację programu do zdalnego pulpitu.

Dawniej błędy językowe i nienaturalne zdania były częstym znakiem ostrzegawczym. Obecnie nie można na nich polegać. Wiadomości przygotowane przy użyciu narzędzi AI mogą być poprawne, naturalne i dobrze dopasowane do odbiorcy. Warto także sprawdzić pełny adres e-mail. Nazwa wyświetlana w polu nadawcy może wyglądać prawidłowo, mimo że wiadomość została wysłana z obcej domeny.

Jak prawidłowo sprawdzić domenę i link?

Przestępcy często rejestrują adresy przypominające domenę znanej firmy. Mogą zamienić jedną literę, dodać myślnik, użyć innego rozszerzenia albo umieścić nazwę marki w subdomenie.

W adresie:

bank.pl.logowanie.example

właściwą domeną jest example, a nie bank.pl. Fragment znajdujący się na początku adresu ma jedynie wzbudzić zaufanie.

Przed kliknięciem:

• najedź kursorem na link i sprawdź adres widoczny w przeglądarce,
• na telefonie przytrzymaj link, aby zobaczyć jego podgląd,
• sprawdź literówki, dodatkowe znaki i nietypowe rozszerzenia,
• nie sugeruj się wyłącznie nazwą umieszczoną na przycisku,
• nie loguj się przez odnośnik otrzymany w niespodziewanej wiadomości.

Bezpieczniej jest samodzielnie wpisać znany adres usługi w przeglądarce albo skorzystać z zapisanej zakładki. Status usługi, płatności lub domeny najlepiej sprawdzać bezpośrednio w panelu operatora.

Jak chronić się przed phishingiem?

Korzystaj z unikalnych i silnych haseł

Każde ważne konto powinno mieć inne hasło. Dzięki temu wyciek danych z jednego serwisu nie pozwoli przestępcy zalogować się do poczty, bankowości i panelu strony.

W tworzeniu oraz przechowywaniu długich, losowych haseł pomaga menedżer haseł. Hasło należy zmienić natychmiast, gdy istnieje podejrzenie, że zostało ujawnione lub przechwycone.

Włącz dodatkowe uwierzytelnianie

Dwuskładnikowe uwierzytelnianie utrudnia przejęcie konta po kradzieży hasła. Warto włączyć je przede wszystkim dla poczty, bankowości, panelu domeny, hostingu, sklepu internetowego i kont administracyjnych.

Tam, gdzie jest to możliwe, warto wybierać aplikację uwierzytelniającą, klucz sprzętowy lub passkey. Trzeba jednak pamiętać, że niektóre zaawansowane strony phishingowe próbują przechwytywać również kody jednorazowe albo aktywne sesje. Dlatego nadal należy dokładnie sprawdzać domenę.

Nie potwierdzaj nietypowych próśb tym samym kanałem

Jeżeli wiadomość dotyczy pilnego przelewu, zmiany rachunku, przekazania dokumentów lub podania danych, skontaktuj się z nadawcą w inny sposób. Zadzwoń na znany numer albo rozpocznij nową rozmowę, zamiast odpowiadać bezpośrednio na podejrzaną wiadomość.

W firmie warto wprowadzić zasadę, zgodnie z którą zmiana numeru konta bankowego lub pilna płatność musi zostać potwierdzona przez drugą osobę.

Aktualizuj urządzenia i aplikacje

System operacyjny, przeglądarka, program pocztowy, wtyczki oraz aplikacje powinny być regularnie aktualizowane. Dzięki temu otwarcie złośliwego pliku lub strony ma mniejszą szansę doprowadzić do wykorzystania znanej luki.

Uważaj na załączniki

Nie otwieraj plików, których się nie spodziewasz, nawet jeśli wiadomość wygląda jak wysłana przez znajomą osobę. Szczególną ostrożność zachowaj wobec archiwów ZIP i RAR, plików wykonywalnych, dokumentów wymagających włączenia makr oraz rzekomych faktur przesłanych z nieznanego adresu.

Załącznik może instalować m.in. keylogger, który zapisuje wpisywane znaki, albo ransomware, które szyfruje dane i żąda okupu.

Jak firma może ograniczyć phishing wykorzystujący jej domenę?

Właściciel domeny nie może całkowicie powstrzymać przestępców przed kopiowaniem logo czy wyglądu strony. Może jednak utrudnić podszywanie się pod firmową pocztę i ograniczyć skutki ataku.

Warto wdrożyć mechanizmy uwierzytelniania poczty:

• SPF wskazuje serwery uprawnione do wysyłania wiadomości z domeny,
• DKIM dodaje do wiadomości podpis kryptograficzny,
• DMARC określa sposób postępowania z wiadomościami, które nie przejdą weryfikacji, i umożliwia otrzymywanie raportów.

Mechanizmy te pomagają ograniczać bezpośrednie fałszowanie domeny nadawcy. Nie blokują jednak wszystkich ataków. Przestępca nadal może zarejestrować podobny adres albo włamać się na prawdziwe konto.

Dostęp do panelu rejestratora i hostingu powinien być zabezpieczony dodatkowym uwierzytelnianiem. Należy także ograniczyć liczbę kont administracyjnych, usuwać nieużywane dostępy oraz regularnie sprawdzać, kto może zarządzać DNS-em, pocztą i stroną.

Gdzie zgłosić phishing?

Podejrzane strony internetowe, wiadomości e-mail i inne incydenty można zgłosić do CERT Polska przez formularz dostępny pod adresem incydent.cert.pl.

Podejrzany SMS można przekazać na bezpłatny numer 8080. Najlepiej przesłać całą otrzymaną wiadomość. Zgłoszenia są również dostępne w aplikacji mObywatel w usłudze Bezpiecznie w sieci.

Zgłoszenie może pomóc w umieszczeniu fałszywej strony na liście ostrzeżeń i ochronie kolejnych użytkowników.

Jeśli phishing wykorzystuje wizerunek konkretnej firmy, warto poinformować również jej dział bezpieczeństwa lub obsługę klienta. Nie należy korzystać z numeru telefonu ani adresu podanego w podejrzanej wiadomości. Dane kontaktowe trzeba znaleźć samodzielnie na oficjalnej stronie.