Phishing - co to jest?
W dobie cyfryzacji niemal każdej dziedziny życia narażeni jesteśmy na różnego rodzaju ataki ze strony cyberprzestępców. Jeśli chcemy korzystać bezpiecznie z wygodnych rozwiązań, jakie daje nam sieć internetowa, warto zdobywać wiedzę na temat potencjalnych zagrożeń i stale ją aktualizować. Jednym takich zagrożeń jest phishing. Polega on na wyłudzaniu wrażliwych danych, np. danych do logowania do skrzynki mailowej czy do bankowości internetowej. Jak to się odbywa?Skojarzenie phishingu z angielskim słowem fishing (łowienie ryb) nie jest tutaj przypadkowe. Cyberprzestępcy zarzucają przynętę, licząc na to, że im zaufasz i podasz dane, na jakie liczą. Często przybiera ona postać SMSów, maili czy wiadomości w social mediach, których autorami rzekomo są na przykład znane nam osoby bądź instytucje. W wiadomościach znajduje się link. Kliknięcie w niego może mieć swoje konsekwencje.
Rodzaje phishingu
Istnieje kilka typów phishingu. Pierwszy z nich to tzw. spear phishing. Cyberprzestępcy obserwują przez jakiś czas swoją ofiarę (osobę lub instytucję) i gromadzą dane na jej temat. Następnie przygotowują specjalnie dostosowaną pod nią wiadomość. Często jest ona mocno spersonalizowana tak, aby ofiara nie spostrzegła niczego podejrzanego, np. zawiera imię danej osoby. Niestety wiele prób ataku tego typu kończy się dla cyberprzestępców powodzeniem. Najczęstsze przykłady spear phishingu to mail z wiadomością od znajomego lub kolegi z pracy, np. z prośbą o zrobienie przelewu w jakiejś sytuacji kryzysowej. Może to być też mail sugerujący, że zawiera np. śmieszny filmik, przesłany z fałszywego adresu mailowego, podszywającego się pod kogoś, kogo znamy. Tymczasem w linku mogą znajdować się np. tzw. trojany, czyli wirusy instalujące na naszym komputerze oprogramowanie szpiegujące, dzięki czemu przestępcy mogą przechwycić ważne informacje. Cyberprzestępcy podszywają się również pod banki, przekierowując klientów na fałszywe strony, np. oferując wyjątkowo korzystną ofertę lokaty czy kredytu.Clone phishing może wystąpić w sytuacji, gdy cyberprzestępca otrzymuje dostęp do poczty e-mail swojej ofiary. Następnie kopiuje ją i zmienia w niej jeden element tak, aby móc wyłudzić dane bądź przejąć czyjeś środki. W tym celu dokonuje podmiany załącznika lub linku w mailu, który pochodzi od wiarygodnej i znanej nam instytucji. Jeśli na poczcie e-mail przechowujemy rachunek za telefon w formacie PDF, przestępca może łatwo podmienić np. numer konta, na które przelewamy opłatę. W innej wersji przestępca może dostać dostęp do mediów społecznościowych i przez wiadomości prywatne np. wyłudzić pieniądze od znajomych ofiary.
Jeszcze innym powszechnym rodzajem phishingu jest whaling. O ile phishing przywodzi na myśl łowienie ryb, o tyle whaling znaczy już tyle, co wielorybnictwo, a w wolnym tłumaczeniu mogłoby to być polowanie na grubego zwierza. A wszystko dlatego, że wymierzony jest w przedstawicieli biznesu i osoby decyzyjne w różnego typu instytucjach. Sfałszowany mail może podszywać się np. pod instytucję państwową, a zawarty w nim załącznik może instalować złośliwe oprogramowanie na komputerze ofiary.
Kilka popularnych przykładów phishingu
W ostatnich latach coraz popularniejszą metodą cieszy się smishing. Chodzi o wysyłanie wiadomości SMS do szerszego grona odbiorców. Tego typu wiadomości zawierają zazwyczaj link. Może on przekierowywać do strony, na której zostaniemy poproszeni o podanie naszych wrażliwych danych jak np. numer karty bankowej. Smishingowcy podszywają się zazwyczaj pod często oferowane usługi, jak chociażby firmy kurierskie czy sieci sklepów. Nierzadko wysyłane są także wiadomości tekstowe z prośbą o podanie swojego hasła dla wskazanego przez cyberprzestępcę konta social mediowego.Próby wyłudzenia danych mogą pochodzić z różnych źródeł i trudno przewidzieć, pod kogo podszyją się przestępcy. Zanim otworzymy wiadomość, powinniśmy pamiętać, że ataki phishingowe mogą podszywać się nie tylko pod popularnych usługodawców, jak firmy kurierskie, portale z aukcjami online, operatorzy telefonii czy dostawcy energii elektrycznej. Każda wiadomość zawierająca link powinna wzmóc naszą czujność.
Jak się uchronić przed phishingiem
Aby uchronić swoje pieniądze oraz dane przed atakiem phishingowym, należy z dużą rozwagą klikać w linki, jakie otrzymujemy w wiadomościach SMS, e-mail, w komunikatorach internetowych czy w postach znajomych wyświetlających się na portalach społecznościowych. Gdy podajemy nasze dane - np. uzupełniamy numer karty w formularzu na stronie - powinniśmy sprawdzić adres URL - czy być może nie zawiera skomplikowanych kodów czy kombinacji cyfr. Należy również ostrożnie otwierać wszelkiego rodzaju załączniki. Powinniśmy być także bardzo ostrożni, gdy odzywa się do nas ktoś z prośbą o pieniądze. Upewnijmy się, korzystając np. z innego kanału komunikacji, że faktycznie jest to ta osoba. Nie powinniśmy przekazywać żadnych danych do płatności ani też środków finansowych, gdy nie mamy pewności co do tożsamości danej osoby. W sytuacji, gdy nieopatrznie podaliśmy informacje płatnicze, należy możliwie szybko zablokować kartę.Co jeszcze warto robić i jak uchronić swoje dane osobowe w internecie? Przede wszystkim nie zwlekać z instalacją aktualnego oprogramowania antywirusowego na naszym komputerze lub regularnej aktualizacji systemu operacyjnego. Korzystajmy z uwierzytelniania dwuetapowego przy logowaniu do kont zawierających wrażliwe dane na nasz temat. Kolejną kwestią jest regularna zmiana haseł. Ponadto dobrą praktyką okaże się regularne odwiedzanie wiarygodnych portali prezentujących informacje na temat bezpieczeństwa w sieci. Posiadanie aktualnej wiedzy to dodatkowa warstwa ochronna przed phishingiem. A jeśli podejrzewamy, że mogliśmy się stać ofiarą phishingu, poinformujmy o tym specjalną jednostkę do walki z cyberprzestępczością - CERT.
Powrót do bloga