Liczba prób oszustw phishingowych – czyli ataków z użyciem masowych wysyłek maili, których celem jest skłonienie osoby np. do ujawnienia swoich poufnych danych, a nawet do dokonania przelewu na konto oszusta – ma charakter sezonowy i wyraźnie rośnie w miesiącach letnich. To zdanie ponad połowy z 1000 specjalistów ds. bezpieczeństwa niedawno przebadanych przez firmę Lastline. Wyniki tego badania potwierdza choćby niedawny masowy atak na użytkowników Fakturowania.pl czy obserwacja własnej skrzynki mailowej.
Atak latem z psychologicznego punktu widzenia ma dużo sensu, bo jest to pora, kiedy to większość z nas jest bardziej rozluźniona, przebywając na wakacjach i urlopach. Otrzymanie wówczas maila, który w tytule zawiera nasze hasło dostępowe do skrzynki mailowej, a w treści stwierdzenie, że nasz komputer został zhakowany i jeśli nie zapłacimy okupu, to zostanie rozpowszechnione nagranie pokazujące nas w trakcie oglądania filmu pornograficznego, może wywołać kołatanie serca. W 99 przypadkach na 100 będzie to jednak wyrafinowana próba oszustwa.
„Oszuści zdobywają zwykle hasła i powiązane z nimi adresy e-mail przez ataki na różne serwisy internetowe. Jako że wiele osób stosuje to samo hasło do różnych serwisów, w niektórych przypadkach oszust faktycznie trafia w punkt, a widok naszego hasła logowania do komputera czy skrzynki pocztowej uwiarygodnia jednocześnie wszytko inne, co napisał w swoim mailu. To jednak manipulacja, której celem jest skłonienie nas do przelania pieniędzy oszustowi” – tłumaczy Elżbieta Kornaś, Brand Director w serwisie Domeny.pl.
Najczęstsze metody ataków phishingowych
Według przedstawicielki Domeny.pl, liczba takich wyrafinowanych prób phishingu – wykorzystujących wykradzione hasła i stosujących różne socjotechniki do wyłudzenia pieniędzy – w ostatnim czasie wzrosła w bardzo znaczący sposób. Jeszcze częściej wykorzystywaną przez oszustów metodą ataku phishingowego – wedle zestawienia przygotowanego przez serwis i upublicznionego na blogu firmowym – jest tzw. „spoofing”.
„Polega on na podszywaniu się atakującego pod domeny lub witryny internetowe. Podobną metodę zastosowano do niedawnego ataku na użytkowników serwisu Fakturownia.pl. Celem ataku było przejęcie danych do logowania” – mówi Elżbieta Kornaś.
Serwis Domeny.pl do grona najczęściej stosowanych metod ataków phishingowych zaliczył także:
- klonowanie maili – w tym przypadku oszuści wykorzystują legalne wiadomości, które ofiara mogła już otrzymać w przeszłości, i na tej podstawie tworzą ich złośliwą wersję. Wiadomość wysyłana jest z adresu e-mail, który wygląda na prawdziwy. Wszelkie linki lub załączniki w oryginalnej wiadomości e-mail są zamieniane na złośliwe. Cyberprzestępcy często podają jako powód takiej wysyłki konieczność ponowienia poprzedniej wiadomości ze względu na rzekome problemy z linkiem lub załącznikiem;
- Evil Twin – atak złych bliźniaków jest formą phishingu z wykorzystaniem Wi-Fi. Cyberprzestępca tworzy hotspot Wi-Fi, który wygląda jak prawdziwy. Gdy użytkownicy się łączą, atakujący może podsłuchiwać ruch sieciowy i kraść nazwy kont, hasła oraz wyświetlać wszelkie załączniki, do których użytkownik uzyskuje dostęp, gdy jest połączony z zaatakowanym hotspotem. Takie oszustwo często jest stosowane w miejscach publicznych, jak kawiarnie czy centra handlowe;
- HTTPS Phishing – atak tą metodą polega na wysłaniu wiadomości e-mail zawierającej tylko link w treści wiadomości, co utrudnia filtrowanie tego typu wiadomości phishingowych. Wymaga to od odbiorcy skopiowania i wklejenia adresu URL do paska adresu internetowego, a żeby do tego zachęcić atakujący używają różnych taktyk socjotechnicznych;
- Smishing – forma phishingu, która wykorzystuje wiadomości SMS ze złośliwym adresem URL. Przykładem takich wiadomości są np. te, w których adresat podszywa się pod operatora telekomunikacyjnego, a już samo kliknięcie na link aktywuje płatną usługę.
Jak się bronić przed phishingiem?
Według firmy Domeny.pl, ochrona przed takimi atakami wymaga wielowymiarowego podejścia. Jedną ze skuteczniejszych metod ochrony jest stosowanie menedżera bezpiecznych haseł, który umożliwia posiadanie i używanie złożonych oraz bezpiecznych haseł dla każdego konta, bez konieczności zapamiętywania ich wszystkich.
Warto także włączyć uwierzytelnianie dwuskładnikowe (2FA), co wymaga wykonania dwóch następujących czynności – np. podania hasła i dodatkowego uwierzytelniania innym urządzeniem (np. aplikacją mobilną lub osobistym tokenem) albo samym sobą (np. danymi biometrycznymi, jak skanowanie siatkówki czy odcisk palca). Użyteczne jest też korzystanie z systemu sprawdzania poprawności poczty e-mail, który umożliwia menedżerom domen autoryzowanie określonych hostów do korzystania z domeny.
„Nie należy również zapominać o VPN, czyli wirtualnej sieci prywatnej. Jest to metoda połączenia służąca do zwiększenia bezpieczeństwa oraz prywatności sieci prywatnych i publicznych, takich jak hotspoty Wi-Fi. Wirtualne sieci prywatne są najczęściej wykorzystywane przez korporacje do ochrony wrażliwych danych. Jednak korzystanie z osobistego VPN staje się coraz bardziej popularne, gdy używamy publicznego dostępu do internetu. Sieci VPN wykorzystują zaawansowane protokoły szyfrowania i techniki bezpiecznego tunelowania w celu hermetyzacji wszystkich transferów danych online” – tłumaczy Elżbieta Kornaś.
Zdaniem Kornaś, dobrą praktyką jest także korzystanie z bezpiecznych i zaszyfrowanych stron internetowych, najlepiej certyfikatem z zielonym paskiem, gdzie weryfikowany jest podmiot, dla którego certyfikat został wydany. Certyfikaty SSL/TLS chronią dane przesyłane między witryną a przeglądarkami użytkowników końcowych. Można także zacząć korzystać z tzw. certyfikatów S/MIME do podpisywania wiadomości email. Używają one bezpiecznych i wielofunkcyjnych rozszerzeń poczty internetowej do szyfrowania treści naszych e-maili, w tym wszelkich załączników, a także do cyfrowego podpisywania naszej komunikacji.