Phishing, czyli jak nie dać się oszukać w sieci?

Phishing to oszustwo polegające na podszywaniu się pod zaufane osoby, firmy lub instytucje w celu wyłudzenia danych lub pieniędzy. Wysyłają fałszywe wiadomości mailowe, SMS-y lub komunikaty w innych kanałach – masowo lub do konkretnych osób. Sprawdź, co robić, aby nie paść ofiarą oszustów.

Najważniejsze informacje o phishingu

Czym jest phishing? Definicja oraz rodzaje

Phishing polega na wyłudzaniu poufnych danych lub pieniędzy poprzez podszywanie się pod zaufane podmioty. Oszuści budują kopie oficjalnych serwisów internetowych, które przypominają panele logowania np. banków, lub wysyłają tysiące wiadomości z linkami prowadzącymi do fałszywych stron, czekając, aż podasz dane logowania, kody autoryzacyjne lub dane karty. Dopasowują formę wyłudzeń do najpopularniejszych kanałów komunikacji:

Cyberprzestępcy grają na emocjach, wymuszając natychmiastowe reakcje bez czasu na zastanowienie:

Jak rozpoznać phishing w wiadomości e-mail?

Fałszywe maile zawierają często charakterystyczne błędy. Cyberprzestępcy piszą często niepoprawną polszczyzną, używają dziwnych znaków i wywierają nacisk hasłami typu: „Zablokujemy Twoje konto za 2 godziny”. Zwracaj szczególną uwagę na e-mail nadawcy, w którym oszuści sprytnie podmieniają pojedyncze litery w domenie (np. b4nk zamiast bank).

Firmy stosują specjalne zabezpieczenia, które pomagają wykrywać fałszywe maile i je blokować.

• SPF – to lista serwerów, które mają prawo wysyłać wiadomości w imieniu danej firmy. Dzięki temu można sprawdzić, czy mail faktycznie od niej pochodzi.
• DKIM – to specjalny „podpis” dodany do wiadomości, który pozwala sprawdzić, czy jej treść nie została zmieniona po drodze.

Te mechanizmy ograniczają część prób oszustwa, ale nie eliminują ich całkowicie.

Pomimo zabezpieczeń część podrobionych wiadomości może dotrzeć do Twojej skrzynki. Analizuj z uwagą otrzymaną pocztę, przestrzegając poniższych zasad:

• Weryfikuj adres zwrotny – kliknij nazwę nadawcy i upewnij się, że ciąg znaków po symbolu @ całkowicie odpowiada oficjalnej nazwie firmy.
• Badaj zaszyte linki – najedź kursorem myszy na przycisk lub odnośnik bez klikania (adres docelowy wyświetli się na dole ekranu).
• Nie ulegaj presji – skontaktuj się ze swoim bankiem albo inną instytucją, z której wiadomość pozornie otrzymałeś.
• Nie pobieraj żadnych załączników z niepewnych źródeł – pliki mogą być zawirusowane.

Jak wyglądają najgroźniejsze przykłady ataków phishingowych?

Przestępcy łączą różne kanały komunikacji, planując szkodliwe, hybrydowe ataki. Oszust potrafi wysłać ostrzegawczego e-maila, a po kilku minutach wykonać połączenie telefoniczne, podając się za specjalistę do spraw bezpieczeństwa. Takie zsynchronizowanie działań wzbudza zaufanie u ofiary, prowokując do zrobienia tego, czego oczekuje oszust.

Jakie pułapki kryją w sobie współczesne strony phishingowe i jak omijać zaawansowane zagrożenia?

Hakerzy tworzą fałszywe strony internetowe, żeby wykraść hasła użytkowników. Coraz częściej używają tzw. serwerów pośredniczących (reverse proxy), które działają jak niewidzialny „tunel”. Taki serwer stoi między Tobą a prawdziwą stroną i przekazuje dane dalej, dzięki czemu oszust może przechwycić Twoje loginy lub dane sesji.

Wirusy mogą też infekować komputer w tle, wykorzystując błędy w przeglądarce. Istnieje technika (tzw. drive-by download), która powoduje pobranie złośliwego programu już w momencie wejścia na zainfekowaną stronę – bez klikania czegokolwiek.

Dodatkową ochronę dają fizyczne klucze bezpieczeństwa (np. FIDO2/WebAuthn), które sprawdzają, czy strona, na której się logujesz, jest prawdziwa.

Strategie bezpieczeństwa:

• Jeśli logujesz się do ważnych portali, to chroń je przy użyciu fizycznego klucza U2F.
• Jeśli strona płatności wzbudza wątpliwości, to bezwzględnie zrezygnuj ze wpisywania kodu BLIK lub danych karty.
• Jeśli powiadomienie autoryzacyjne na telefonie dotyczy innej operacji niż zlecona przez Ciebie, to odrzuć taką transakcję.

Obecnie wiele kluczy działa już w standardzie FIDO2/WebAuthn, a nie wyłącznie U2F. Dzięki temu możesz ograniczać próby phishingu.

Co zrobić po kliknięciu podejrzanego linka?

Możesz uchronić się przed stratami, nawet jeśli klikniesz podejrzany link:

1. Jeśli podejrzewasz, że przypadkiem pobrałeś złośliwe oprogramowanie, odłącz urządzenie od internetu.
2. Zmień poświadczenia logowania – użyj całkowicie innego komputera do wygenerowania nowych haseł.
3. Skontaktuj się ze wsparciem – zadzwoń do swojego banku i poproś o zablokowanie aplikacji mobilnej oraz wszystkich kart.
4. Zablokuj swój PESEL (w mObywatel) – tym samym wyeliminujesz ryzyko zaciągnięcia pożyczki przez złodziei.

Gdzie zgłosić próbę wyłudzenia danych i jak zabezpieczyć swoją tożsamość?

Fałszywe SMS-y możesz przesłać na krajowy, darmowy numer 8080 należący do analityków Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego (CERT Polska). Spreparowane e-maile i złośliwe witryny zgłaszasz przez oficjalny formularz pod adresem incydent.cert.pl.

FAQ: najczęściej zadawane pytania o phishing

Co to jest phishing i w jaki sposób oszuści kradną nasze pieniądze?

Phishing to metoda kradzieży danych logowania czy pieniędzy, która polega na budowaniu przez oszustów fałszywego wizerunku legalnych firm, banków czy urzędów. Złodzieje wysyłają spreparowane wiadomości ze złośliwymi linkami, nakłaniając do wprowadzenia hasła.

Jak odróżnić fałszywy e-mail od prawdziwej wiadomości bez wiedzy technicznej?

Cyberprzestępcy prawie zawsze próbują wywołać strach i zachęcić do impulsywnych działań. Dokładnie analizuj końcówkę adresu nadawcy i weryfikuj ukryte linki, najeżdżając na nie wyłącznie kursorem myszy.

*Podana informacja nie stanowi oferty Banku w rozumieniu art. 66 § 1 kodeksu cywilnego.

Źródła:

1. https://www.ey.com/pl_pl/insights/consulting/phishing-co-to-jest
2. https://cik.uke.gov.pl/gfx/cik/userfiles/j-dubel/olsztyn/oeiizk/kodowanie_listopad/phishing.pdf
3. https://www.gov.pl/web/baza-wiedzy/czym-jest-phishing-i-jak-nie-dac-sie-nabrac-na-podejrzane-widomosci-e-mail-oraz-sms-y