Czym jest phishing? Definicja i mechanizm wyłudzenia poufnych informacji
Najprostsza definicja phishingu mówi o metodzie oszustwa, w której przestępca podszywa się pod inną osobę lub instytucję w celu wyłudzenia poufnych informacji.
Nazwa pochodzi od angielskiego słowa fishing (łowienie, wędkarstwo) i z tym dokładnie się kojarzy, bo oszuści zarzucają „przynętę”, czekając, aż ofiara połknie haczyk i ujawni chronione dane. To zjawisko nie jest nowe, ale ataki phishingowe stają się coraz częstsze i coraz bardziej zawoalowane.
Mechanizm działania ataków phishingowych jest perfidny. Chodzi o doprowadzenie do ujawnienia poufnych informacji, takich jak hasła, numery kart kredytowych czy dane do logowania do bankowości internetowej. Oszust nie chce sforsować Twojego firewalla, Ty masz „dobrowolnie” otworzyć drzwi.
Jak zauważają twórcy jednego z raportów bezpieczeństwa: „Najsłabszym ogniwem w łańcuchu cyberbezpieczeństwa nie jest oprogramowanie, lecz człowiek i jego naturalna skłonność do zaufania”.
To zdanie idealnie oddaje istotę problemu – phishing to atak na nasze emocje, a nie na nasze urządzenia.
Przeczytaj również:
TikTok – czy jest bezpieczny dla dzieci? Od kiedy TikTok dla dziecka?
Jak rozpoznać phishing?
Jak działają sprawcy, którzy za pomocą metody phishingu chcą uzyskać dostęp do Twoich kont? Atak zaczyna się najczęściej od otrzymania wiadomości e-mail, która na pierwszy rzut oka nie budzi zastrzeżeń – logotypy się zgadzają, stopka jest poprawna, nawet ton tekstu wydaje się znajomy.
Wiadomość informuje o rzekomym problemie, np. nieudanej płatności za Netflixa czy konieczności weryfikacji danych na portalu aukcyjnym. Głównym celem jest jednak skierowanie Cię na fałszywą stronę. Klikasz w link (czego nigdy nie wolno robić pochopnie!) i trafiasz na witrynę, która do złudzenia przypomina panel logowania Twojego banku lub serwisu społecznościowego.
Wpisujesz swoje dane logowania i w tym momencie, zamiast wejść na swoje konto, wysyłasz hasło bezpośrednio na serwer przestępcy. To klasyczna kradzież danych, która często kończy się natychmiastowym czyszczeniem Twoich kont bankowych.
Z socjotechniką – sztuką manipulacji – trudno się walczy. Oszuści podszywają się pod instytucje finansowe, operatorów telekomunikacyjnych czy sklepy internetowe, bo wiedzą, że im ufamy. Wykorzystują mechanizm autorytetu i lęku. Wiadomość wydaje się być pilna, a to często wyłącza u nas racjonalne myślenie.
Często otrzymujemy fałszywe powiadomienia o przesyłce od firmy kurierskiej. Przykład: „Twoja paczka została wstrzymana z powodu niedopłaty 1,50 zł”. Kwota jest śmiesznie niska, więc klikamy (nawet jeżeli wcale nie spodziewamy się żadnej przesyłki). Wpisując dane kart kredytowych na fałszywej stronie, dajemy oszustowi dostęp do wszystkich informacji zapisanych w naszym telefonie lub komputerze. To podręcznikowy przykład, jak w celu osiągnięcia korzyści majątkowej przestępcy grają na naszej codziennej rutynie i roztargnieniu.
Przeczytaj również:
Cyberprzemoc – co to jest, rodzaje, skutki, jak reagować?
Rodzaje phishingu: nie tylko e-mail
Mylisz się, jeśli myślisz, że zagrożenie czyha tylko w Twojej skrzynce odbiorczej. Oszuści są kreatywni. Atakują za pośrednictwem komunikatorów, w mediach społecznościowych, a nawet przez tradycyjne połączenia telefoniczne. Każda z tych metod ma swoją nazwę i specyfikę, ale cel pozostaje ten sam: kradzież tożsamości i dostęp do Twoich pieniędzy.
Spear phishing
W przeciwieństwie do masowych kampanii, spear phishing to „chirurgiczne cięcie” poprzedzone researchem o Twojej pracy i znajomych. Oszust może podszyć się pod szefa, przesyłając wiadomość z prośbą o pilne podanie poufnych informacji dotyczących nowej umowy. To najbardziej niebezpieczna, ukierunkowana forma phishingu – zawsze weryfikuj takie prośby telefonicznie.
Smishing
SMS phishing (smishing) wykorzystuje fakt, że reagujemy odruchowo. Otrzymujesz wiadomości tekstowe o blokadzie konta lub o paczce, a kliknięcie w link prowadzi do instalacji złośliwego oprogramowania lub kradzieży danych bankowych.
Vishing
Voice phishing opiera się na manipulacji głosowej. Przestępca podszywa się pod pracownika banku (często stosując spoofing – technika cyberataków polegająca na podszywaniu się pod inną osobę, firmę lub instytucję poprzez fałszowanie danych identyfikacyjnych – by wyświetlić prawdziwy numer instytucji) i pod pretekstem weryfikacji wykonania przelewu wymusza dane logowania. Pamiętaj jednak, że bank nigdy nie prosi o hasło przez telefon.
Whaling
To odmiana spear phishingu celująca w „grube ryby” – prezesów i dyrektorów, czyli kadrę zarządzającą. Przygotowanie ataku trwa miesiącami, a stawką jest ujawnienie wrażliwych informacji o fuzjach lub wymuszenie gigantycznych przelewów.
Quishing
Nowoczesne oszustwo internetowe, w którym skanujesz kod QR (np. w restauracji), a Twoja przeglądarka internetowa otwiera fałszywe strony internetowe. Zamiast zapłacić za usługę, przekazujesz dane swoich kart kredytowych prosto w ręce złodziei.
Przeczytaj również:
Seksting – co to jest? Seksting jako zagrożenie dla młodzieży
Jak się bronić? Włącz uwierzytelnianie dwuskładnikowe i chroń wrażliwe informacje
Obrona przed phishingiem to nie tylko technologia, to przede wszystkim zmiana nawyków. Najważniejszą rzeczą, jaką możesz zrobić dzisiaj – zaraz po przeczytaniu tego tekstu – włącz uwierzytelnianie dwuskładnikowe. To Twoja tarcza. Nawet jeśli oszust zdobędzie Twoje hasło, nie wejdzie na konto bez drugiego składnika (kodu z aplikacji, SMS-a lub klucza sprzętowego). Uwierzytelnianie dwuskładnikowe (2FA) to absolutny standard higieny cyfrowej.
Zasady, które pomogą Ci nie zostać złapanym na wędkę przez oszustów internetowych
Zawsze sprawdzaj adres strony – patrz uważnie w pasek przeglądarki. Czy to na pewno mojbank.pl, a nie mojbaank.pl?
Stosuj zasadę ograniczonego zaufania – każda prośba o podanie loginu czy wrażliwych informacji przez telefon lub mail powinna być zweryfikowana.
Używaj menedżera haseł – on nie wpisze Twojego hasła na fałszywej stronie, bo jej po prostu nie rozpozna.
Regularnie aktualizuj system operacyjny i oprogramowanie. Łatki bezpieczeństwa zamykają luki, które wykorzystują hakerzy.
Posiadaj porządne oprogramowanie antywirusowe. Dobry program antywirusowy ostrzeże Cię, gdy spróbujesz wejść na niebezpieczną witrynę.
Nigdy nie otwieraj podejrzanych załączników (często zawierają one złośliwe oprogramowanie).
Unikaj logowania się do kont bankowych przez publiczne sieci Wi-Fi.
Co zrobić, gdy padłeś ofiarą phishingu?
Stało się. Dałeś się nabrać. Co teraz? Przede wszystkim nie panikuj, ale działaj natychmiast. Każda sekunda ma znaczenie.
Jeśli padłeś ofiarą phishingu, pierwszym krokiem jest skontaktowanie się z bankiem. Zablokuj karty, zmień dostęp do aplikacji mobilnej i zgłoś incydent. Następnie zmień hasła we wszystkich serwisach, w których używałeś tych samych danych (choć mamy nadzieję, że używasz unikalnych haseł!). Jeśli doszło do kradzieży tożsamości, musisz zgłosić sprawę na policję i do serwisu CERT Polska.
Bycie ofiarą phishingu to nie powód do wstydu – to sygnał, że oszuści byli tego dnia wyjątkowo skuteczni. Wyciągnij lekcję, aktualizuj oprogramowanie i opowiedz o tym bliskim. Edukacja to nasza najsilniejsza broń. Wiadomości phishingowe zalewają naszą pocztę elektroniczną, a dzwoniący do Ciebie oszuści są coraz lepiej przygotowani. Jedyną pewną rzeczą jest Twoja czujność. Bądź podejrzliwy wobec każdej prośby o Twoje dane i nigdy, przenigdy, nie klikaj w linki pochodzące z nieznanego źródła.
Najbardziej narażeni – jak chronić seniorów przed phishingiem?
Jeśli myślisz, że Ty masz trudności z odróżnieniem prawdy od cyfrowego kłamstwa, co mają powiedzieć Twoi rodzice czy dziadkowie? Oni w większości dorastali w świecie, gdzie list polecony był szczytem formalności, a głos w słuchawce zawsze należał do osoby o dobrych intencjach. Seniorzy – nasi rodzice i dziadkowie – są dla grup przestępczych „złotym Graalem”.
Jak realnie możesz pomóc, aby przestrzec swoich bliskich przed atakiem phishingowym? Przede wszystkim wprowadź zasadę „drugiej opinii”. Umów się, że każda wiadomość o dopłacie do prądu, paczce (nawet jeśli na nią czekają!) czy nagłej potrzebie finansowej „wnuczka”, musi przejść przez Twój filtr. Jeden telefon do Ciebie może uratować oszczędności życia.
Warto również przejąć na siebie techniczne zaplecze bezpieczeństwa. Jeśli to możliwe, skonfiguruj uwierzytelnianie dwuskładnikowe 2FA tak, aby kody autoryzacyjne przychodziły na Twój telefon lub klucz sprzętowy. Pamiętaj, że oszuści grają na zwłokę i presję – Ty bądź tym, który daje starszej osobie czas na oddech i racjonalną decyzję.
