Jak skutecznie zabezpieczyć się przed phishingiem w internecie?

Phishing jest jednym z najpoważniejszych wyzwań w kontekście zabezpieczenia aktywności sieciowej. Tego rodzaju oszustwo internetowe rośnie – niestety – wraz ze wzrostem wszelkich procesów realizowanych wirtualnie. Phishing doskonale wykorzystuje bowiem połączenie dwóch sfer: nieznajomości e-rzeczywistości oraz swoistego strachu przed odkryciem tego, co niekoniecznie musi zostać odkryte.

Phishing można symbolizować jednym sformułowaniem: “Wiem, co robisz w sieci”. Analizowanie zawartości stron erotycznych, gra nastolatka w brutalne gry wideo, przeglądanie serwisów aukcyjnych w godzinach pracy – wszystko to, przy wykorzystaniu odpowiedniej socjotechniki oraz swoistej taktyki strachu sprawi, że odbiorca poczuje się zaniepokojony. Nie trzeba jednak sięgać do samego poczucia lęku. Wystarczy też banalna informacja o tym, że firmowa poczta się kończy – miejsce danego użytkownika staje się ograniczone i niezbędne jest powiększenie przestrzeni. A na końcu takiej komunikacji zawsze czyha przycisk i informacja, by kliknąć i:

• sprawdzić, co haker rzekomo wie o Twojej aktywności sieciowej
• powiększyć przestrzeń dysku lub poczty
• szybko przeskanować własny komputer lub smartfon.

Gdy świadomość internetowa danego użytkownika jest relatywnie niewielka, zapewne kliknie – a to otwiera już wrota do przejęcia wyjątkowo wrażliwych danych.

Jeśli spojrzeć na phishing od strony sposobu wyłudzania danych, wyróżnić można trzy główne formy:

• tzw. cold calls
• ostrzeżenia pop-up
• reklamowe lub błędne wyniki sieci wyszukiwania.

Czym różnią się te opcje?

Cold calls

Pod tym obrazowym hasłem kryje się zaskakująco częsta sytuacja. Użytkownik odbiera telefon od np. przedstawiciela znanej i zaufanej firmy – np. dostawcy oprogramowania antywirusowego. Informuje on o zdalnym zeskanowaniu urządzenia i odnalezienia na nim budzącego kontrowersje oprogramowania. Pojawia się tu sugestia zainstalowania aplikacji zdalnego pulpitu tak, by pomóc w usunięciu – rzekomej! – infekcji systemu. W ten sposób haker nie tylko otrzymuje pełen dostęp do stacji lub urządzenia. Może też zablokować ją oczekując wynagrodzenia za przywrócenie ustawień.

Fałszywe wyniki sieci wyszukiwania

Choć Google kładzie duży nacisk na wiarygodność podmiotów reklamujących się w systemie Ads, nie brak prób oszukiwania – zarówno systemu jak i końcowych odbiorców. Przykładem może być sytuacja, w której ten poszukuje np. dobrego systemu zabezpieczającego komputer. Skuszony znaną nazwą powszechnie znanego systemu antywirusowego klika i zostaje przeniesiony na bliźniaczo podobny serwis internetowy. Ten jednak służy wyłącznie do tego, by pobrać jego dane i zainstalować oprogramowanie umożliwiające przejęcie stacji. Stąd tak ważna jest weryfikacja adresów końcowych wszelkich reklam.

Wyskakujące komunikaty

Proces przeglądania internetu to nieraz spotykane okienka internetowe. W większości przypadków stanowią one formaty reklamowe. Zdarzają się jednak pop-up’y o innej treści – np. informujące o przejęciu komputera czy zainfekowaniu złośliwytm oprogramowaniem. Skonstruowane są tak, by uniemożliwić ich łatwe zamknięcie. Użytkownik – często w panice szczególnie po wejściu na strony kontrowersyjne – nie wie co zrobić; desperacko próbuje je wyłączyć okienko, ale bezskutecznie. Jeśli znajduje się tam komunikat o opłacie za odblokowanie urządzenia, dana osoba jest skłonna się na to zgodzić – jeśli oczywiście nie ma wystarczającej wiedzy o cyberbezpieczeństwie.

Czym charakteryzują się oszustwa phishingowe?

Zachowując nieco czujności, łatwo można rozpoznać próbę wyłudzenia dostępu. Co zrobić, by nie zostać ofiarą phishingu?

• zachowuj nieufność wobec pop-up’ów; szczególnie wtedy, gdy zwracają uwagę błędami gramatycznymi czy jakością wykonania
• sprawdzaj numery kontaktowe podawane w reklamach – nawet wpisując je w odrębnym oknie przeglądarki
• weryfikuj – bez klikania, najeżdżając jedynie na przycisk – adresy, do których prowadzą dane przekierowania
• nie ufaj wszelkim promocjom, w ramach których renomowane firmy oferują pomoc wtedy, gdy to nie ty o nią poprosisz.

Co zrobić, jeśli mimo wszystko doszło do skutecznego phishingu? Koniecznie czas na zmianę hasła kluczowych witryn – np. skrzynki e-mail, która służy do resetowania innych witryn. Niezbędne jest też dogłębne przeskanowanie urządzenia dobrym programem antywirusowym – np. Norton zapewnia do tego specjalny system Power Eraser ukierunkowany na poszukiwanie szczególnie złożonych problemów. Naturalne jest też zgłoszenie ataku phishingowego do banku – tak, by również tam zmienić dostępy oraz np. wygenerować nową kartę płatniczą.

Phishing – czym grozi, gdy klikniesz?

Podstawowym celem cyberprzestępców atakujących obiekty docelowe poprzez phishing jest oszustwo – w zdecydowanej większości przypadków próba wyłudzenia pieniędzy np. w ramach za odblokowanie urządzenia lub nieupublicznienie rzekomych zdjęć czy nagranych filmów. Nie można jednak phishingu ograniczać wyłącznie do kwestii finansowych. Często założeniem jest nie zysk natychmiastowy, ale rozpoczęcie śledzenia poczynań użytkownika. Cyberprzestępca mając kontrolę nad komputerem lub smartfonem – np. po uruchomieniu trybu zdalnego pulpitu – jest w stanie zainstalować na urządzeniu złośliwe oprogramowanie. W ten sposób, wykorzystując np. keylogger może w łatwy sposób dostać się do danych poufnych – w tym numeru karty kredytowej czy danych przelewów bankowych. Stąd ważne, by mieć na swoich urządzeniach – również smartfonach! – dobre programy antywirusowe oraz poszerzone uwierzytelnianie tożsamości.

Piotr Romanowski

Miłośnik wszystkiego, co związane z nowymi technologiami. Kiedyś konsultant w branży telko; dziś działający głównie w sferze oprogramowania, a przy okazji niezmiennie zafascynowany wszystkim, co dotyczy technologii mobilnych oraz znaczenia internetu w codzienności.