Phishing jest jedną z form cyberprzestępczości, o której mówi się w ostatnich latach szczególnie często. Ofiarami takich ataków są klienci banków, ale również korzystający z usług firm kurierskich i nie tylko. Na czym polega phishing, czym może grozić, i jak się przed nim zabezpieczyć?
Phishing – jakie zagrożenia niesie dla firm i ich klientów?
Jeśli korzystasz z poczty e-mail, to być może odebrałeś kiedyś fałszywą korespondencję od banku, firmy kurierskiej czy dostawcy energii elektrycznej. Mail, który otrzymałeś, przypominał prawdopodobnie wiadomość, która mogła być wysłana od rzeczywistego przedsiębiorstwa. Jeśli jednak coś cię zaniepokoiło i jej nie otworzyłeś, to prawdopodobnie uniknąłeś np. próby kradzieży danych osobowych czy pieniędzy. Cyberprzestępcy, w treści fałszywych wiadomości, informują o konieczności aktualizacji danych, niezapłaconej fakturze czy nieopłaconej przesyłce. Jako atakowany przez oszustów klient banku możesz otrzymać wiadomość wraz z odnośnikiem do strony internetowej, która będzie wyglądała identycznie jak serwis twojej bankowości elektronicznej. W praktyce jednak, po otwarciu takiej witryny znajdziesz się na sfingowanej stronie. Jeśli pozostawisz tam swoje dane, to trafią one do cyberprzestępców, którzy mogą ukraść twoją tożsamość. Skala problemu jest bardzo duża, co pokazuje raport przygotowany przez CERT (Computer Emergency Response Team). Okazuje się, że z 3,7 tys. zagrożeń bezpieczeństwa informatycznego odnotowanych w 2018 roku, aż 44 proc. dotyczyło phishingu. Ataki najczęściej były wymierzone w użytkowników zagranicznych serwisów, jak Netflix czy Paypal oraz klientów polskich instytucji. CERT odnotował o 17,5 proc. więcej niebezpiecznych zdarzeń niż w 2017 roku.
Phishing jest poważnym zagrożeniem dla wszystkich użytkowników sieci – szczególnie zaś firm. Przedsiębiorstwa są celem cyberprzestępców ze względu m.in. na możliwość kradzieży danych tysięcy klientów. W ciągu kilku ostatnich lat dynamicznie rośnie liczba ataków polegających na wysyłaniu fałszywych wiadomości biznesowych, które nazywane są atakami BEC (Business Email Compromise). W 2018 roku zgłoszone ataki BEC kosztowały przedsiębiorstwa na całym świecie 1,3 mld dolarów, czyli więcej niż jakakolwiek inna kategoria zagrożeń. Nieautentyczne wiadomości e-mail są związane z 1/3 globalnego wycieku danych i w 94 proc. wiążą się z atakami szkodliwego oprogramowania.
Zagrożone atakami są wszystkie firmy. Oto kilka przykładów phishingu z 2019 roku:
- Duży bank – cyberprzestępcy nakłaniali do instalacji złośliwej aplikacji na smartfony i w ten sposób wyłudzali dane do logowania w bankowości elektronicznej tej instytucji. W treści wiadomości znajdowała się informacja, że dostęp do konta został zablokowany i konieczne jest zaktualizowanie aplikacji mobilnej. Wiadomość trafiała do przypadkowych osób – nie tylko do klientów banku. Sama jej treść mogła wzbudzić podejrzenia, gdyż napisana była w języku angielskim, a e-mail nadawcy nie należał do banku.
- Warszawski oddział międzynarodowej korporacji – w czerwcu 2019 roku media poinformowały o tym, że przestępcy wyłudzili dane od firmy, udając dostawców pizzy. Koncern ten posiadał nowoczesne zabezpieczenia i oprogramowanie najwyższej klasy. Oszuści rozesłali na adresy e-mail pracowników wiadomość, że w okolicy otwarto nową pizzerię, a pierwsi klienci otrzymają 30 proc. rabatu. Menu znajdowało się na rzekomej stronie restauracji. Dostawca, po kilkudziesięciu minutach, przywiózł zamówienie, a także zostawił pracownikom prezenty w postaci lampek na USB, które ci szybko przetestowali. Tym sposobem dali oni hakerom zdalny dostęp do urządzeń. Na szczęście w tym przypadku był to z góry zaplanowany test bezpieczeństwa, który miał wykazać zagrożenia, z jakimi musi się liczyć przedsiębiorstwo.
- Atak na firmę transportową – w kwietniu policja poinformował, że zatrzymała 5 osób podejrzanych o wyłudzenie ponad miliona złotych w wyniku ataku phishingowego na spółkę transportową, do którego doszło w 2018 roku. Sprawcy uzyskali dostęp do zakładowej sieci WiFi. Zdobyli w ten sposób informację, że właściciel firmy zamierza kupić 200 tys. euro w kantorze internetowym. Korzystając z przejętych danych, podmienili numer rachunku, na który miały trafić środki. Grozi im do 10 lat więzienia.
Opisane przykłady pokazują, że przestępcy mogą obrać za cel zarówno znane marki, jak i mniejsze przedsiębiorstwa. Każda firma jest zagrożona i powinna prowadzić działania zmierzające do ograniczenia ryzyka.
Przekonujące wiadomości od przestępców
Cyberprzestępcy wciąż zmieniają wysyłane do użytkowników sieci wiadomości. Dzięki raportowi KnowBe4 możemy się dowiedzieć, jaką konstrukcję miały e-maile, które zachęciły odbiorców do kliknięcia w podane w treści linki.
Zestawienie przedstawia procent skuteczności w stosunku do rodzaju informacji:
- 35 proc. – konieczność natychmiastowego sprawdzenia hasła.
- 11 proc. – ostrzeżenie, że dany adres e-mail jest w trakcie dezaktywacji.
- 9 proc. – komunikat o pilnej informacji do wszystkich pracowników.
- 8 proc. – powiadomienie o nowej wiadomości głosowej.
- 8 proc. – prośba o wykonanie kopii zapasowej poczty e-mail.
Powyższe wyniki uzyskano bazując na analizie kliknięć w spreparowane wiadomości oraz statystyk narzędzia Phish Alert.
Jak rozpoznać phishing?
- Wezwanie do udostępnienia danych – banki nie przesyłają próśb o podanie hasła czy prywatnych danych. Nie informują również o tym, że zostało zablokowane nasze konto czy też nie proszą o pilne zalogowanie się do systemu bankowości elektronicznej ani o kliknięcie w link.
- Nadawcę – najczęściej przestępcy używają adresów bardzo podobnych do prawdziwych. Warto sprawdzić, czy w e-mailu nie ma literówek, czy na pewno jest on identyczny taki sam, jak ten widniejący na stronie internetowej firmy, np. banku.
- Temat – jeśli treść tematu zawiera błędy, np. niektóre litery są zastąpione cyframi, to możliwe, że masz do czynienia z atakiem phishingowym. Przestępcy nie robią tego przypadkiem, a w celu oszukania filtrów antyspamowych.
- Brak naszego adresu w polu odbiorcy – jeśli pole jest puste albo zawiera napis „Undisclosed Recipients”, to oznacza, że wiadomość została rozesłana do wielu adresatów. Bardzo mało prawdopodobne, żeby taka wiadomość pochodziła od np. banku.
- Podejrzane linki – warto sprawdzić, pod jaki adres prowadzi umieszczony w treści wiadomości link. Przestępcy mogą podać adres prawdziwej strony, ale łącze będzie już otwierać fałszywą stronę internetową. Wystarczy najechać kursorem myszy na budzący nieufność link, a dowiemy się, do jakiego adresu w rzeczywistości on kieruje.
- Załącznik – w treści e-maila może się znajdować wezwanie do otwarcia załącznika. Zanim zastosujesz się do polecenia, sprawdź, kim jest adresat. Jeśli nie masz pewności, jaka jest zawartość informacji, nie otwieraj pliku. Możliwe, że znajduje się tam wirus. Szczególnie uważaj m.in. na dokumenty z rozszerzeniem .pif, .exe, .com.
Świadome korzystanie z sieci powinno być priorytetem każdego użytkownika, a szczególnie firm, które zarządzają dużymi zbiorami danych. Ryzyka ataku phishingowego nie należy lekceważyć, tym bardziej, że może on zakończyć się kradzieżą środków pieniężnych. Podstawą uniknięcia zagrożenia jest posiadanie aktualnego oprogramowania antywirusowego i zapory sieciowej. W UPC Biznes zdajemy sobie sprawę z tego, jak ważna jest ochrona internautów przed hakerami, dlatego we współpracy z firmą F-Secure oferujemy Pakiet Bezpieczeństwa UPC. W ramach usługi otrzymujesz od 5 do 25 licencji, tzn. możesz zainstalować oprogramowanie zabezpieczające nawet na 25 urządzeniach. Mogą to być np. laptopy służbowe i smartfony wszystkich pracowników Twojego biura. Dzięki ich zabezpieczeniu będziesz cieszyć się bezpiecznym dostępem do firmowej bankowości internetowej i komfortowym robieniem zakupów w sieci. W przypadku urządzeń mobilnych do dyspozycji masz także dodatkowe funkcje takie jak: odnajdywanie zgubionego urządzenia oraz zdalne blokowanie dostępu i usuwanie danych.
Czy warto korzystać z płatnych rozwiązań? Zdecydowanie tak. Darmowe gwarantują wyłącznie podstawową ochronę, co nie jest wystarczające, jeśli chcesz zapewnić bezpieczeństwo danych w swojej firmie czy danych prywatnych. Jednym z najbardziej popularnych darmowych programów antywirusowych jest na przykład Avast. Oto, co zapewnia Pakiet Bezpieczeństwa UPC, a czego nie uzyskasz w ramach bezpłatnej wersji aplikacji Avast:
- Kontrola autentyczności stron sklepów internetowych – zapobieganie wykradaniu danych dostępowych do kont bankowych.
- Blokada spamu i prób wyłudzenia danych – zatrzymywanie niechcianych wiadomości e-mail.
- Ochrona przed ransomware – zabezpieczenie zdjęć i plików przed niepożądanymi zmianami.
Źrodła:
https://www.cashless.pl/5489-phishing-CERT-cyberbezpieczenstwo-dane-ataki
https://alebank.pl/platforma-do-symulacji-atakow-phishingowych-z-bezplatnymi-szkoleniami/
https://www.komputerswiat.pl/aktualnosci/bezpieczenstwo/nowy-atak-phishingowy-wymierzony-w-klientow-polskiego-banku/5h92h2g
https://fintek.pl/metoda-na-pizze-nowy-atak-phishingowy-poinformuj-pracownikow/
https://www.skarbiec.biz/wiadomosci/technologia/jak-rozpoznac-phishing-osmiu-krokach.html
https://lp.xopero.com/raport-2019-trendy-cyberbezpieczenstwo
