Phishing to jeden z najbardziej niebezpiecznych hakerskich ataków internetowych. Dlaczego jest tak groźny i co możesz stracić, padając jego ofiarą? Dowiedz się wszystkiego o metodach phishingowych i sposobach na zachowanie bezpieczeństwa.
Phishing — znaczenie
Czym jest phishing i na czym polega? Phishing to niebezpieczna metoda oszustw internetowych, mająca na celu przejmowanie kont, haseł i poufnych danych przez hakerów. Termin „phishing” powstał już w latach 90. ubiegłego wieku. Nazwa stworzona przez crackerów — osoby łamiące hasła internetowe, bywa tłumaczona jako „password harvesting fishing”, czyli w dosłownym tłumaczeniu „łowienie haseł”. Przestępcy specjalizujący się w phishingu organizują ataki w sieci i podszywając się pod znane osoby lub instytucje wyłudzają dane. Cały proces phishingu wykonywany jest w celach zarobkowych, a działalność cyberprzestępców naraża bezpieczeństwo zwykłych osób. Dowiedz się, na czym bazuje ta trudna do rozpoznania metoda wyłudzania informacji.
Na czym bazuje phishing?
Popularny wśród oszustów phishing zazwyczaj przybiera formę wiadomości e-mail lub SMS. Komunikaty wysyłane przez cyberprzestępców wyglądają bardzo autentycznie. Oszuści tworzą treść tak, by niemal w stu procentach przypominała oryginalną wiadomość e-mail lub SMS od banku, instytucji finansowej czy operatora telefonii lub internetu. Wiadomość opatrzona grafikami, logiem i tekstem pisanym w tonie oraz stylu prawdziwej firmy, trafia do internetowego użytkownika. Zazwyczaj spam ten informuje o potrzebie dopłaty za jakąś usługę lub też o dezaktywacji konta. Oprócz sprytnie opisanego problemu, który ma za zadanie zaangażować internautę, w wiadomościach znajdują się też linki. To właśnie w nich tkwi szkopuł całego ataku hakerskiego. Link z e-maila lub wiadomości SMS ma rzekomo przekierować adresata na stronę banku, która rozwiąże sprawę opisaną w treści komunikatu. Jednak po kliknięciu linku przez nieświadomego internautę, otwiera się sfałszowana strona, która wygląda kropka w kropkę, jak prawdziwa witryna firmy. Moment, na który czekają przestępcy, to ten, kiedy po wejściu na podrobiony adres, wpisujesz login i hasło do e-usług. Kiedy Ty logujesz się na fałszywej stronie, hakerzy pobierają Twoje dane do serwisu i w tym samym czasie wchodzą na prawdziwe konto bankowe.
Rodzaje phishingu
Wyłudzanie danych poprzez fałszywe strony, zwane phishingiem, od lat stanowi jedną z najpopularniejszych metod oszukiwania klientów banków czy użytkowników firm świadczących internetowe usługi. Cyberprzestępcy w łatwy sposób mogą uzyskać dane do kart, kont i informacji poufnych. Niestety ataki w sieci są trudne do wykrycia. Przestępcy nie próżnują i wymyślają różne metody oszukiwania użytkowników. Oto ich przykłady:
- Spear phishing — Typ phishingowych oszustw, które są spersonalizowanym atakiem na konkretną osobę lub firmę. Do takich ataków hakerzy muszą dobrze się przygotować i zebrać informacje na temat ofiary. Wiadomości wysyłane przez przestępców zawierają treść tak przekonującą i dopasowaną do obecnej sytuacji użytkownika, że w większości przypadków przynoszą zamierzony efekt — ofiara wchodzi w fałszywe adresy stron internetowych. Spear phishing często stosowany jest wobec znanych osób ze świata polityki lub show-biznesu.
- Clone phishing — Jest to typ phishingu, w którym e-mail od prawdziwej instytucji zostaje nieznacznie przerobiony przez przestępców i wysłany do ofiary. Wiadomości brzmią identycznie jak na przykład te z Twojego banku, ponieważ ich treść jest dosłownie skopiowana, a jedynym zamienionym elementem jest załącznik lub link. W miejsce oryginalnych elementów twórcy ataków podstawiają przekierowania na sfałszowaną stronę. Całość wygląda więc tak, jakby pochodziła od oryginalnego nadawcy.
- Whaling — pochodząca z angielska nazwa może być przetłumaczona jako „wielorybnictwo” i oznacza przysłowiowe łowienie grubych ryb. Ten typ phishingu wymierzony jest w osoby piastujące wysokie, często kierownicze stanowiska w dużych firmach. W przypadku ataków tego typu wiadomość wysłana przez phishingowych hakerów zawiera elementy uwiarygadniające treść i przekonujące potencjalną ofiarę o rzetelnym źródle pochodzenia komunikatu. Treść whalingowych wiadomości często przypomina pisma pochodzące z kancelarii prawnych lub urzędów państwowych. Dodatkowo e-mail lub sfałszowana witryna mogą zawierać informacje o stanowisku ofiary. Wiarygodność wiadomości często sprawia, że pracownik wchodzi w link do fałszywej strony lub pobiera nadesłany plik czy oprogramowanie, nieświadomie dając oszustom dostęp do wewnętrznej sieci firmy i znajdujących się w niej tajemnic zawodowych.
Jak rozpoznać phishnig?
Choć oszuści próbują podejść ofiary podstępem, to istnieją pewne elementy charakterystyczne, które można rozpoznać w ich atakach. Zajmujący się phishingiem hakerzy starają się wymusić presję na ofierze poprzez określenie ram czasu, w których trakcie możliwe jest podjęcie działania przeciwdziałającego problemowi określonemu w wiadomości e-mail. Zawsze podchodź do sprawy ze spokojem i nie śpiesz się. Dokładnie zweryfikuj wiadomość i nie wchodź od razu w nadesłane pliki czy adresy internetowe. Innym z elementów, który powinien zwrócić uwagę i sprawić, że wiadomość wyda się podejrzana, jest adres nadawcy bez odpowiedniej domeny. Bankowe strony online mają w adresie internetowym nazwę swojej instytucji i zawsze kończą się „.pl” (w Polsce). Twórcy phishingowych przekrętów czasem stosują adresy bardzo podobne do oryginalnych. Mogą w nich jednak występować literówki lub błędy interpunkcyjne. Zwracaj więc uwagę na najmniejsze szczegóły w nazwie adresata komunikatu.
Kolejny element, który powinien zaalarmować Cię o tym, że wiadomość może pochodzić od hakerów, to prośba o ujawnienie poufnych danych, zwłaszcza takich jak hasła czy numery kart. Usługodawcy elektronicznych usług nigdy nie proszą o podawanie żadnych wrażliwych danych w komunikacji internetowej z klientem. Jeśli więc otrzymasz wiadomość z prośbą o podanie jakichkolwiek ważnych, osobistych informacji, w celach bezpieczeństwa skontaktuj się z usługodawcą poprzez infolinię telefoniczną. Zapewne zostaniesz poinformowany, że strona przesłana w e-mailu lub SMS jest podstawiona i nie tylko nie należy podawać żadnych danych, ale i od razu usunąć wiadomość.
Phishing — jak się bronić?
Najlepszą obroną przed atakiem w sieci jest zdrowy rozsądek i zachowanie rozwagi w działaniu, zamiast podejmowania szybkich aktywności na podejrzanych plikach lub linkach. Warto zwracać uwagę na to, gdzie przekierowuje sfałszowany link. O wiarygodności oryginalnej i oficjalnej bankowej strony zapewnia symbol zielonej kłódki widniejący obok linku w nowo otwartej karcie. Zielona kłódka wraz z nazwą instytucji i poprawnym adresem internetowym, upewnią Cię o bezpieczeństwie strony lub jego braku.
Zwracaj także uwagę na SMS kody, które otrzymujesz od banku. Oszuści liczą na nieuwagę ofiar i nieprzeczytanie treści, a machinalne przepisanie cyfr. Wpisanie kodu w podstawionej stronie, pozwoli hakerom na zdobycie danych do oryginalnego konta, do którego włamują się między czasie. Kod może pozwolić im zmienić limity transakcji i dokonać przelewu wszystkich Twoich środków pieniężnych na własne konto.
Obrona przed phishingiem to również wykupienie antywirusa. Oprogramowanie potrafi wykryć phishing i w porę ostrzec przed przekazaniem poufnych danych. Antywirus może zablokować niebezpieczne witryny lub podejrzane pliki. Dodatkowo zadbaj o aktualne oprogramowanie urządzenia i przeglądarki internetowej, które działając na najwyższych obrotach, utrudnią potencjalny atak.
