credential phishing

Credential phishing to atak polegający na wyłudzeniu danych logowania za pomocą sfałszowanej strony lub wiadomości.

Jak działa credential phishing

Credential phishing to forma socjotechnicznego ataku, w której celem jest przejęcie danych uwierzytelniających, najczęściej nazwy użytkownika, hasła, kodu jednorazowego albo informacji potrzebnych do odzyskania konta. Atakujący przygotowuje wiadomość e-mail, SMS, komunikat w komunikatorze, kod QR lub fałszywą stronę logowania. Treść zwykle odwołuje się do konkretnej sytuacji: blokady konta, nieudanej płatności, przesyłki, dokumentu do podpisania albo konieczności potwierdzenia tożsamości. Odnośnik prowadzi do witryny kontrolowanej przez atakującego, która wizualnie przypomina stronę banku, poczty, sklepu lub dostawcy usługi.

Po wpisaniu danych formularz może przekazać je bezpośrednio przestępcy, a następnie przekierować użytkownika do prawdziwej witryny, aby opóźnić zauważenie ataku. W bardziej zaawansowanym wariancie tak zwany adversary-in-the-middle, czyli pośrednik pomiędzy użytkownikiem a prawdziwą usługą, przekazuje żądania logowania dalej i może przechwycić również kod MFA lub ciasteczko sesyjne. Sam fakt, że strona używa HTTPS i wyświetla ikonę kłódki, nie potwierdza jej autentyczności. Szyfrowanie połączenia chroni transmisję między przeglądarką a serwerem, ale nie gwarantuje, że serwer należy do właściwej organizacji.

Adres strony, domena i elementy podszycia

Podstawowym miejscem weryfikacji jest pełny adres URL widoczny w pasku przeglądarki. Oszust może wykorzystać domenę podobną do prawdziwej, literówkę, dodatkową końcówkę albo subdomenę, która brzmi wiarygodnie. W adresie bank.example.com.atakujacy.pl właściwą domeną jest atakujacy.pl, a nie example.com. Podobnie zapis z użyciem znaków podobnych wizualnie, skróconego odnośnika lub przekierowania może ukrywać faktyczny cel. Warto otworzyć stronę ręcznie, wpisując znany adres albo używając zapisanego zakładką odnośnika, zamiast korzystać z linku z wiadomości.

Nie należy traktować poprawnego logo, języka polskiego, profesjonalnego układu ani obecności formularza dodatkowego uwierzytelniania jako dowodu prawdziwości strony. Podejrzane są żądania podania hasła poza standardowym procesem logowania, prośby o kod z aplikacji uwierzytelniającej, presja czasu oraz komunikaty o konsekwencjach odmowy. Menedżer haseł może pomóc, ponieważ wiele takich narzędzi wiąże zapisane dane z domeną i nie wypełnia formularza na adresie, który różni się od zapisanego. Nie jest to jednak powód, aby ignorować ostrzeżenia przeglądarki lub ręcznie wklejać hasło do niezweryfikowanej witryny.

Uwierzytelnianie wieloskładnikowe i skutki przejęcia

Uwierzytelnianie wieloskładnikowe, określane jako MFA, zmniejsza ryzyko wynikające z samego wycieku hasła, ale nie każda metoda MFA jest równie odporna na phishing. Kod jednorazowy z wiadomości SMS, aplikacji lub tokena może zostać wyłudzony przez fałszywy formularz działający w czasie rzeczywistym. Większą odporność zapewniają klucze bezpieczeństwa oraz mechanizmy WebAuthn i FIDO2, ponieważ uwierzytelnienie jest kryptograficznie powiązane z właściwą domeną. Fałszywa domena nie powinna otrzymać poprawnej odpowiedzi przeznaczonej dla oryginalnej witryny.

Przejęte dane mogą umożliwić nie tylko zalogowanie do jednego konta. Jeżeli to samo hasło było używane w kilku usługach, atakujący może próbować zastosować je ponownie, czyli wykonać credential stuffing. Dostęp do poczty elektronicznej bywa szczególnie istotny, ponieważ skrzynka może służyć do resetowania haseł w innych serwisach. Po podejrzeniu phishingu należy niezwłocznie zmienić hasło na prawdziwej stronie, zakończyć aktywne sesje, sprawdzić metody odzyskiwania konta, usunąć nieznane urządzenia i przejrzeć reguły automatycznego przekazywania poczty. Jeżeli podano dane płatnicze, konieczny jest również kontakt z bankiem lub operatorem karty.

Sprawdzenie komputera po kliknięciu fałszywego odnośnika

Samo otwarcie strony phishingowej nie zawsze oznacza infekcję komputera. Typowy atak credential phishing wykorzystuje formularz i błąd użytkownika, a nie lukę w systemie operacyjnym. Ryzyko rośnie jednak wtedy, gdy po wejściu na stronę pobrano plik, uruchomiono program, zainstalowano rozszerzenie przeglądarki albo zaakceptowano nietypowe powiadomienia. W takiej sytuacji warto odłączyć urządzenie od sieci, nie uruchamiać pobranego pliku, zachować wiadomość wraz z adresem nadawcy i wykonać skanowanie przy użyciu aktualnych narzędzi bezpieczeństwa. Hasła najlepiej zmieniać z innego, zaufanego urządzenia, jeżeli istnieje podejrzenie działania złośliwego oprogramowania.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z systemem, przeglądarką oraz działaniem podzespołów po podejrzanym zdarzeniu. Przy ocenie sytuacji warto rozdzielić naprawę techniczną urządzenia od zabezpieczenia konta internetowego: zmiana hasła, unieważnienie sesji i zgłoszenie przejęcia powinny zostać wykonane u operatora danej usługi. Dokumentowanie czasu zdarzenia, używanego urządzenia, pobranych plików i wyświetlonych komunikatów ułatwia ustalenie, czy doszło wyłącznie do wyłudzenia danych, czy również do ingerencji w system.