fałszywe stopki firmowe

Fałszywe stopki firmowe to sfałszowane dane kontaktowe umieszczane w wiadomości w celu uwiarygodnienia oszustwa.

Jak działają fałszywe stopki firmowe w wiadomościach

Fałszywa stopka firmowa jest elementem wiadomości, który ma nadać jej pozór autentycznej korespondencji biznesowej. Może zawierać nazwę przedsiębiorstwa, adres siedziby, numer telefonu, adres poczty elektronicznej, numer rejestrowy, logo albo nazwisko pracownika. Sam wygląd stopki nie potwierdza jednak, że wiadomość została wysłana przez wskazaną firmę. W wiadomości e-mail stopka jest zwykłym fragmentem treści HTML lub tekstu i może zostać skopiowana z prawdziwej strony internetowej, dokumentu albo wcześniejszej korespondencji. Osoba wysyłająca wiadomość może również umieścić w niej dane nieistniejącej firmy lub połączyć prawdziwą nazwę z innym numerem telefonu i adresem.

Najczęściej fałszywa stopka wspiera phishing, czyli próbę nakłonienia odbiorcy do wykonania czynności korzystnej dla nadawcy. Wiadomość może żądać otwarcia załącznika, zalogowania się przez podany odnośnik, przesłania dokumentów, zmiany numeru rachunku albo pilnego kontaktu telefonicznego. Stopka ma zmniejszyć czujność odbiorcy, szczególnie gdy pozostała część wiadomości jest krótka i pozornie formalna. Oszust może użyć nazwy znanej organizacji, ale wysłać wiadomość z domeny różniącej się jednym znakiem, z domeny bez związku z firmą albo z bezpłatnej skrzynki pocztowej. Również poprawna polszczyzna i profesjonalny układ graficzny nie są dowodem pochodzenia wiadomości.

Elementy techniczne, które warto porównać z treścią stopki

Podstawowym krokiem jest porównanie adresu nadawcy widocznego w programie pocztowym z pełnymi nagłówkami wiadomości. Pole „From” może prezentować nazwę firmy i adres, ale nie wyjaśnia całej drogi dostarczenia wiadomości. W nagłówkach znajdują się między innymi pola „Return-Path”, „Reply-To” oraz kolejne wpisy „Received”. Jeżeli odpowiedź ma trafić na inny adres niż adres nadawcy, jest to istotny sygnał ostrzegawczy. Należy także sprawdzić domenę znak po znaku: różnicę może stanowić dodatkowy łącznik, zamieniona litera, inna końcówka domeny albo znak zapisany w sposób trudny do zauważenia.

Serwery pocztowe mogą stosować mechanizmy SPF, DKIM i DMARC, ale ich obecność nie zastępuje oceny całej wiadomości. SPF sprawdza, czy serwer wysyłający jest uprawniony do wysyłania poczty dla domeny, DKIM pozwala zweryfikować podpis kryptograficzny wybranych nagłówków i treści, a DMARC określa sposób postępowania z wiadomościami niespełniającymi określonych kontroli. Wynik tych mechanizmów powinien być odczytywany razem z domeną używaną w widocznym polu nadawcy. Wiadomość może przejść kontrole dla domeny należącej do oszusta, a mimo to zawierać fałszywą stopkę podszywającą się pod inną organizację.

Linki, załączniki i dane kontaktowe jako źródła rozbieżności

Adresy odnośników należy sprawdzać przed ich otwarciem, ponieważ tekst wyświetlany w wiadomości może różnić się od rzeczywistego celu. Odnośnik opisany jako strona firmy może prowadzić do innej domeny, przekierowania lub adresu zawierającego długi ciąg znaków. Szczególną ostrożność wymagają formularze logowania, pliki HTML, dokumenty z makrami oraz archiwa, ponieważ mogą prowadzić do pobrania złośliwego programu albo wyłudzenia danych uwierzytelniających. Nie należy potwierdzać autentyczności stopki przez użycie numeru telefonu lub adresu podanego w tej samej wiadomości. Te dane również mogą być sfałszowane, a kontakt z oszustem może potwierdzić, że skrzynka jest aktywnie używana.

Bezpieczniejsza weryfikacja polega na samodzielnym znalezieniu oficjalnej strony organizacji i użyciu danych kontaktowych opublikowanych niezależnie od otrzymanej wiadomości. Trzeba porównać domenę, numer telefonu, adres korespondencyjny oraz nazwę osoby wskazanej w treści. Rozbieżność między stopką a rzeczywistą stroną, nietypowa presja czasowa, nieoczekiwana prośba o zmianę danych płatniczych lub żądanie przesłania hasła wskazują, że wiadomość wymaga dodatkowej weryfikacji. Jeżeli odnośnik został już otwarty, należy zamknąć stronę, nie wpisywać danych na kolejnych ekranach i sprawdzić historię pobierania oraz działanie programu zabezpieczającego. Samo usunięcie wiadomości nie cofa skutków uruchomienia załącznika.

Postępowanie po otwarciu podejrzanej wiadomości

Po wpisaniu hasła na stronie wskazanej w podejrzanej wiadomości należy zmienić je na stronie otwieranej ręcznie, a nie przez otrzymany odnośnik. Jeżeli to samo hasło było używane w innych usługach, trzeba zmienić je również tam. W przypadku uruchomienia załącznika warto odłączyć komputer od sieci, aby ograniczyć możliwość dalszej komunikacji programu, i przeprowadzić pełne skanowanie systemu aktualnym narzędziem ochronnym. Nie należy samodzielnie usuwać plików, których pochodzenie jest niejasne, gdy mogą być potrzebne do ustalenia przebiegu zdarzenia. Przydatne są zachowane nagłówki wiadomości, nazwa załącznika, adres strony oraz godzina wykonania podejrzanej czynności.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku objawów infekcji po otwarciu fałszywej wiadomości można zlecić sprawdzenie urządzenia. Diagnostyka może obejmować analizę nietypowych komunikatów, samoczynnego uruchamiania programów, zmian w przeglądarce, spowolnienia systemu oraz problemów z dostępem do plików. Zakres dalszych działań zależy od ustaleń technicznych i stanu komputera. Do czasu zakończenia sprawdzania nie powinno się logować z tego urządzenia do bankowości, poczty ani innych ważnych usług, jeżeli istnieje podejrzenie przejęcia danych logowania.