phishing mobilny

Phishing mobilny wykorzystuje mniejszy ekran, na którym trudniej sprawdzić rzeczywisty adres odnośnika.

Jak działa phishing mobilny na małym ekranie

Phishing mobilny to próba wyłudzenia danych przy użyciu wiadomości SMS, poczty elektronicznej, komunikatora, reklamy internetowej albo fałszywej aplikacji uruchamianej na smartfonie lub tablecie. Przestępca kieruje użytkownika do strony, która udaje serwis bankowy, operatora płatności, sklep internetowy, portal społecznościowy albo usługę dostarczania przesyłek. Celem może być przejęcie loginu i hasła, numeru karty, kodu jednorazowego, danych kontaktowych lub zgody na wykonanie operacji w aplikacji bankowej.

Urządzenia mobilne utrudniają ocenę wiarygodności witryny, ponieważ przeglądarka wyświetla ograniczony fragment adresu URL, a pasek adresu może zostać częściowo ukryty podczas przewijania. Użytkownik często korzysta także z powiadomienia, które otwiera stronę bez wcześniejszego wpisywania adresu. Oszust może zarejestrować domenę podobną do prawdziwej, użyć dodatkowego członu przed właściwą nazwą albo zastosować znaki wyglądające podobnie. Sama kłódka i połączenie HTTPS nie potwierdzają tożsamości firmy; informują przede wszystkim o szyfrowaniu połączenia z daną domeną.

Wiadomości, odnośniki i fałszywe aplikacje

Typowy atak zaczyna się od komunikatu wywołującego presję czasu. Wiadomość może informować o zablokowaniu rachunku, dopłacie do przesyłki, nieudanej płatności lub konieczności potwierdzenia danych. Odnośnik prowadzi do formularza, który kopiuje wygląd legalnej strony. Po wpisaniu danych formularz może przekazać je atakującemu, a następnie przekierować użytkownika do prawdziwej witryny, aby zmniejszyć prawdopodobieństwo zauważenia oszustwa.

Ryzyko występuje również przy instalowaniu aplikacji spoza oficjalnego sklepu albo przy nadawaniu aplikacji nadmiernych uprawnień. Złośliwy program może próbować odczytywać wiadomości SMS, wyświetlać nakładki nad innymi aplikacjami, przechwytywać treść powiadomień lub nakłaniać do włączenia usług ułatwień dostępu. Takie działania mogą ułatwić kradzież kodów autoryzacyjnych i przejęcie sesji. Pobranie aplikacji z oficjalnego sklepu ogranicza część zagrożeń, ale nie daje absolutnej gwarancji, dlatego należy sprawdzać nazwę wydawcy, liczbę instalacji, opinie, wymagane uprawnienia i adres strony producenta.

Sprawdzanie adresu i bezpieczne potwierdzanie operacji

Przed zalogowaniem warto otworzyć usługę przez samodzielnie wpisany adres, zapisany zakładkę albo oficjalną aplikację, zamiast korzystać z odnośnika w wiadomości. Należy odczytać pełną domenę, zwracając uwagę na końcowy element przed ukośnikiem, ponieważ właśnie on wskazuje domenę odwiedzanego serwera. Adres w rodzaju bank.example.com należy odróżnić od bank-example.com oraz od adresu, w którym nazwa banku występuje jedynie jako wcześniejszy fragment. Skrócone odnośniki utrudniają kontrolę i powinny być traktowane ostrożnie.

Nie należy podawać hasła, numeru karty ani kodu autoryzacyjnego po wejściu z podejrzanego komunikatu. Powiadomienie w aplikacji bankowej trzeba czytać w całości: powinno wskazywać odbiorcę, kwotę i rodzaj operacji, a nie tylko prosić o ogólne „potwierdzenie”. Warto włączyć blokadę ekranu, aktualizacje systemu i aplikacji oraz uwierzytelnianie wieloskładnikowe. Menedżer haseł może dodatkowo ograniczyć automatyczne uzupełnianie danych na domenie, której nie rozpoznaje. Jeśli użytkownik kliknął podejrzany odnośnik, powinien zamknąć stronę, nie instalować wskazanego programu i sprawdzić konto z poziomu niezależnie uruchomionej aplikacji.

Co zrobić po podaniu danych na podejrzanej stronie

Po ujawnieniu hasła należy jak najszybciej zmienić je na prawdziwej stronie usługi, a następnie zakończyć aktywne sesje na innych urządzeniach. Jeżeli to samo hasło było używane gdzie indziej, trzeba zmienić je również w tych serwisach, ponieważ przestępcy często sprawdzają dane logowania w wielu popularnych usługach. W przypadku konta pocztowego szczególnie ważne jest sprawdzenie adresu odzyskiwania, numeru telefonu, reguł automatycznego przekazywania wiadomości oraz listy zalogowanych urządzeń.

Jeżeli podano dane karty, należy skontaktować się z bankiem przez numer z oficjalnej strony lub odwrotu karty, zastrzec kartę i monitorować transakcje. Podejrzaną aplikację trzeba odinstalować, odebrać jej uprawnienia i uruchomić skanowanie zabezpieczeń systemu. Gdy aplikacja uzyskała dostęp do ułatwień dostępu albo urządzenie zachowuje się nietypowo, samo usunięcie programu może nie wystarczyć; konieczna bywa dokładna diagnostyka telefonu i przywrócenie ustawień po zabezpieczeniu ważnych danych. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku phishingu mobilnego może pomóc również ocenić skutki incydentu na urządzeniu używanym razem z komputerem.