phishing na webmail

Phishing na webmail to podrobiony panel logowania do poczty, często stylizowany na stronę dostawcy hostingu.

Jak wygląda phishing na webmail

Phishing na webmail polega na przygotowaniu fałszywej strony logowania do poczty internetowej. Taki panel może przypominać interfejs używany przez dostawcę hostingu, operatora poczty albo firmowy system pocztowy. Atakujący kopiuje układ formularza, kolory, logo i komunikaty, aby użytkownik uznał stronę za prawdziwą. Technicznie jest to zwykle zwykła witryna WWW dostępna przez przeglądarkę, a nie rzeczywisty serwer pocztowy. Formularz może przesłać wpisany login i hasło do infrastruktury osoby prowadzącej atak, a następnie przekierować użytkownika na prawdziwy panel poczty, żeby opóźnić zauważenie oszustwa.

Fałszywy adres często różni się od właściwego tylko domeną, dodatkowym członem albo pojedynczym znakiem. Przykładem może być domena zawierająca nazwę dostawcy w subdomenie, literówkę lub znak wyglądający podobnie do znaku używanego w oryginalnej nazwie. Sama obecność kłódki HTTPS nie potwierdza autentyczności serwisu. Certyfikat TLS szyfruje połączenie z konkretną domeną, ale może być poprawnie wystawiony również dla domeny kontrolowanej przez oszusta. Dlatego należy sprawdzać pełny adres w pasku przeglądarki, a nie tylko wygląd formularza.

Droga od wiadomości do przejęcia skrzynki

Atak zwykle zaczyna się od wiadomości e-mail, SMS-a albo komunikatu w innym kanale. Treść może informować o wygasającym haśle, blokadzie konta, pełnej skrzynce, konieczności ponownej autoryzacji lub problemie z dostarczeniem wiadomości. Link prowadzi do strony przygotowanej tak, aby wymusić szybkie działanie. W praktyce phishing może również wykorzystywać załącznik HTML, skrócony adres URL albo przekierowanie przez kilka witryn. Nie każdy fałszywy formularz działa identycznie: część stron tylko zapisuje dane, część przekazuje je napastnikowi w czasie rzeczywistym, a część próbuje także pozyskać kod jednorazowy.

Zdobyte hasło może umożliwić zalogowanie do skrzynki, zwłaszcza gdy użytkownik używa tego samego hasła w wielu usługach. Po wejściu do poczty atakujący może odczytać korespondencję, wyszukać informacje o płatnościach lub kontaktach oraz wysłać wiadomości z przejętego konta. Szczególnie istotne są reguły automatycznego sortowania i przekazywania poczty. Napastnik może próbować dodać regułę przenoszącą wybrane wiadomości do innego folderu albo przekazującą kopie na zewnętrzny adres. Zmiana hasła po podejrzanym logowaniu powinna być wykonana na prawdziwej stronie dostawcy, nie przez link z otrzymanej wiadomości.

Elementy techniczne, które pomagają wykryć oszustwo

Podczas oceny wiadomości warto rozdzielić nazwę wyświetlaną nadawcy od rzeczywistego adresu e-mail. Nazwa może brzmieć wiarygodnie, ale domena nadawcy albo adres użyty w linku może być inny. Po najechaniu kursorem na odnośnik, bez jego otwierania, można zobaczyć adres docelowy. Należy zwrócić uwagę na literówki, nietypowe domeny najwyższego poziomu, długie parametry oraz przekierowania. W przypadku domen wykorzystujących znaki spoza podstawowego alfabetu łacińskiego przeglądarka może wyświetlać nazwę w formie punycode, zaczynającej się od prefiksu „xn--”. Sam taki zapis nie przesądza o oszustwie, ale wymaga dodatkowej weryfikacji.

Przeglądarka może ostrzec przed stroną zgłoszoną jako niebezpieczna, jednak brak ostrzeżenia nie jest dowodem wiarygodności. Pomocne jest ręczne wpisanie znanego adresu panelu webmail albo użycie zakładki zapisanej wcześniej, zamiast korzystania z linku w wiadomości. Po przypadkowym wpisaniu danych na podejrzanej stronie należy niezwłocznie zmienić hasło w prawdziwym serwisie, zakończyć aktywne sesje, sprawdzić metody odzyskiwania konta i przejrzeć ustawienia reguł pocztowych. Jeżeli usługa oferuje uwierzytelnianie wieloskładnikowe, warto je włączyć. Kod jednorazowy nie powinien być podawany na stronie, której adres nie należy do właściwego dostawcy.

Bezpieczne postępowanie po podejrzanym logowaniu

Jeżeli użytkownik tylko otworzył stronę, ale nie wpisał danych, ryzyko zależy od jej zawartości i zachowania przeglądarki. Należy zamknąć kartę, nie pobierać proponowanych plików i sprawdzić, czy przeglądarka nie zainstalowała nieznanego rozszerzenia. Samo wyświetlenie strony nie oznacza automatycznie przejęcia skrzynki, natomiast pobrany plik lub uruchomiony program wymaga szerszej kontroli systemu. Warto również oznaczyć wiadomość jako phishing w używanym programie pocztowym, ponieważ pomaga to dostawcy poczty analizować podobne kampanie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może pomóc sprawdzić stan przeglądarki, nieznane rozszerzenia, podstawowe oznaki infekcji oraz ustawienia systemu po kontakcie z podejrzaną stroną. W przypadku samej skrzynki kluczowe pozostają działania wykonane u jej dostawcy: zmiana hasła, unieważnienie sesji, kontrola przekierowań i odzyskanie dostępu zgodnie z oficjalną procedurą. Serwis komputera nie zastępuje tych czynności, ale może pomóc ustalić, czy problem dotyczy wyłącznie wyłudzenia danych, czy także oprogramowania działającego na laptopie lub komputerze.