phishing od przejętego konta

Phishing z przejętego konta jest szczególnie skuteczny, ponieważ wiadomość przychodzi z prawdziwego, znanego adresu.

Dlaczego wiadomość z przejętego konta budzi zaufanie

Phishing od przejętego konta polega na wykorzystaniu prawdziwego konta pocztowego, komunikatora albo profilu w serwisie społecznościowym, do którego osoba nieuprawniona uzyskała dostęp. Wiadomość może pojawić się w istniejącej rozmowie, mieć nazwę nadawcy zgodną z wcześniejszym kontaktem i zawierać informacje znane odbiorcy. Sam widok znajomego adresu nie potwierdza więc, że wiadomość została napisana przez właściciela konta.

Atakujący może przejrzeć wcześniejsze konwersacje, listę kontaktów i sposób komunikowania się właściciela profilu. Na tej podstawie tworzy prośbę o kliknięcie odnośnika, otwarcie załącznika, przekazanie kodu jednorazowego albo wykonanie płatności. Wiadomość często odwołuje się do aktualnego wątku, na przykład przesłanego wcześniej dokumentu lub uzgodnionego terminu, dzięki czemu wygląda bardziej wiarygodnie niż przypadkowa wiadomość wysłana z nieznanego adresu.

Mechanizm ataku po uzyskaniu dostępu do skrzynki lub profilu

Przejęcie konta może nastąpić między innymi po wpisaniu hasła na fałszywej stronie logowania, użyciu tego samego hasła w wielu serwisach albo zaakceptowaniu niebezpiecznej aplikacji mającej dostęp do konta. W przypadku poczty internetowej napastnik może ustanowić regułę automatycznie przekazującą nowe wiadomości na inny adres, dodać własną metodę odzyskiwania dostępu lub wykorzystać aktywną sesję przeglądarki. Wtedy samo późniejsze zmienienie hasła może nie wystarczyć, jeśli pozostały aktywne sesje albo dodatkowe mechanizmy dostępu.

Po przejęciu konta atakujący zwykle rozsyła wiadomości do osób znajdujących się w kontaktach właściciela. Może też odpowiadać na otrzymane maile, aby kontynuować rozmowę bez tworzenia nowego wątku. Link prowadzi często do strony imitującej panel logowania, płatności lub udostępniania pliku. Wpisane dane trafiają do napastnika, a przekazany kod wieloskładnikowego uwierzytelniania może posłużyć do dokończenia logowania. Złośliwy załącznik może natomiast uruchomić skrypt, instalator albo dokument wykorzystujący makra, zależnie od ustawień systemu i programu otwierającego plik.

Rozpoznawanie fałszywej prośby w prawdziwej korespondencji

Najważniejsza jest ocena treści i celu wiadomości, a nie tylko adresu nadawcy. Podejrzane są prośby o pilną zmianę numeru rachunku, przesłanie kodu, zalogowanie się przez podany link, pobranie nieoczekiwanego dokumentu lub potwierdzenie danych pod presją czasu. Należy sprawdzić rzeczywisty adres strony po najechaniu na odnośnik, ponieważ widoczny tekst może różnić się od adresu docelowego. Literówki w domenie, dodatkowe człony nazwy, skrócone linki i przekierowania utrudniające odczyt adresu zwiększają ryzyko.

Wątpliwą prośbę najlepiej zweryfikować drugim kanałem, na przykład telefonicznie pod wcześniej znanym numerem albo przez nową wiadomość utworzoną niezależnie od podejrzanego wątku. Nie należy odpowiadać na wiadomość w celu potwierdzenia, że konto nadal kontroluje właściwa osoba. Jeżeli wiadomość wygląda na wysłaną przez znajomego, można poprosić go o potwierdzenie inną drogą, bez przekazywania żadnych haseł, kodów jednorazowych ani danych płatniczych.

Co zrobić po kliknięciu linku lub podejrzeniu przejęcia konta

Po podejrzanym logowaniu trzeba wejść do usługi przez ręcznie wpisany, znany adres, zmienić hasło na unikalne i wylogować wszystkie aktywne sesje. Następnie należy sprawdzić metody odzyskiwania konta, podłączone aplikacje, reguły przekazywania poczty oraz ostatnią aktywność logowania. Warto włączyć wieloskładnikowe uwierzytelnianie, najlepiej z użyciem aplikacji uwierzytelniającej lub klucza bezpieczeństwa, jeżeli usługa je obsługuje. Osoby, do których mogła trafić fałszywa wiadomość, powinny zostać ostrzeżone innym kanałem.

Jeżeli został otwarty podejrzany załącznik albo uruchomiony nieznany program, należy odłączyć komputer od sieci, nie wpisywać na nim kolejnych haseł i przeprowadzić sprawdzenie systemu. Objawami wymagającymi dokładniejszej diagnostyki mogą być nieznane rozszerzenia przeglądarki, samoczynne przekierowania, nowe programy uruchamiane wraz z systemem, nietypowe komunikaty logowania lub dalsze wysyłanie wiadomości bez wiedzy użytkownika. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów stacjonarnych PC, w tym diagnostykę problemów systemowych powstałych po uruchomieniu podejrzanego pliku.