phishing przez pliki w chmurze

Phishing przez pliki w chmurze to odnośnik do dokumentu w zaufanej usłudze, prowadzącego do fałszywej strony logowania.

Jak działa phishing przez pliki w chmurze

Phishing przez pliki w chmurze polega na wykorzystaniu odnośnika umieszczonego w dokumencie, arkuszu, prezentacji albo innym pliku przechowywanym w legalnej usłudze internetowej. Wiadomość może wyglądać jak zwykłe udostępnienie dokumentu: zawiera nazwę pliku, awatar nadawcy, przycisk „Wyświetl dokument” oraz adres rozpoznawalnej platformy do przechowywania danych. Sam plik może nie zawierać złośliwego programu. Zagrożeniem jest odnośnik prowadzący po otwarciu dokumentu do fałszywej strony logowania.

Fałszywy formularz może przypominać ekran logowania do poczty, dysku internetowego, pakietu biurowego albo systemu współpracy. Po wpisaniu identyfikatora i hasła dane trafiają do osoby prowadzącej kampanię phishingową. Czasami strona przekierowuje następnie do prawdziwej usługi, aby ukryć oszustwo i sprawić wrażenie chwilowego błędu logowania. W innych wariantach użytkownik jest proszony także o podanie kodu jednorazowego, zatwierdzenie powiadomienia w aplikacji uwierzytelniającej albo udzielenie zgody aplikacji na dostęp do konta.

Elementy, które odróżniają dokument od pułapki

Podstawowym sygnałem ostrzegawczym jest niezgodność między treścią wiadomości a rzeczywistym adresem odnośnika. Tekst przycisku może brzmieć wiarygodnie, lecz po sprawdzeniu adresu okazuje się, że prowadzi on do innej domeny, skróconego adresu URL, wieloetapowego przekierowania albo strony z nazwą usługi dodaną wyłącznie jako część ścieżki. O bezpieczeństwie nie decyduje obecność słowa „cloud”, nazwy popularnej platformy ani symbol kłódki w przeglądarce. Szyfrowane połączenie HTTPS chroni transmisję przed odczytem w trakcie przesyłania, ale nie potwierdza, że strona należy do właściwego operatora.

Warto zwrócić uwagę na nietypową presję czasu, informację o rzekomym wygasaniu dostępu, prośbę o ponowne uwierzytelnienie oraz dokument udostępniony bez oczekiwanego kontekstu. Podejrzana może być także wiadomość od znanego kontaktu, jeśli styl wypowiedzi, pora wysłania lub temat nie pasują do wcześniejszej korespondencji. Konto nadawcy mogło zostać przejęte, a legalna usługa chmurowa może być używana wyłącznie jako miejsce publikacji linku. Dlatego należy oceniać nie tylko nazwę platformy, lecz także źródło wiadomości, pełny adres strony i cel żądania logowania.

Bezpieczne sprawdzenie odnośnika i reakcja po wpisaniu danych

Przed otwarciem dokumentu można najechać kursorem na przycisk i odczytać docelowy adres, a na urządzeniu mobilnym przytrzymać odnośnik, aby wyświetlić jego podgląd. Nie należy wpisywać hasła po przejściu z nieoczekiwanej wiadomości. Bezpieczniejszym sposobem jest samodzielne otwarcie przeglądarki, wpisanie znanego adresu usługi lub użycie oficjalnej aplikacji, a następnie sprawdzenie, czy dokument rzeczywiście znajduje się na koncie. W przypadku pliku od współpracownika można potwierdzić udostępnienie innym kanałem komunikacji, korzystając z wcześniej znanego numeru lub adresu, a nie z danych podanych w podejrzanej wiadomości.

Jeżeli hasło zostało wpisane na podejrzanej stronie, należy jak najszybciej zmienić je na prawdziwej witrynie usługi. To samo hasło trzeba zmienić wszędzie, gdzie było używane, ponieważ atakujący może próbować wykorzystać je w innych serwisach. Należy również zakończyć aktywne sesje, przejrzeć historię logowań, usunąć nieznane urządzenia i sprawdzić zgody przyznane aplikacjom. Jeśli ujawniono kod uwierzytelniania wieloskładnikowego albo zatwierdzono nieoczekiwane powiadomienie, trzeba skontrolować ustawienia metod logowania i odzyskiwania konta. W środowisku firmowym informację o incydencie należy przekazać osobie odpowiedzialnej za bezpieczeństwo, ponieważ przejęte konto może służyć do wysyłania kolejnych fałszywych dokumentów.

Znaczenie problemu dla laptopa i komputera PC

Phishing przez pliki w chmurze jest przede wszystkim atakiem na konto i dane uwierzytelniające, ale jego skutki mogą być widoczne na laptopie lub komputerze PC. Przejęte konto może zostać użyte do odczytu synchronizowanych dokumentów, wysyłania wiadomości z wiarygodnego adresu albo rozpowszechniania kolejnych odnośników. Jeżeli po otwarciu dokumentu pobrano program, archiwum lub makro i uruchomiono je lokalnie, zakres problemu może obejmować także niepożądane oprogramowanie. Wtedy sama zmiana hasła nie wystarcza: potrzebne jest sprawdzenie procesów, programów uruchamianych wraz z systemem, rozszerzeń przeglądarki, plików pobranych z sieci oraz aktualności zabezpieczeń systemowych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów wynikających z podejrzanych instalacji, nieprawidłowego działania systemu lub przeglądarki. Diagnostyka pozwala rozdzielić problem z kontem internetowym od objawów występujących lokalnie na urządzeniu, takich jak samoczynne otwieranie stron, nieznane dodatki, komunikaty o błędach albo zmieniona konfiguracja przeglądarki. Przy podejrzeniu przejęcia konta czynności dotyczące haseł i sesji wykonuje się bezpośrednio w prawdziwej usłudze, natomiast komputer można sprawdzić pod kątem skutków pobrania i uruchomienia niebezpiecznych plików.