phishing ukierunkowany

Phishing ukierunkowany to atak przygotowany pod konkretną osobę, z wykorzystaniem informacji o jej roli i kontaktach.

Jak phishing ukierunkowany wykorzystuje informacje o odbiorcy

Phishing ukierunkowany, nazywany także spear phishingiem, jest próbą wyłudzenia informacji lub nakłonienia do określonego działania, przygotowaną z myślą o konkretnej osobie albo niewielkiej grupie odbiorców. Nadawca nie wysyła przypadkowej wiadomości do szerokiej listy adresów, lecz wykorzystuje wcześniej zebrane dane, takie jak imię i nazwisko, stanowisko, nazwa działu, adres poczty elektronicznej, relacje służbowe, używane narzędzia albo aktualnie prowadzone projekty. Dzięki temu treść może wyglądać jak korespondencja od przełożonego, kontrahenta, działu księgowości lub administratora systemu.

Atakujący może skopiować styl komunikacji używany w prawdziwych wiadomościach, zastosować podobną stopkę, temat korespondencji lub nazwę pliku. Wiadomość często zawiera konkretną prośbę: otwarcie dokumentu, zalogowanie się przez podany odnośnik, potwierdzenie danych, zmianę numeru rachunku albo pilne przesłanie informacji. Personalizacja nie oznacza, że każda zawarta informacja jest prawdziwa. Część danych może pochodzić z publicznych stron, mediów społecznościowych, wcześniejszych wycieków lub przejętych skrzynek pocztowych.

Mechanizmy techniczne stosowane w fałszywej wiadomości

Najczęstszym celem wiadomości jest skłonienie użytkownika do odwiedzenia strony kontrolowanej przez napastnika. Odnośnik może prowadzić do kopii panelu logowania, formularza płatności albo dokumentu udostępnionego rzekomo przez usługę chmurową. Adres strony bywa podobny do prawidłowej domeny, ale może zawierać literówkę, dodatkową subdomenę, inny znak Unicode lub zupełnie inną domenę z podobną nazwą. Sama obecność szyfrowania HTTPS nie potwierdza wiarygodności witryny, ponieważ certyfikat może zostać wydany również dla złośliwej domeny.

Innym wariantem jest załącznik zawierający dokument biurowy, archiwum, plik HTML, skrót systemowy albo program wykonywalny. Załącznik może wykorzystywać nazwę sugerującą fakturę, wezwanie, harmonogram lub raport. Po otwarciu użytkownik może zostać poproszony o włączenie makr, uruchomienie zawartości aktywnej, podanie hasła albo rozpakowanie kolejnego pliku. W zależności od konstrukcji ataku skutkiem może być kradzież danych uwierzytelniających, instalacja złośliwego oprogramowania, przejęcie sesji przeglądarki lub nieuprawniona zmiana ustawień konta.

Adres nadawcy również wymaga dokładnego sprawdzenia. Widoczna nazwa kontaktu może być identyczna z nazwą znanej osoby, podczas gdy właściwy adres znajduje się w innej domenie. Oszust może także wykorzystać sfałszowany nagłówek wiadomości, przejętą skrzynkę albo domenę skonfigurowaną tak, aby wysyłała pocztę przypominającą prawidłową korespondencję. Analiza nagłówków, wyników SPF, DKIM i DMARC może pomóc ocenić drogę dostarczenia wiadomości, ale poprawna autoryzacja domeny nie dowodzi, że sama treść jest bezpieczna.

Rozpoznawanie sygnałów ostrzegawczych i bezpieczna reakcja

Do sygnałów ostrzegawczych należą: nietypowa pilność, nacisk na zachowanie tajemnicy, prośba o ominięcie zwykłej procedury, żądanie hasła lub kodu jednorazowego oraz polecenie wykonania przelewu na wcześniej nieużywany rachunek. Podejrzana może być także wiadomość, która odwołuje się do prawdziwego projektu, ale zawiera nieoczekiwany załącznik albo odsyła do logowania poza zwykłą aplikacją. Błędy językowe nie są konieczne, ponieważ współczesne wiadomości mogą być poprawnie zredagowane lub skopiowane z autentycznej korespondencji.

Przed kliknięciem odnośnika warto samodzielnie otworzyć znaną stronę usługi w przeglądarce, zamiast korzystać z adresu zawartego w wiadomości. Tożsamość nadawcy można potwierdzić innym kanałem komunikacji, na przykład telefonicznie, używając numeru zapisanego wcześniej, a nie numeru podanego w podejrzanej wiadomości. Nie należy odpowiadać na e-mail w celu potwierdzenia, że nadawca jest prawdziwy, ponieważ odpowiedź może trafić do tej samej osoby prowadzącej atak.

Jeżeli dane logowania zostały wpisane na fałszywej stronie, należy niezwłocznie zmienić hasło na prawidłowej stronie usługi, wylogować aktywne sesje i sprawdzić ustawienia konta, w tym reguły przekazywania poczty oraz dodatkowe metody uwierzytelniania. Gdy otwarto podejrzany załącznik lub uruchomiono program, komputer powinien zostać odłączony od sieci, a jego stan przeanalizowany przed dalszym używaniem. Samo usunięcie wiadomości nie usuwa skutków instalacji złośliwego oprogramowania ani nie unieważnia skradzionych danych dostępowych.

Sprawdzenie laptopa lub komputera po kontakcie z atakiem

Diagnostyka po phishingu ukierunkowanym powinna obejmować nie tylko skanowanie plików, ale również ocenę objawów i zmian w systemie. Należy sprawdzić ostatnio uruchamiane programy, nowe rozszerzenia przeglądarki, autostart, zadania harmonogramu, nietypowe procesy oraz połączenia sieciowe. Istotne są także komunikaty programu antywirusowego, historia pobierania i logowania do kont. Brak widocznych objawów nie przesądza o bezpieczeństwie, ponieważ kradzież hasła może nastąpić bez instalowania programu na komputerze.

W przypadku podejrzenia przejęcia konta trzeba rozdzielić dwa problemy: stan urządzenia i stan usług internetowych. Czysty wynik skanowania laptopa nie przywraca bezpieczeństwa konta, jeżeli hasło zostało ujawnione albo napastnik uzyskał aktywną sesję. Z kolei zmiana hasła nie rozwiązuje problemu, gdy na komputerze działa szkodliwe oprogramowanie przechwytujące kolejne dane. Dlatego działania powinny obejmować zarówno kontrolę systemu, jak i zabezpieczenie kont wykonane z zaufanego urządzenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką systemu po otwarciu podejrzanego załącznika lub wejściu na fałszywą stronę. Zakres oceny zależy od objawów, rodzaju użytego pliku i informacji dostępnych z systemu. Przed przekazaniem urządzenia warto opisać moment zdarzenia, podać nazwę załącznika lub adres strony oraz wskazać, czy wpisano hasło, kod jednorazowy albo inne dane.