phishing z przekierowaniem

Phishing z przekierowaniem wykorzystuje zaufaną domenę jako punkt pośredni prowadzący do strony atakującego.

Jak działa phishing z przekierowaniem

Phishing z przekierowaniem to wariant oszustwa, w którym użytkownik nie trafia od razu na fałszywą stronę. Najpierw otwiera adres należący do zaufanej domeny albo korzysta z legalnego serwisu, a dopiero później zostaje przeniesiony do witryny kontrolowanej przez atakującego. Strona pośrednia może być zaatakowaną witryną internetową, skróconym adresem URL, reklamą w sieci reklamowej, formularzem przekierowującym lub legalnym serwisem przechowującym odnośniki. Dzięki temu początkowy adres wygląda wiarygodnie i może ominąć część prostych filtrów sprawdzających wyłącznie domenę widoczną w pierwszym odnośniku.

Przekierowanie może być wykonane na kilka sposobów. Serwer może odpowiedzieć kodem HTTP 301 albo 302 i wskazać nowy adres w nagłówku Location. Przeglądarka może również otrzymać dokument HTML z elementem meta refresh lub skrypt JavaScript zmieniający bieżący adres za pomocą właściwości window.location. W praktyce spotyka się także łańcuch kilku przekierowań, w którym kolejne domeny pośrednie utrudniają ustalenie, gdzie ostatecznie zostaną przekazane dane. Samo przekierowanie nie jest z definicji złośliwe, ponieważ legalne witryny używają go przy zmianie adresów i obsłudze kampanii, ale w phishingu służy do ukrycia faktycznego celu.

Adresy URL, domeny i sygnały ostrzegawcze

Najważniejszym elementem oceny jest końcowa domena oraz pełny adres strony, a nie tylko nazwa widoczna w wiadomości lub treść przycisku. W adresie https://logowanie.example-atak.pl/ właściwą domeną jest example-atak.pl, ponieważ znajduje się bezpośrednio przed pierwszym ukośnikiem i po ostatniej kropce części nazwowej. Nazwa znanej marki umieszczona wcześniej, na przykład w subdomenie, nie oznacza, że strona należy do tej marki. Podobnie adres https://example.pl.atakujacy.com/ należy do domeny atakujacy.com, a nie do example.pl.

Kłopotliwe mogą być także domeny wykorzystujące podobne znaki, literówki, dodatkowe myślniki albo domeny najwyższego poziomu inne niż używane przez prawdziwą usługę. Certyfikat TLS i symbol kłódki potwierdzają szyfrowanie połączenia z konkretną domeną, ale nie potwierdzają, że właściciel domeny jest uczciwy. Atakujący może uzyskać prawidłowy certyfikat dla własnego adresu. Podejrzane są również linki, które po kilku sekundach zmieniają adres, otwierają nowe okno, wymagają ponownego logowania albo proszą o podanie hasła, kodu jednorazowego, numeru karty lub danych do zdalnego dostępu.

Ostrożność należy zachować przy adresach zawierających parametry takie jak url=, redirect=, next= lub return=. Nie są one same w sobie dowodem ataku, lecz często wskazują, że serwis przekazuje przeglądarkę do innego miejsca. Warto rozwinąć skrócony link albo samodzielnie wpisać adres usługi w pasku przeglądarki. Po przekierowaniu trzeba sprawdzić, czy domena nadal jest oczekiwana, zanim zostanie wpisane jakiekolwiek hasło.

Skutki otwarcia fałszywej strony

Samo wejście na stronę phishingową nie zawsze oznacza przejęcie konta. Ryzyko rośnie wtedy, gdy użytkownik wpisze dane, zaakceptuje podejrzany monit, pobierze plik albo zainstaluje program. Formularz może przekazać login i hasło do serwera oszusta, a następnie wyświetlić komunikat o błędzie lub przekierować użytkownika do prawdziwej witryny, aby ukryć kradzież. Jeżeli to samo hasło jest używane w kilku usługach, napastnik może próbować wykorzystać je także w innych miejscach.

Phishing może dotyczyć również kodów MFA, potwierdzeń logowania i danych sesji. Fałszywa witryna może działać jako pośrednik w czasie rzeczywistym: pobiera dane wpisane przez użytkownika i natychmiast przekazuje je do prawdziwej usługi, jednocześnie prosząc o kod z aplikacji uwierzytelniającej lub wiadomości SMS. Dlatego wieloskładnikowe uwierzytelnianie znacząco ogranicza skutki wycieku samego hasła, ale nie eliminuje zagrożenia, gdy użytkownik zatwierdzi nieoczekiwane logowanie na podstawie instrukcji z podejrzanej strony.

Po ujawnieniu danych należy jak najszybciej zmienić hasło na prawdziwej stronie, zakończyć aktywne sesje i sprawdzić historię logowań oraz reguły przekazywania wiadomości. W przypadku danych finansowych trzeba skontaktować się z bankiem lub wystawcą karty za pośrednictwem oficjalnego numeru. Jeżeli pobrano program lub uruchomiono załącznik, komputer powinien zostać odłączony od sieci do czasu sprawdzenia procesów, autostartu, rozszerzeń przeglądarki i systemu zabezpieczeń. Nie należy wpisywać kolejnych danych do formularzy otwartych z tego samego łańcucha przekierowań.

Sprawdzenie komputera po podejrzanym przekierowaniu

Podstawowa kontrola obejmuje historię przeglądania, pobrane pliki, nowe rozszerzenia oraz powiadomienia witryn. W przeglądarce można usunąć uprawnienia dla podejrzanych domen, zwłaszcza dostęp do powiadomień, kamery, mikrofonu i automatycznego pobierania. Warto sprawdzić, czy strona startowa, domyślna wyszukiwarka i ustawienia proxy nie zostały zmienione. Samo wyczyszczenie historii nie usuwa złośliwego programu, dlatego po uruchomieniu pobranego pliku potrzebne jest pełne skanowanie aktualnym oprogramowaniem ochronnym.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może sprawdzić objawy związane z niepożądanymi zmianami w systemie, przeglądarce lub konfiguracji uruchamiania. Przy zgłoszeniu warto podać dokładny adres początkowy i końcowy, godzinę zdarzenia, informację o wpisanych danych oraz nazwy pobranych plików. Takie dane ułatwiają odtworzenie przebiegu zdarzenia i odróżnienie zwykłego przekierowania reklamowego od sytuacji, w której doszło do instalacji niechcianego oprogramowania.

Podczas korzystania z komputera należy traktować nieoczekiwane przekierowanie jako sygnał do przerwania operacji, a nie jako zwykły błąd logowania. Bezpieczniej zamknąć kartę i otworzyć usługę z własnej zakładki lub ręcznie wpisanego adresu. Aktualizacje systemu, przeglądarki i programów zmniejszają ryzyko wykorzystania znanych luk, natomiast unikalne hasła i menedżer haseł pomagają wykryć inną domenę, ponieważ zapisane dane zwykle nie zostaną automatycznie wypełnione na nieznanej stronie.