Plik z niezaufanego źródła

Plik z niezaufanego źródła powinien być otwierany w widoku chronionym, bez włączania zawartości aktywnej.

Dlaczego plik z niezaufanego źródła jest traktowany ostrożniej

Plik z niezaufanego źródła to dokument, program lub inny obiekt pobrany albo otrzymany z miejsca, którego użytkownik nie może łatwo zweryfikować. Przykładem może być załącznik wiadomości e-mail, plik pobrany z nieznanej witryny, dokument przesłany przez komunikator albo plik skopiowany z obcego nośnika USB. Sam fakt, że plik ma rozszerzenie .docx, .xlsx lub .pdf, nie potwierdza jeszcze, że jego zawartość jest bezpieczna. Dokument może zawierać odsyłacze, osadzone obiekty, formularze, skrypty albo instrukcje nakłaniające do wykonania ryzykownej czynności.

W systemie Windows pliki pobrane z Internetu mogą otrzymać informację o pochodzeniu, znaną jako Mark of the Web. Jest ona zapisywana jako alternatywny strumień danych NTFS o nazwie Zone.Identifier, jeżeli sposób pobrania i system plików na to pozwalają. Program obsługujący dokument może wykorzystać tę informację do zastosowania dodatkowych ograniczeń. Nie oznacza ona automatycznie, że plik jest złośliwy, lecz sygnalizuje, że pochodzi spoza zaufanego obszaru komputera i powinien zostać oceniony przed użyciem.

Widok chroniony i ograniczenie zawartości aktywnej

Microsoft Office może otworzyć dokument z podejrzanego lub zewnętrznego źródła w widoku chronionym. W tym trybie plik jest prezentowany przede wszystkim do odczytu, a część operacji mogących zmienić system lub pobrać dodatkowe dane zostaje ograniczona. Użytkownik zwykle widzi komunikat ostrzegawczy oraz przycisk pozwalający włączyć edycję. Samo otwarcie dokumentu w widoku chronionym nie jest równoznaczne z uruchomieniem wszystkich jego funkcji.

Szczególnej ostrożności wymaga zawartość aktywna. Należą do niej między innymi makra VBA w plikach Office z obsługą makr, takie jak .docm lub .xlsm, kontrolki ActiveX, niektóre połączenia zewnętrzne, osadzone obiekty oraz odwołania do treści pobieranych z sieci. Współczesne wersje Microsoft 365 i pakietu Office mogą domyślnie blokować makra w plikach z Mark of the Web. Kliknięcie opcji „Włącz zawartość” albo „Włącz edycję” może jednak zmienić poziom ochrony, dlatego takiej decyzji nie należy podejmować wyłącznie po to, aby usunąć pasek ostrzegawczy.

Bezpieczna ocena dokumentu przed jego użyciem

Przed otwarciem pliku warto sprawdzić, kto go przesłał, czy wiadomość rzeczywiście pochodzi od tej osoby oraz czy oczekiwany był taki załącznik. Należy zwrócić uwagę na pełną nazwę pliku i jego rozszerzenie. Nazwa w rodzaju faktura.pdf.exe może być myląca, jeżeli system ukrywa znane rozszerzenia. Nie należy ufać samemu wyglądowi ikony, nazwie nadawcy ani treści zawartej w dokumencie. Jeżeli plik ma pochodzić od kontrahenta, bezpieczniej potwierdzić jego wysłanie innym kanałem komunikacji.

Plik można najpierw zapisać bez uruchamiania i przeskanować aktualnym programem ochronnym. W systemie Windows dostępna jest funkcja skanowania za pomocą Microsoft Defender po użyciu menu kontekstowego pliku, o ile jest ona aktywna w danej konfiguracji. Dokument można także otworzyć w trybie ograniczonym, bez włączania makr, edycji i zewnętrznych połączeń. Jeżeli po otwarciu pojawia się prośba o aktywowanie makr, zalogowanie się, podanie hasła, wykonanie polecenia w PowerShellu lub skopiowanie treści do innego programu, jest to sygnał do przerwania działania i ponownej weryfikacji źródła.

Nie należy usuwać oznaczenia pochodzenia za pomocą przypadkowych porad znalezionych w Internecie. Odblokowanie pliku może sprawić, że aplikacja przestanie stosować ograniczenia przewidziane dla dokumentów pobranych z sieci. Jeżeli dokument jest potrzebny do pracy, należy uzyskać jego potwierdzoną kopię, sprawdzić ją w narzędziu ochronnym i uruchamiać tylko te funkcje, które są rzeczywiście wymagane. Zaufanej lokalizacji nie powinno się używać jako sposobu na obchodzenie ostrzeżeń dla nieznanych dokumentów.

Gdy dokument powoduje ostrzeżenia lub nieoczekiwane działanie

Jeżeli plik po otwarciu wyświetla nietypowe komunikaty, samoczynnie uruchamia program, przekierowuje do strony logowania, tworzy nowe pliki albo powoduje nagłe spowolnienie komputera, należy zamknąć dokument i odłączyć komputer od sieci, jeżeli istnieje podejrzenie aktywnego incydentu. Nie wolno wpisywać haseł do okna otwartego z podejrzanego dokumentu ani zezwalać na makra bez ustalenia ich pochodzenia. Warto zapamiętać nazwę pliku, lokalizację, czas zdarzenia i komunikaty wyświetlane przez system, ponieważ ułatwia to późniejszą diagnostykę.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki może również sprawdzić skutki otwarcia podejrzanego dokumentu, działanie programów ochronnych oraz podstawowe objawy infekcji systemu. Po takim zdarzeniu należy zmienić hasła używane na komputerze, ale najlepiej zrobić to z innego, zaufanego urządzenia, szczególnie gdy dokument mógł przechwytywać wpisy z klawiatury. W przypadku komputera firmowego dodatkowe kroki, takie jak zgłoszenie incydentu administratorowi lub przełożonemu, powinny wynikać z obowiązujących procedur organizacji.