podejrzenie phishingu

Podejrzenie phishingu to sygnał, po którym wiadomości nie należy otwierać, lecz zgłosić działowi bezpieczeństwa.

Podejrzenie phishingu jako sygnał ostrzegawczy

Podejrzenie phishingu oznacza, że wiadomość, strona internetowa, wiadomość SMS albo komunikat w komunikatorze może służyć do wyłudzenia danych. Phishing polega na podszywaniu się pod bank, sklep internetowy, operatora płatności, urząd, pracodawcę lub inną znaną osobę albo organizację. Celem może być uzyskanie hasła, kodu jednorazowego, danych karty płatniczej, dostępu do poczty elektronicznej lub nakłonienie do zainstalowania programu. Samo podejrzenie nie jest jeszcze dowodem skutecznego ataku, ale powinno zatrzymać dalszą interakcję z komunikatem.

Typowe sygnały ostrzegawcze to presja czasu, żądanie natychmiastowego zalogowania, informacja o rzekomej blokadzie konta, nietypowy adres nadawcy, błędy językowe, niespodziewany załącznik oraz link prowadzący do adresu różniącego się od prawdziwej domeny. Niektóre fałszywe wiadomości są jednak napisane poprawnie i mogą pochodzić z przejętego konta prawdziwego użytkownika. Dlatego nie należy oceniać bezpieczeństwa wyłącznie na podstawie wyglądu logo, podpisu ani poprawności językowej.

Jak bezpiecznie ocenić wiadomość lub odnośnik

Wiadomości budzącej podejrzenie phishingu nie należy otwierać w celu sprawdzenia załącznika ani klikać umieszczonego w niej odnośnika. Bezpieczniejsza procedura polega na niezależnym wejściu na oficjalną stronę przez ręczne wpisanie znanego adresu lub użycie wcześniej zapisanej zakładki. Jeżeli komunikat dotyczy banku, płatności albo konta internetowego, sprawę można zweryfikować przez oficjalną aplikację, numer telefonu opublikowany na stronie instytucji lub inny kanał uzyskany niezależnie od podejrzanej wiadomości.

Adres odnośnika można sprawdzić bez jego otwierania, na przykład przez wskazanie go kursorem na komputerze albo przytrzymanie odnośnika w aplikacji mobilnej, o ile program pokazuje pełny adres. Należy zwrócić uwagę na właściwą domenę, dodatkowe człony nazwy, literówki, znaki podobne do innych znaków oraz skracacze adresów. Kłódka i szyfrowane połączenie HTTPS potwierdzają szyfrowanie transmisji, ale nie potwierdzają, że strona należy do właściwej firmy. Fałszywa witryna również może korzystać z certyfikatu TLS.

Postępowanie po kliknięciu lub wpisaniu danych

Jeżeli doszło tylko do kliknięcia odnośnika, lecz nie wpisano danych i nie uruchomiono pliku, należy zamknąć stronę, nie pobierać żadnych programów oraz uruchomić aktualne skanowanie ochrony antywirusowej. Warto również sprawdzić historię pobierania przeglądarki i usunąć pliki, których pochodzenia nie można potwierdzić. Jeżeli otwarta strona prosiła o zainstalowanie dodatku, aplikacji lub aktualizacji, nie należy spełniać tego żądania.

Po wpisaniu hasła na podejrzanej stronie trzeba niezwłocznie zmienić je na prawdziwej stronie usługi. Jeżeli to samo hasło było używane w innych serwisach, należy zmienić je także tam, ponieważ przejęte dane mogą zostać wykorzystane automatycznie. Gdy wyłudzono kod jednorazowy, dane karty lub dane do bankowości elektronicznej, konieczny jest szybki kontakt z bankiem albo dostawcą usługi przez oficjalny kanał. W przypadku konta pocztowego należy sprawdzić aktywne sesje, urządzenia, reguły automatycznego przekazywania wiadomości i dane odzyskiwania konta. Zmiana hasła może nie wystarczyć, jeśli napastnik uzyskał trwały dostęp albo użytkownik uruchomił złośliwy program.

Podejrzaną wiadomość można zgłosić administratorowi bezpieczeństwa w firmie, operatorowi poczty, bankowi lub właściwej platformie. Warto zachować informacje potrzebne do analizy, takie jak adres nadawcy, temat, pełny adres strony i czas zdarzenia, ale nie należy przekazywać haseł ani kodów dostępu. Przy podejrzeniu infekcji komputera należy odłączyć urządzenie od sieci, jeżeli dalsza komunikacja mogłaby umożliwić zdalne działania, a następnie zabezpieczyć istotne informacje o zdarzeniu. Nie powinno się samodzielnie usuwać wszystkich śladów przed diagnozą, ponieważ może to utrudnić ustalenie, co zostało uruchomione.

Sprawdzenie komputera po incydencie phishingowym

Diagnostyka komputera po podejrzanym phishingu powinna obejmować sprawdzenie ostatnio pobranych plików, uruchamianych aplikacji, programów startowych, rozszerzeń przeglądarki oraz zmian w ustawieniach systemu. Istotne jest odróżnienie samego przekierowania do fałszywej strony od sytuacji, w której uruchomiono plik wykonywalny, makro dokumentu albo instalator. Zakres ryzyka zależy od tego, jakie działania wykonano po otrzymaniu wiadomości i jakie uprawnienia miał używany użytkownik.

W praktyce trzeba zweryfikować aktualność systemu operacyjnego, przeglądarki i ochrony antywirusowej, ale sama aktualizacja nie cofa skutków podania danych ani nie unieważnia aktywnej sesji napastnika. Po przejęciu konta należy prowadzić analizę zarówno urządzenia, jak i samej usługi internetowej. Na komputerze można sprawdzić obecność nieznanych procesów, aplikacji i rozszerzeń, natomiast po stronie konta trzeba przejrzeć historię logowań, aktywne urządzenia i ustawienia bezpieczeństwa. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów systemowych oraz sprawdzenie urządzenia po uruchomieniu podejrzanego pliku.