podszycie się pod dział IT

Podszycie się pod dział IT to atak wykorzystujący zaufanie pracowników do wewnętrznego wsparcia technicznego.

Na czym polega podszycie się pod dział IT

Podszycie się pod dział IT jest formą inżynierii społecznej, w której napastnik udaje pracownika pomocy technicznej, administratora albo zewnętrznego dostawcę usług informatycznych. Celem jest wykorzystanie zaufania do osoby, która zwykle może prosić o wykonanie czynności technicznej: potwierdzenie tożsamości, instalację programu, zmianę hasła, odczytanie kodu jednorazowego lub uruchomienie zdalnego dostępu. Atak nie musi rozpoczynać się od włamania do komputera. Często pierwszym etapem jest wiadomość e-mail, rozmowa telefoniczna, komunikator firmowy albo bezpośrednia rozmowa z użytkownikiem.

Napastnik może znać nazwę firmy, imię pracownika, używany system operacyjny lub nazwę popularnego programu. Takie informacje bywają dostępne w publicznych profilach, wcześniejszych wyciekach danych albo w korespondencji przejętej z innego konta. Wiadomość może zawierać podpis przypominający stopkę działu IT, adres podobny do firmowego oraz pilny powód kontaktu, na przykład rzekomą awarię konta, konieczność instalacji aktualizacji lub wykrycie złośliwego oprogramowania. Sama znajomość szczegółów technicznych nie potwierdza jednak, że kontakt pochodzi od uprawnionej osoby.

Typowy przebieg manipulacji użytkownikiem

Rozmowa zwykle jest konstruowana tak, aby ograniczyć czas na spokojną weryfikację. Osoba podszywająca się pod wsparcie może twierdzić, że komputer został wykryty w systemie monitorowania, konto zostanie zablokowane albo aktualizacja musi zostać wykonana natychmiast. Następnie może poprosić o wejście na wskazaną stronę, pobranie narzędzia do zdalnego pulpitu, podanie kodu sesji lub zaakceptowanie okna kontroli użytkownika. Program zdalnego dostępu sam w sobie nie musi być szkodliwy, ale przekazanie obcej osobie kodu dostępu może umożliwić jej obserwowanie ekranu i wykonywanie czynności na komputerze.

Innym wariantem jest wyłudzenie danych uwierzytelniających. Użytkownik otrzymuje link do strony przypominającej firmowy panel logowania, pocztę internetową albo usługę chmurową. Wpisane hasło trafia do napastnika, a kod wieloskładnikowego uwierzytelniania może zostać wyłudzony podczas tej samej rozmowy. Atakujący może również poprosić o odczytanie kodu z aplikacji uwierzytelniającej, chociaż prawdziwe wsparcie techniczne nie powinno wymagać przekazywania takiego kodu przez telefon lub komunikator.

Fałszywy kontakt może być bardziej wiarygodny, gdy napastnik wcześniej przejmie skrzynkę pocztową albo konto komunikatora. Wtedy wiadomość może zostać wysłana z prawidłowego konta, a jej treść może nawiązywać do rzeczywistego projektu. Weryfikacja powinna więc obejmować nie tylko nazwę nadawcy, lecz także niezależny kanał kontaktu i zakres żądanej czynności. Numer telefonu pokazany na ekranie nie jest wystarczającym dowodem tożsamości, ponieważ identyfikacja połączenia może zostać sfałszowana.

Weryfikacja żądania i ślady pozostawione w systemie

Bezpieczna reakcja polega na przerwaniu procedury i potwierdzeniu zgłoszenia przez znany wcześniej numer telefonu, wewnętrzny system zgłoszeń albo osobę odpowiedzialną za obsługę komputerów. Nie należy używać danych kontaktowych podanych w podejrzanej wiadomości. Przed rozpoczęciem zdalnej sesji warto sprawdzić, kto ją zlecił, jaki jest jej cel oraz jakie dokładnie czynności mają zostać wykonane. Nie powinno się podawać haseł, kodów jednorazowych ani kluczy odzyskiwania. Jeżeli instalacja programu jest konieczna, należy pobierać go z oficjalnego źródła i potwierdzić nazwę oraz wydawcę aplikacji.

Po podejrzanym kontakcie trzeba ustalić, czy wykonano którąkolwiek z żądanych czynności. W systemie można sprawdzić ostatnio zainstalowane programy, uruchomione aplikacje, historię pobierania, nowe rozszerzenia przeglądarki oraz aktywne sesje kont internetowych. Istotne są także alerty logowania, zmiany hasła, nowe metody uwierzytelniania i nieznane urządzenia przypisane do konta. Jeżeli użytkownik podał hasło, należy zmienić je z niezainfekowanego urządzenia i zakończyć obce sesje. Jeżeli uruchomiono zdalny dostęp lub podejrzany plik, komputer powinien zostać odłączony od sieci do czasu sprawdzenia.

Diagnostyka komputera po podejrzanym kontakcie

Diagnostyka powinna objąć zarówno stan systemu, jak i możliwe skutki przejęcia konta. Należy sprawdzić procesy uruchamiane wraz z systemem, zadania zaplanowane, usługi, reguły zapory oraz programy dopuszczone do komunikacji sieciowej. Warto zweryfikować, czy nie utworzono nowego lokalnego konta użytkownika i czy istniejące konto nie uzyskało nieuzasadnionych uprawnień administratora. Sam brak widocznego komunikatu ostrzegawczego nie oznacza, że komputer jest bezpieczny, ponieważ niektóre narzędzia zdalnego dostępu działają bez wyraźnych objawów dla użytkownika.

Przydatne są również informacje z dzienników systemowych i aplikacji zabezpieczających: czas uruchomienia programu, połączenia sieciowe, wykryte pliki oraz próby logowania. Wyniki trzeba porównać z relacją użytkownika, ponieważ pozwala to odróżnić zwykłą wiadomość ostrzegawczą od faktycznego uruchomienia pliku albo sesji zdalnej. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku podejrzenia nieautoryzowanego dostępu można zlecić sprawdzenie urządzenia oraz przywrócenie jego bezpiecznej konfiguracji.