podszywanie się pod pracownika

Podszywanie się pod pracownika to atak wykorzystujący znajomość struktury organizacji i relacji służbowych.

Na czym polega podszywanie się pod pracownika

Podszywanie się pod pracownika jest formą inżynierii społecznej, w której napastnik udaje osobę należącą do organizacji, aby skłonić odbiorcę do określonego działania. Może przedstawiać się jako pracownik działu IT, księgowości, helpdesku, operatora systemu albo przełożony. Do uwiarygodnienia historii wykorzystuje publicznie dostępne informacje, takie jak nazwy działów, stanowiska, podpisy w wiadomościach, numery telefonów, adresy poczty elektronicznej i strukturę firmy. Sam atak nie wymaga włamania do komputera, ponieważ jego podstawowym narzędziem jest manipulacja decyzją człowieka.

Kontakt może odbywać się przez pocztę elektroniczną, telefon, komunikator, wiadomość SMS albo fałszywą stronę logowania. Napastnik często tworzy presję czasu, powołuje się na awarię, pilną płatność, blokadę konta lub konieczność wykonania aktualizacji. Charakterystyczne jest żądanie czynności, których prawdziwy pracownik nie powinien wymagać w taki sposób: podania hasła, przepisania kodu jednorazowego, zainstalowania programu do zdalnego dostępu, otwarcia załącznika albo zmiany numeru rachunku kontrahenta.

Techniczne ślady fałszywego kontaktu

Wiadomość od osoby podszywającej się pod pracownika może wyglądać poprawnie w warstwie wizualnej, ale jej właściwości techniczne często wskazują na oszustwo. W poczcie elektronicznej należy porównać wyświetlaną nazwę nadawcy z pełnym adresem, domeną oraz adresem użytym w polu odpowiedzi. Domena może różnić się jedną literą od prawidłowej, wykorzystywać podobny znak albo zawierać dodatkowy człon. Warto także sprawdzić adres docelowy linku bez otwierania go oraz zwrócić uwagę na skrócone adresy, przekierowania i domeny niezwiązane z organizacją.

Wiadomości są obsługiwane przez mechanizmy uwierzytelniania domeny, między innymi SPF, DKIM i DMARC. SPF pozwala właścicielowi domeny określić dozwolone serwery wysyłające, DKIM dodaje podpis kryptograficzny do wiadomości, a DMARC określa sposób postępowania z wiadomościami, które nie przejdą kontroli domeny lub zgodności adresu nadawcy. Brak pozytywnego wyniku tych kontroli nie dowodzi samodzielnie oszustwa, ponieważ problemy mogą wynikać z błędnej konfiguracji przekazywania poczty. Jest jednak sygnałem, aby nie wykonywać poleceń bez niezależnego potwierdzenia.

Jak zweryfikować polecenie bez ujawniania dostępu

Najbezpieczniejsza weryfikacja wykorzystuje drugi, niezależny kanał komunikacji. Jeśli wiadomość nakazuje kontakt z konkretnym numerem, nie należy używać numeru podanego w tej samej wiadomości. Trzeba znaleźć numer w firmowej książce kontaktów, na oficjalnej stronie organizacji albo skontaktować się bezpośrednio z przełożonym. W rozmowie warto potwierdzić nazwisko osoby, cel operacji, zakres wymaganych uprawnień i sposób zatwierdzenia czynności. Prawdziwa procedura może wymagać zgłoszenia w systemie, akceptacji przez drugą osobę lub użycia firmowego kanału serwisowego.

Nie wolno przekazywać haseł, kodów MFA, kluczy odzyskiwania, certyfikatów, plików z konfiguracją ani danych zapisanych w przeglądarce. Pracownik pomocy technicznej nie potrzebuje hasła użytkownika do sprawdzenia typowego problemu, a program zdalnego dostępu powinien być instalowany wyłącznie zgodnie z zatwierdzoną procedurą. Jeżeli użytkownik już kliknął podejrzany odnośnik, podał dane lub uruchomił nieznany program, powinien przerwać dalszą komunikację, odłączyć komputer od sieci, skontaktować się z administratorem z innego urządzenia i zmienić hasła z bezpiecznego stanowiska. Należy również zachować wiadomości, nagłówki pocztowe, numery telefonów i zrzuty ekranu, ponieważ ułatwiają analizę zdarzenia.

Sprawdzenie komputera po kontakcie z oszustem

Po podejrzanej rozmowie lub wiadomości komputer wymaga oceny zakresu wykonanych działań. Trzeba sprawdzić ostatnio pobrane pliki, historię uruchamiania programów, zainstalowane aplikacje oraz aktywne sesje kont. Szczególnej uwagi wymagają narzędzia umożliwiające zdalne sterowanie, nieznane rozszerzenia przeglądarki i programy uruchamiane razem z systemem. Samo usunięcie ikony programu nie zawsze usuwa usługę działającą w tle ani nie unieważnia wcześniej przyznanych uprawnień. Jeżeli napastnik uzyskał dostęp do konta, konieczne może być wylogowanie wszystkich sesji, unieważnienie tokenów, odtworzenie ustawień zabezpieczeń i sprawdzenie reguł przekierowania poczty.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku podejrzenia skutków podszywania się pod pracownika może pomóc w sprawdzeniu systemu, usunięciu niepożądanego oprogramowania oraz przywróceniu bezpiecznej konfiguracji urządzenia. Przed przekazaniem sprzętu warto opisać dokładny przebieg zdarzenia i wskazać, jakie dane mogły zostać ujawnione. Jeżeli incydent dotyczył konta firmowego, kontrolę komputera należy połączyć z działaniami administratora tego konta, ponieważ sama naprawa urządzenia nie cofnie przejęcia hasła ani aktywnej sesji.