polityka ochrony przed phishingiem

Polityka ochrony przed phishingiem obejmuje szkolenia, filtry techniczne i procedurę zgłaszania podejrzanych wiadomości.

Zakres polityki ochrony przed phishingiem

Polityka ochrony przed phishingiem to zestaw zasad organizacyjnych i technicznych ograniczających ryzyko, że użytkownik poda oszustowi hasło, kod jednorazowy, dane karty albo inne informacje potrzebne do przejęcia konta. Phishing polega na podszywaniu się pod zaufaną osobę, firmę lub usługę. Wiadomość może prowadzić do fałszywej strony logowania, nakłaniać do otwarcia załącznika albo wymuszać pilne wykonanie przelewu. Sama poprawna konfiguracja filtra pocztowego nie zastępuje ostrożności użytkownika, ponieważ część ataków wykorzystuje wiadomości, które wyglądają wiarygodnie i nie zawierają typowych oznak spamu.

Podstawą polityki jest określenie, jakie wiadomości należy traktować jako podejrzane, komu je zgłaszać i jak postępować po kliknięciu odsyłacza lub otwarciu pliku. Zasady powinny obejmować pocztę elektroniczną, komunikatory, wiadomości SMS oraz formularze kontaktowe, ponieważ phishing nie ogranicza się do jednego kanału. Należy również wskazać, że prośby o ujawnienie hasła, kodu MFA, numeru karty lub zatwierdzenie nietypowej operacji wymagają niezależnego potwierdzenia, na przykład przez znany wcześniej numer telefonu.

Szkolenia i rozpoznawanie sygnałów ostrzegawczych

Szkolenie użytkowników powinno wyjaśniać, jak analizować nadawcę, domenę oraz treść wiadomości. Adres wyświetlany w polu nadawcy może różnić się od rzeczywistego adresu e-mail, dlatego warto sprawdzić pełny adres i domenę po znaku „@”. Podobnie odsyłacz może prezentować tekst sugerujący prawidłową witrynę, lecz prowadzić do innego adresu. Przed zalogowaniem należy sprawdzić domenę w pasku adresu przeglądarki i korzystać z zapisanej zakładki albo ręcznie wpisanego adresu usługi.

Niepokój powinny wzbudzać presja czasu, groźba zablokowania konta, żądanie zachowania sprawy w tajemnicy, nietypowa forma płatności oraz prośba o przesłanie danych, które zwykle nie są wymagane przez daną usługę. Błędy językowe mogą być wskazówką, ale ich brak nie oznacza bezpieczeństwa. Wiadomość wysłana z przejętego prawdziwego konta może mieć poprawną składnię i zawierać prawidłową stopkę. Z tego powodu decyzja powinna opierać się na niezależnym potwierdzeniu żądania, a nie wyłącznie na wyglądzie wiadomości.

Ćwiczenia edukacyjne można prowadzić na kontrolowanych, wyraźnie oznaczonych przykładach, bez zbierania prawdziwych haseł. Ich celem jest przećwiczenie rozpoznania sygnałów ostrzegawczych, użycia przycisku zgłoszenia oraz przerwania podejrzanej czynności. Szkolenie powinno także obejmować procedurę po incydencie: odłączenie podejrzanej sesji, zmianę hasła z bezpiecznego urządzenia, zgłoszenie zdarzenia i zachowanie wiadomości wraz z nagłówkami do analizy.

Filtry techniczne i uwierzytelnianie poczty

Filtry pocztowe mogą oceniać reputację nadawcy, adres IP, domenę, treść wiadomości, typ załącznika oraz odsyłacze. Mechanizmy SPF, DKIM i DMARC służą do ograniczania podszywania się pod domenę nadawcy. SPF określa, które serwery mogą wysyłać pocztę dla domeny. DKIM dodaje podpis kryptograficzny do wiadomości, a serwer odbiorcy może zweryfikować, czy treść i wybrane nagłówki nie zostały zmienione. DMARC pozwala właścicielowi domeny określić sposób postępowania z wiadomościami, które nie przechodzą kontroli oraz otrzymywać raporty o próbach użycia domeny.

Wdrożenie tych mechanizmów nie eliminuje całego phishingu. Wiadomość może pochodzić z prawidłowo skonfigurowanej, lecz złośliwej domeny albo z legalnego konta, które zostało przejęte. Dlatego filtry powinny współpracować z ochroną przed złośliwymi odsyłaczami, skanowaniem załączników i blokowaniem niebezpiecznych typów plików. Ostrożności wymagają zwłaszcza dokumenty zawierające makra, pliki wykonywalne, archiwa chronione hasłem oraz załączniki proszące o włączenie zawartości aktywnej.

Drugą warstwę ochrony stanowi uwierzytelnianie wieloskładnikowe. Hasło nie powinno być jedynym elementem potwierdzającym tożsamość, ponieważ może zostać wyłudzone lub wykorzystane ponownie po wycieku z innej usługi. Kod z aplikacji uwierzytelniającej, klucz sprzętowy albo inna metoda MFA ogranicza skutki przejęcia samego hasła, choć nie chroni przed każdym atakiem. Użytkownik nadal może zatwierdzić logowanie na fałszywej stronie, dlatego należy sprawdzać adres witryny i nie akceptować nieoczekiwanych żądań uwierzytelnienia.

Procedura zgłaszania i działania po podejrzanej wiadomości

Procedura zgłaszania powinna wskazywać jeden łatwo dostępny kanał, na przykład funkcję „Zgłoś phishing” w programie pocztowym albo ustalony adres działu odpowiedzialnego za bezpieczeństwo. Wiadomości nie należy przekazywać dalej w sposób, który może uruchomić zawarte w niej odsyłacze. Do analizy warto zachować oryginalną wiadomość wraz z pełnymi nagłówkami, ponieważ zawierają one informacje o trasie dostarczenia, serwerach pośredniczących i wynikach kontroli uwierzytelnienia. Nie należy usuwać jedynego egzemplarza przed zgłoszeniem.

Jeżeli doszło do kliknięcia odsyłacza, wpisania hasła lub otwarcia podejrzanego pliku, trzeba niezwłocznie przerwać dalsze działania i poinformować osobę odpowiedzialną za obsługę incydentu. Hasło należy zmienić na stronie otwieranej z niezależnego, zaufanego adresu, a nie z otrzymanej wiadomości. Jeżeli to samo hasło było używane w innych usługach, powinno zostać zmienione również tam. W zależności od sytuacji należy unieważnić aktywne sesje, sprawdzić historię logowań, przejrzeć reguły przekazywania poczty i zweryfikować, czy na urządzeniu nie pojawiło się nieznane oprogramowanie.

W przypadku podejrzenia infekcji komputera nie powinno się kontynuować pracy na nim ani podłączać do niego kolejnych nośników. Diagnostyka może obejmować analizę procesów, autostartu, rozszerzeń przeglądarki, plików tymczasowych, logów systemowych i komunikacji sieciowej. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC oraz ich podzespołów, dlatego może przeprowadzić diagnostykę sprzętu i systemu w zakresie związanym z działaniem komputera po podejrzanym zdarzeniu.