przekazanie danych przestępcy

Przekazanie danych przestępcy to skutek udanego ataku socjotechnicznego lub phishingowego.

Przekazanie danych przestępcy — czym jest to zagrożenie

Przekazanie danych przestępcy oznacza sytuację, w której osoba nieuprawniona uzyskuje informacje pozwalające przejąć konto, wykonać operację finansową, podszyć się pod właściciela danych albo przygotować kolejny etap oszustwa. Nie musi dojść do fizycznego włamania do urządzenia. W wielu przypadkach wystarcza wiadomość wyglądająca jak komunikat banku, operatora pocztowego, sklepu internetowego, urzędu lub znanej usługi sieciowej. Kliknięcie odnośnika, otwarcie załącznika, podanie kodu jednorazowego albo zaakceptowanie nietypowego logowania może spowodować ujawnienie danych logowania i informacji identyfikacyjnych.

Do przekazania może dojść świadomie, gdy użytkownik wypełnia fałszywy formularz, albo nieświadomie, gdy złośliwy program odczytuje zapisane hasła, pliki cookie, dokumenty i dane kontaktowe. Warto odróżnić samo otrzymanie podejrzanej wiadomości od faktycznego wycieku informacji. Wiadomość może być próbą oszustwa, natomiast przekazanie danych następuje dopiero wtedy, gdy dane zostaną wpisane, przesłane, zatwierdzone lub pobrane przez niepożądany mechanizm.

Przekazanie danych przestępcy w kontekście technicznym i porównania

W ujęciu technicznym zdarzenie może mieć kilka postaci. Najczęściej ujawniane są login i hasło, ale równie istotne bywają numer telefonu, adres poczty elektronicznej, dane dokumentu, informacje o płatności, kody autoryzacyjne, pytania pomocnicze, kopie umów oraz zdjęcia zawierające dane osobowe. Osobną kategorię stanowią tokeny sesyjne i pliki cookie. Ich przejęcie może pozwolić na dostęp do już otwartej sesji bez ponownego wpisywania hasła.

Phishing polega zwykle na nakłonieniu do działania za pośrednictwem fałszywej strony lub wiadomości. Vishing wykorzystuje rozmowę telefoniczną, a smishing — wiadomości SMS. W przypadku złośliwego oprogramowania dane mogą zostać odczytane bez bezpośredniego wpisania ich na stronie oszusta. Różnica ma znaczenie dla dalszej reakcji, ponieważ należy sprawdzić nie tylko hasła, lecz także stan urządzenia, aktywne sesje, rozszerzenia przeglądarki, aplikacje uruchamiane przy starcie oraz reguły przekazywania wiadomości.

Przekazanie hasła różni się od ujawnienia kodu jednorazowego, choć oba zdarzenia mogą prowadzić do przejęcia konta. Hasło może pozostać użyteczne przez dłuższy czas, natomiast kod autoryzacyjny bywa ważny tylko w określonym momencie. Nie oznacza to jednak, że kod jest niegroźny. Jeżeli oszust prowadzi rozmowę w czasie rzeczywistym, może wykorzystać go natychmiast do zatwierdzenia logowania, zmiany ustawień lub zlecenia operacji.

Innym problemem jest przekazanie danych w wyniku manipulacji, a innym ich ujawnienie po instalacji programu zdalnego dostępu. W pierwszym przypadku głównym narzędziem oszustwa jest perswazja. W drugim konieczne może być odłączenie urządzenia od sieci, usunięcie nieznanego oprogramowania i sprawdzenie, czy nie pozostawiono dodatkowych kont użytkowników lub mechanizmów ponownego połączenia.

Przekazanie danych przestępcy a typowe problemy na komputerze

Po ujawnieniu informacji często pojawiają się objawy, które nie wskazują jednoznacznie na przyczynę. Może dojść do nieoczekiwanych powiadomień o logowaniu, zmian w profilu, wiadomości wysyłanych bez wiedzy właściciela, blokady dostępu, nowych reguł w skrzynce pocztowej albo próśb znajomych o pożyczkę wysyłanych z przejętego konta. W przeglądarce mogą pojawić się nieznane rozszerzenia, przekierowania na obce strony, reklamy otwierające się poza kontekstem odwiedzanej witryny lub komunikaty nakazujące pilne skanowanie.

Częstym problemem jest utrata kontroli nad pocztą elektroniczną. Osoba nieuprawniona może ustawić własny adres odzyskiwania, zmienić numer telefonu, usunąć alerty bezpieczeństwa albo utworzyć regułę przenoszącą wiadomości do ukrytego folderu. Dzięki temu właściciel konta może nie zauważyć korespondencji dotyczącej zmiany hasła, zakupu lub próby odzyskania dostępu.

Na komputerze mogą zostać zapisane dokumenty zawierające dane innych osób. Ich dalsze przekazanie zwiększa zakres szkody, ponieważ incydent przestaje dotyczyć wyłącznie jednego konta. Dlatego nie powinno się pochopnie usuwać plików, formatować urządzenia ani kasować historii zdarzeń. Warto zachować wiadomości, adresy stron, numery zgłoszeń, nazwy plików i przybliżony czas wykonania podejrzanej czynności. Takie informacje ułatwiają ustalenie przebiegu zdarzenia.

Jeżeli pojawiło się podejrzenie zdalnego sterowania, nie należy kontynuować zwykłej pracy na urządzeniu. Odłączenie przewodu sieciowego lub wyłączenie połączenia bezprzewodowego może ograniczyć dalszą komunikację. Przy podejrzeniu szyfrowania plików nie powinno się uruchamiać przypadkowych programów naprawczych ani nadpisywać dysku, ponieważ może to utrudnić późniejsze odzyskanie danych.

Przekazanie danych przestępcy — praktyczne wskazówki po incydencie

Pierwszym działaniem powinno być zabezpieczenie konta zaufanego urządzenia, o ile istnieje pewność, że nie zostało zainfekowane. Należy zmienić hasło na unikatowe, wylogować wszystkie aktywne sesje i sprawdzić metody odzyskiwania dostępu. To samo hasło nie powinno być używane w innych usługach. Jeżeli było powtarzane, trzeba zmienić je wszędzie, gdzie występowało.

Następnie warto przejrzeć historię logowań, listę urządzeń, aplikacje połączone z kontem, reguły poczty oraz ustawienia przekazywania wiadomości. Podejrzane sesje należy zakończyć. W przypadku konta powiązanego z płatnościami trzeba skontaktować się z dostawcą usługi za pośrednictwem oficjalnego numeru lub aplikacji, a nie przez dane znajdujące się w podejrzanej wiadomości. Jeżeli ujawniono dane dokumentu lub informacje umożliwiające podszycie się pod konkretną osobę, należy rozważyć zgłoszenie incydentu właściwym instytucjom.

Na urządzeniu przydatne jest pełne skanowanie zaufanym programem ochronnym, aktualizacja systemu i przeglądarki oraz kontrola listy zainstalowanych aplikacji. Samo skanowanie nie zawsze wystarcza, zwłaszcza gdy doszło do przejęcia sesji albo instalacji narzędzia działającego z uprawnieniami użytkownika. Trzeba również sprawdzić, czy nie zmieniono ustawień DNS, serwera proxy, zapory sieciowej i automatycznego uruchamiania programów.

Przydatną ochroną na przyszłość jest uwierzytelnianie wieloskładnikowe, najlepiej z użyciem aplikacji uwierzytelniającej lub klucza bezpieczeństwa. Należy czytać pełny adres strony, zwracać uwagę na literówki w nazwie domeny i nie zatwierdzać powiadomień logowania, których samodzielnie nie rozpoczęto. Żaden wiarygodny kontakt nie powinien wymagać podania hasła, kodu autoryzacyjnego ani zainstalowania programu pod presją czasu.

Kiedy zgłosić przekazanie danych przestępcy do serwisu

Do serwisu warto zgłosić się wtedy, gdy po ujawnieniu danych występują przekierowania, nieznane programy, samoczynne logowania, zmiany ustawień, problemy z uruchamianiem systemu albo podejrzenie zdalnego dostępu. Pomoc techniczna jest również wskazana, gdy nie wiadomo, czy urządzenie zostało tylko wykorzystane do wpisania danych, czy także zainfekowane. W Warszawskim Pogotowiu Komputerowym 24/7 można przekazać komputer do sprawdzenia pod kątem objawów związanych z przejęciem konta, złośliwym oprogramowaniem i nieautoryzowanymi zmianami.

Przed przekazaniem urządzenia dobrze jest przygotować opis zdarzenia: treść wiadomości, adres odwiedzonej strony, wykonane czynności, moment pojawienia się objawów oraz listę kont, których mogło dotyczyć zdarzenie. Nie należy podawać osobom postronnym aktualnych haseł ani kodów bezpieczeństwa. Jeżeli hasło zostało już zmienione, można przygotować informację o tym, które konta zabezpieczono i czy zakończono wszystkie sesje.

Do zgłoszenia incydentu nie trzeba czekać na całkowitą utratę dostępu. Wczesna reakcja ogranicza możliwość wykorzystania danych do kolejnych oszustw, przejęcia kontaktów i podszywania się pod właściciela. Szczególnie szybko należy działać wtedy, gdy doszło do podania kodu autoryzacyjnego, uruchomienia programu zdalnego dostępu, przesłania skanu dokumentu lub zauważenia operacji, której samodzielnie nie wykonano.