rozsyłanie phishingu

Rozsyłanie phishingu to masowa kampania wiadomości wyłudzających dane od odbiorców.

Anatomia masowej wysyłki wyłudzającej dane

Kampania phishingowa składa się z czterech elementów: przejętego lub wynajętego kanału wysyłki, treści podszywającej się pod znaną instytucję, strony przechwytującej dane oraz mechanizmu odbioru tego, co ofiara wpisze. Najczęstsze scenariusze w polskich skrzynkach to fałszywe dopłaty do przesyłki, rzekome blokady konta bankowego, faktury do zapłaty z załącznikiem oraz wiadomości podszywające się pod stronę logowania do poczty firmowej. Coraz częściej strona docelowa działa po HTTPS z poprawnym certyfikatem, więc obecność kłódki w pasku adresu przestała być jakąkolwiek przesłanką wiarygodności.

Rozpoznawanie po nagłówkach, nie po wyglądzie

Treść da się skopiować co do piksela, więc pewna weryfikacja zaczyna się od źródła wiadomości. W kliencie pocztowym warto otworzyć podgląd nagłówków i sprawdzić pole Return-Path oraz wyniki uwierzytelnienia w Authentication-Results — wpisy dkim=fail albo spf=softfail przy rzekomej wiadomości z banku przesądzają sprawę. Drugi trop to rzeczywisty adres odnośnika, widoczny po najechaniu kursorem: podmieniona domena często różni się jedną literą, myślnikiem albo doklejonym członem przed prawdziwą nazwą. Osobna kategoria to załączniki — plik z podwójnym rozszerzeniem, archiwum chronione hasłem podanym w treści albo dokument proszący o włączenie makr to sygnały jednoznaczne.

Co się dzieje, gdy to firmowa skrzynka rozsyła phishing

Bywa gorszy wariant: to nie klient dostał phishing, tylko jego konto stało się nadajnikiem. Po przejęciu hasła atakujący loguje się do skrzynki, zakłada regułę przenoszącą odpowiedzi do folderu Elementy usunięte i rozsyła wiadomości do całej książki adresowej — wiarygodne, bo idą z prawdziwej domeny i często stanowią odpowiedź w istniejącym wątku. Skutkiem jest wpis domeny na listy reputacyjne i odrzucanie całej firmowej poczty. Sprzątanie wymaga nie tylko zmiany hasła: trzeba unieważnić aktywne sesje, usunąć reguły przekierowań, sprawdzić hasła aplikacyjne i przejrzeć logi logowań pod kątem obcych adresów.

Reakcja po przejęciu konta i zabezpieczenie stacji roboczych

Do takich zgłoszeń jeździmy o każdej porze, bo trwający atak nie czeka na godziny pracy. Odcinamy dostęp intruzowi, przeglądamy reguły skrzynki i historię uwierzytelnień, sprawdzamy komputer użytkownika pod kątem programu przechwytującego klawiaturę i wdrażamy logowanie dwuskładnikowe. Jeśli phishing dotarł do systemu handlowego na SQL Server, weryfikujemy, czy nie zmieniono w nim numerów rachunków bankowych kontrahentów — to najczęstszy cel takich ataków w firmach.