scam jako spam

Scam jako spam to masowo rozsyłane oszustwo trafiające do przypadkowych odbiorców.

Różnica między zwykłym spamem a oszustwem rozsyłanym masowo

Spam sam w sobie jest niechcianą przesyłką handlową — irytuje, ale zwykle reklamuje istniejący produkt. Scam rozsyłany tym samym kanałem ma inny cel: wyłudzenie pieniędzy albo danych, przy czym oferowana rzecz nie istnieje w ogóle. Klasyczne warianty to wiadomość o spadku po nieznanym krewnym, informacja o wygranej w loterii, w której nikt nie brał udziału, fałszywe powiadomienie o zaległej opłacie za paczkę z linkiem do formularza płatności oraz oferta inwestycyjna z obiecywaną gwarantowaną stopą zwrotu. Rozsyłka jest nieukierunkowana, bo model opiera się na skali — wystarczy niewielki odsetek odpowiedzi.

Jak taka wiadomość dociera do skrzynki

Kanałów jest kilka. Najczęstszy to sieć zainfekowanych komputerów rozsyłających pocztę bez wiedzy właścicieli, przez co wiadomości pochodzą z tysięcy różnych adresów i trudno je odciąć jedną regułą. Drugi to przejęte konta w legalnych usługach pocztowych, gdzie napastnik korzysta z reputacji dostawcy. Trzeci to świeżo zarejestrowane domeny używane przez kilka dni i porzucane, zanim zdążą trafić na listy blokujące. Adresy odbiorców pochodzą z wycieków baz, z automatycznego zbierania ze stron internetowych oraz z generowania kombinacji popularnych imion przy dużych domenach pocztowych.

Rozpoznanie i typowe błędy odbiorców

Sygnały, które zwykle wystarczają: nadawca w polu odpowiedzi inny niż w polu nadawcy, adres docelowy linku różny od tekstu odnośnika, prośba o kontakt na darmową skrzynkę zamiast na adres w domenie rzekomej instytucji, żądanie zapłaty w kryptowalucie lub przez usługę przekazów pieniężnych, presja czasu liczona w godzinach. Najgorsze reakcje to odpowiedź na wiadomość, która potwierdza aktywność skrzynki, oraz kliknięcie linku rezygnacji w wiadomości oszukańczej — działa on jako potwierdzenie odbioru, nie jako wypisanie. Otwarcie załącznika z rozszerzeniem uruchamialnym, ukrytym pod nazwą sugerującą fakturę, kończy się zwykle instalacją oprogramowania szyfrującego pliki.

Po infekcji z załącznika

Najczęstszy scenariusz w warsztacie: użytkownik otworzył plik podszywający się pod fakturę i po kilkunastu minutach dokumenty na dysku mają obce rozszerzenie, a w katalogach leży plik z żądaniem okupu. Wtedy liczy się szybkość odłączenia maszyny od sieci, zanim zostanie zaszyfrowany zasób udostępniony na serwerze. Zajmujemy się takim postępowaniem — zabezpieczeniem obrazu dysku, oceną, co da się odzyskać z kopii i z kopii woluminów, oczyszczeniem stacji oraz przywróceniem działania systemu handlowego opartego o SQL Server, jeżeli zaszyfrowaniu uległy pliki bazy. Zgłoszenia przyjmujemy o każdej porze, także w nocy i w święta.