spoofing masowy

Spoofing masowy to kampania podszywająca się pod zaufaną markę i kierowana do szerokiego grona odbiorców.

Na czym polega spoofing masowy

Spoofing masowy to kampania, w której napastnik podszywa się pod znaną firmę, bank, sklep internetowy, operatora płatności albo dostawcę usług i wysyła podobne komunikaty do dużej liczby odbiorców. Celem nie jest zwykle włamanie do każdego urządzenia z osobna, lecz wykorzystanie skali: wystarczy, że niewielka część adresatów kliknie odnośnik, otworzy załącznik, poda hasło lub wykona przelew. Wiadomość może wyglądać jak faktura, alert o blokadzie konta, potwierdzenie zamówienia albo prośba o pilną aktualizację danych.

Podszywanie może dotyczyć różnych elementów komunikacji. W poczcie elektronicznej fałszowany jest adres nadawcy widoczny w polu „Od”, nazwa wyświetlana obok adresu, domena przypominająca prawdziwą oraz treść graficzna wiadomości. W wiadomościach SMS napastnik może próbować wykorzystać nazwę nadawcy prezentowaną przez operatora, a w rozmowach telefonicznych możliwe jest fałszowanie numeru prezentowanego na ekranie odbiorcy. W każdym przypadku istotą ataku jest stworzenie pozoru, że komunikat pochodzi z wiarygodnego źródła.

Jak kampania dociera do użytkownika

Masowy spoofing często łączy podszywanie z phishingiem, czyli nakłanianiem odbiorcy do określonego działania. Odnośnik w wiadomości może prowadzić do strony imitującej panel logowania, formularz płatności lub witrynę przewoźnika. Sama obecność kłódki HTTPS nie potwierdza tożsamości firmy: oznacza przede wszystkim szyfrowanie połączenia z konkretną stroną. Oszust może uzyskać certyfikat dla własnej domeny, dlatego trzeba sprawdzać pełny adres, a nie tylko wygląd strony.

Napastnicy stosują domeny podobne do prawdziwych, na przykład różniące się pojedynczym znakiem, inną końcówką albo użyciem poddomeny. W adresie może występować także znak Unicode wyglądający podobnie do litery używanej w znanej nazwie. Wiadomość może zawierać presję czasu, groźbę zablokowania konta, nietypową prośbę o poufne dane lub załącznik w formacie, którego odbiorca się nie spodziewa. Niekiedy treść jest przygotowana poprawnie językowo i zawiera prawdziwe logo, dlatego ocenianie jej wyłącznie po błędach ortograficznych nie jest wystarczające.

Ślady techniczne i bezpieczna weryfikacja

W przypadku poczty elektronicznej warto sprawdzić nagłówki wiadomości, zwłaszcza pola dotyczące serwerów pośredniczących, domeny nadawcy oraz wyników uwierzytelniania. SPF pozwala właścicielowi domeny opublikować w DNS listę serwerów uprawnionych do wysyłania poczty w imieniu tej domeny. DKIM dodaje do wiadomości podpis kryptograficzny weryfikowany na podstawie klucza publicznego opublikowanego w DNS. DMARC określa, jak serwer odbiorcy powinien traktować wiadomość, gdy kontrola SPF lub DKIM zakończy się niepowodzeniem, oraz może dostarczać raporty właścicielowi domeny.

Żaden z tych mechanizmów nie gwarantuje, że każda wiadomość jest bezpieczna. Oszust może wysłać pocztę z własnej domeny, która przejdzie jej własne kontrole SPF, DKIM i DMARC, a następnie użyć nazwy marki w treści. Dlatego odbiorca powinien niezależnie wejść na stronę firmy, korzystając z wcześniej znanego adresu lub zakładki, i tam sprawdzić komunikat. Nie należy podawać haseł, kodów jednorazowych ani danych karty po przejściu z nieoczekiwanego odnośnika. Podejrzany załącznik warto przeskanować aktualnym programem ochronnym, a w środowisku firmowym przekazać wiadomość do administratora wraz z pełnymi nagłówkami.

Postępowanie po otwarciu podejrzanej wiadomości

Jeżeli użytkownik tylko otworzył wiadomość, powinien ją zamknąć, nie odpowiadać i usunąć lub oznaczyć jako phishing. Kliknięcie odnośnika wymaga dodatkowej ostrożności: nie wolno wpisywać danych na otwartej stronie, a jeśli zostały wpisane, trzeba jak najszybciej zmienić hasło na prawdziwej witrynie usługi. To samo hasło należy zmienić wszędzie, gdzie było używane. Warto również zakończyć aktywne sesje konta, włączyć uwierzytelnianie wieloskładnikowe i sprawdzić historię logowań oraz reguły przekierowywania poczty.

Jeśli uruchomiono załącznik lub zainstalowano program wskazany w komunikacie, komputer powinien zostać odłączony od sieci, a następnie zbadany za pomocą aktualnych narzędzi bezpieczeństwa. Nie należy samodzielnie usuwać wszystkich śladów, gdy zdarzenie dotyczy konta firmowego lub utraty pieniędzy, ponieważ informacje o plikach i czasie zdarzenia mogą pomóc w analizie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki może sprawdzić objawy nietypowego działania systemu po kontakcie z podejrzanym komunikatem.