spoofing na urządzeniach mobilnych

Spoofing na urządzeniach mobilnych jest skuteczniejszy, bo mniejszy ekran utrudnia weryfikację rzeczywistego adresu nadawcy.

Na czym polega spoofing na urządzeniach mobilnych

Spoofing na urządzeniach mobilnych polega na podszywaniu się pod inną osobę, firmę, numer telefonu, adres nadawcy albo domenę internetową. Samo słowo „spoofing” nie oznacza jednej konkretnej techniki. W zależności od kanału komunikacji może dotyczyć poczty elektronicznej, wiadomości SMS, połączeń telefonicznych, stron WWW albo identyfikacji urządzenia w sieci. Celem jest wywołanie wrażenia, że komunikat pochodzi z wiarygodnego źródła, chociaż został przygotowany przez innego nadawcę.

Na smartfonie ocena wiarygodności komunikatu bywa trudniejsza niż na dużym ekranie komputera. Aplikacje często skracają adresy e-mail, ukrywają część nagłówków, ograniczają widok pełnego adresu URL i pokazują przede wszystkim nazwę kontaktu lub nazwę nadawcy. W powiadomieniu może być widoczny tylko fragment treści, bez informacji pozwalających sprawdzić domenę, numer rachunku, rzeczywisty adres strony albo pełny kontekst rozmowy. Mniejszy ekran nie powoduje sam w sobie spoofingu, ale utrudnia jego zauważenie.

Podszywanie się w wiadomościach, połączeniach i poczcie

W poczcie elektronicznej napastnik może zmienić widoczną nazwę nadawcy, na przykład wyświetlić nazwę banku, sklepu lub znajomej osoby. Może też użyć adresu z domeny podobnej do prawdziwej, różniącej się pojedynczym znakiem, dodatkowym członem albo inną końcówką. Warto odróżnić nazwę wyświetlaną w aplikacji od rzeczywistego adresu e-mail. Mechanizmy SPF, DKIM i DMARC pomagają serwerom pocztowym oceniać autentyczność wiadomości, ale nie gwarantują, że każda wiadomość widoczna na telefonie jest bezpieczna. Wiadomość może przejść część kontroli, a mimo to prowadzić do fałszywej witryny.

W SMS-ach spotyka się fałszowanie identyfikatora nadawcy, określane jako SMS sender ID spoofing. Wiadomość może zostać wyświetlona w wątku o nazwie przypominającej nazwę firmy lub usługi. W przypadku połączeń telefonicznych możliwe jest fałszowanie numeru prezentowanego jako caller ID. Wyświetlenie znanego numeru nie jest więc wystarczającym dowodem, że połączenie rzeczywiście pochodzi od jego właściciela. Szczególnej ostrożności wymagają komunikaty żądające kodu jednorazowego, instalacji aplikacji, przejścia na stronę logowania, podania danych karty albo pilnego wykonania przelewu.

Jak weryfikować komunikat przed otwarciem odnośnika

Najpierw należy sprawdzić, jaki kanał został użyty i czy komunikat pasuje do wcześniejszego działania. Jeżeli nie składano zamówienia, nie zgłaszano problemu na koncie albo nie oczekiwano telefonu, sama nazwa nadawcy nie powinna być traktowana jako potwierdzenie autentyczności. W aplikacji pocztowej warto rozwinąć szczegóły wiadomości i odczytać pełny adres nadawcy. Przy odnośniku można użyć funkcji podglądu adresu, lecz nie należy otwierać strony tylko po to, aby ją „sprawdzić”, jeżeli komunikat budzi wątpliwości.

Bezpieczniejszą metodą jest samodzielne uruchomienie oficjalnej aplikacji lub ręczne wpisanie znanego adresu serwisu w przeglądarce. Nie należy korzystać z numeru telefonu podanego w podejrzanej wiadomości. W razie potrzeby numer powinien zostać znaleziony na oficjalnej stronie albo na dokumencie otrzymanym wcześniej. Kod SMS, kod z aplikacji uwierzytelniającej, hasło i kod odzyskiwania nie powinny być przekazywane osobie dzwoniącej, nawet jeśli numer wygląda znajomo. Uwierzytelnianie wieloskładnikowe ogranicza skutki przejęcia hasła, ale nie chroni przed każdym oszustwem, zwłaszcza gdy użytkownik sam zatwierdzi logowanie lub przekaże kod.

Skutki spoofingu i postępowanie po podejrzanym zdarzeniu

Skutkiem spoofingu może być przekierowanie na stronę wyłudzającą dane, instalacja złośliwego oprogramowania, przejęcie konta albo wykonanie nieautoryzowanej operacji finansowej. Samo odebranie SMS-a lub połączenia zwykle nie oznacza zainfekowania urządzenia. Ryzyko rośnie po kliknięciu odnośnika, wpisaniu danych, zainstalowaniu aplikacji spoza zaufanego źródła albo udzieleniu aplikacji nadmiernych uprawnień. Po podejrzanym zdarzeniu należy przerwać rozmowę, zamknąć stronę, usunąć zainstalowany program, zmienić hasło z zaufanego urządzenia i sprawdzić aktywne sesje na koncie. Jeżeli podano dane płatnicze, potrzebny jest szybki kontakt z bankiem za pośrednictwem oficjalnego kanału.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, dlatego w przypadku podejrzenia problemu z urządzeniem można zlecić sprawdzenie jego działania, ustawień przeglądarki oraz obecności niepożądanych aplikacji. Diagnostyka powinna obejmować między innymi listę ostatnio zainstalowanych programów, uprawnienia aplikacji, rozszerzenia przeglądarki, konfigurację powiadomień i objawy takie jak samoczynne przekierowania lub wyskakujące okna. Taka kontrola nie potwierdza autentyczności nadawcy wiadomości, ale pomaga ustalić, czy po kontakcie z podejrzanym komunikatem doszło również do zmian w systemie.