spoofing pracownika

Spoofing pracownika to podszycie się pod osobę zatrudnioną w organizacji w celu manipulacji jej współpracownikami.

Na czym polega podszycie się pod pracownika

Spoofing pracownika to atak, w którym osoba nieuprawniona przedstawia się jako konkretny pracownik organizacji albo wykorzystuje jego dane identyfikacyjne. Celem jest skłonienie współpracownika do wykonania określonej czynności, na przykład przekazania informacji, otwarcia załącznika, kliknięcia odsyłacza, zmiany danych płatniczych albo zaakceptowania nietypowej prośby. Atakujący może użyć prawdziwego imienia i nazwiska, stanowiska, podpisu w wiadomości, zdjęcia profilowego lub fragmentów wcześniejszej korespondencji.

Ważnym elementem spoofingu jest stworzenie pozoru wiarygodności, ale nie zawsze oznacza to przejęcie prawdziwego konta. Wiadomość może pochodzić z adresu łudząco podobnego do firmowego, zawierać zmodyfikowaną nazwę nadawcy albo wykorzystywać techniki fałszowania identyfikacji nadawcy. W innych przypadkach napastnik przejmuje konto pracownika i prowadzi rozmowę z jego prawdziwej skrzynki lub komunikatora. Dla odbiorcy różnica może być trudna do zauważenia, dlatego sama znajomość nadawcy nie wystarcza do potwierdzenia autentyczności żądania.

Fałszywy adres, przejęte konto i inżynieria społeczna

Podszycie może odbywać się przez pocztę elektroniczną, komunikatory, telefon, formularz kontaktowy lub serwisy społecznościowe. W poczcie elektronicznej spotyka się między innymi domeny podobne wizualnie do prawidłowej domeny, dodatkowe słowa w nazwie nadawcy oraz adresy wykorzystujące bezpłatne skrzynki pocztowe. Czasami zmieniana jest tylko nazwa wyświetlana w programie pocztowym, podczas gdy rzeczywisty adres znajduje się w nagłówkach wiadomości. Przydatne jest sprawdzenie pól „Od”, „Odpowiedź do” oraz pełnych nagłówków, ponieważ mogą ujawnić rozbieżność między deklarowanym a faktycznym nadawcą.

Jeżeli atakujący przejmie prawdziwe konto, może przeanalizować wcześniejsze wiadomości, poznać sposób komunikacji zespołu i odpowiedzieć w istniejącym wątku. Taki scenariusz utrudnia rozpoznanie oszustwa, ponieważ wiadomość może mieć poprawną domenę i prawidłowy podpis. Sygnałami ostrzegawczymi są nagła zmiana numeru rachunku, prośba o pilne działanie, żądanie obejścia zwykłej procedury, nietypowa godzina kontaktu, presja na zachowanie tajemnicy oraz nacisk na otwarcie pliku lub zalogowanie się przez przesłany odsyłacz. Sam błąd językowy nie jest konieczny, ponieważ współczesne wiadomości mogą być przygotowane poprawnie.

Jak weryfikować podejrzaną prośbę

Najbezpieczniejsza weryfikacja powinna odbywać się drugim, niezależnym kanałem komunikacji. Jeżeli wiadomość zawiera prośbę o płatność, zmianę danych kontrahenta, przekazanie pliku lub reset hasła, nie należy odpowiadać wyłącznie na tę samą wiadomość. Można skontaktować się z pracownikiem przez znany wcześniej numer telefonu, rozpocząć nową rozmowę w firmowym komunikatorze albo potwierdzić prośbę osobiście. Numer i adres powinny pochodzić z wcześniejszych, wiarygodnych danych, a nie z treści podejrzanego komunikatu.

Nie należy wpisywać hasła po przejściu z wiadomości do strony logowania, nawet jeśli jej wygląd przypomina używany serwis. Adres strony trzeba sprawdzić w pasku przeglądarki, zwracając uwagę na właściwą domenę, dodatkowe znaki i nietypowe przekierowania. Załącznik o nieoczekiwanej treści powinien zostać potraktowany jako podejrzany, zwłaszcza gdy wymaga włączenia makr, uruchomienia programu albo podania danych uwierzytelniających. W organizacji skuteczne są także procedury podwójnego potwierdzenia operacji finansowych, ograniczenie uprawnień użytkowników, wieloskładnikowe uwierzytelnianie oraz szkolenia oparte na rzeczywistych przykładach wiadomości.

Ślady ataku i działania po błędnej reakcji

Po kliknięciu podejrzanego odsyłacza albo otwarciu załącznika należy zanotować godzinę zdarzenia, adres nadawcy, nazwę pliku i wykonane czynności. Nie powinno się usuwać wiadomości przed jej zabezpieczeniem, ponieważ może zawierać informacje potrzebne do analizy nagłówków, odsyłacza lub załącznika. Jeżeli podano hasło, trzeba jak najszybciej zmienić je na stronie otwieranej niezależnie od wiadomości, a następnie zakończyć aktywne sesje i sprawdzić ustawienia przekazywania poczty. W przypadku uruchomienia nieznanego programu komputer powinien zostać odłączony od sieci, aby ograniczyć dalszą komunikację, bez wyłączania go, jeśli potrzebne jest zebranie śladów.

Na laptopie lub komputerze PC można sprawdzić ostatnio pobrane pliki, historię uruchamiania aplikacji, nietypowe rozszerzenia przeglądarki, nowe reguły pocztowe oraz alerty programu ochronnego. Sama obecność pliku lub komunikatu nie przesądza jeszcze o infekcji, dlatego ocena powinna uwzględniać źródło, czas wystąpienia i zachowanie systemu. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, a w przypadku podejrzenia przejęcia urządzenia można zlecić sprawdzenie jego stanu technicznego oraz usunięcie skutków problemu.