spoofing w kampaniach scamowych

Spoofing w kampaniach scamowych to podszycie się pod zaufaną markę w celu wyłudzenia pieniędzy lub danych.

Na czym polega podszywanie się w kampanii scamowej

Spoofing w kampaniach scamowych polega na takim sfałszowaniu informacji o nadawcy, aby wiadomość, połączenie telefoniczne, adres strony albo komunikat systemowy wyglądał jak pochodzący od banku, firmy kurierskiej, operatora płatności, sklepu internetowego lub innej znanej organizacji. Celem jest wywołanie zaufania i skłonienie odbiorcy do wykonania określonej czynności: kliknięcia odnośnika, podania hasła, wpisania kodu jednorazowego, pobrania pliku albo przekazania pieniędzy. Atakujący nie musi przejąć prawdziwej domeny marki. Często wystarcza mu użycie podobnej nazwy, podrobionego wyglądu komunikatu lub technicznej manipulacji informacją o źródle połączenia.

Wiadomość może na przykład wyświetlać nazwę nadawcy „Bank”, chociaż rzeczywisty adres e-mail znajduje się w obcej domenie. W adresie strony oszust może zastosować literówkę, dodatkowy człon lub znak podobny do litery używanej w nazwie marki. W atakach wykorzystujących internacjonalizowane nazwy domen możliwe jest użycie znaków Unicode przypominających znaki alfabetu łacińskiego, co utrudnia wzrokową ocenę adresu. Samo logo, kolorystyka i certyfikat HTTPS nie potwierdzają autentyczności witryny. HTTPS szyfruje połączenie z daną stroną, ale nie gwarantuje, że strona należy do instytucji wskazanej w treści wiadomości.

Fałszowanie adresu, nadawcy SMS i połączenia

W poczcie elektronicznej spoofing może dotyczyć pola wyświetlanej nazwy, adresu nadawcy widocznego w interfejsie albo informacji technicznych zawartych w nagłówkach wiadomości. Warto odróżnić adres widoczny dla użytkownika od rzeczywistej ścieżki dostarczenia. Mechanizmy SPF, DKIM i DMARC pomagają serwerom pocztowym oceniać, czy wiadomość jest zgodna z polityką domeny. SPF określa dozwolone serwery wysyłające dla domeny, DKIM dodaje podpis kryptograficzny weryfikowany przez odbiorcę, a DMARC definiuje sposób sprawdzania zgodności domeny oraz zalecane postępowanie z wiadomościami, które nie przejdą kontroli. Te mechanizmy ograniczają część fałszerstw, lecz nie eliminują wiadomości wysłanych z prawdziwego, wcześniej przejętego konta ani oszustw wykorzystujących podobną domenę.

W wiadomościach SMS oszust może użyć sfałszowanego identyfikatora nadawcy, przez co komunikat pojawi się w tej samej rozmowie co wcześniejsze wiadomości prawdziwej firmy. W połączeniach telefonicznych możliwe jest fałszowanie numeru prezentowanego na ekranie, czyli caller ID spoofing. Numer zgodny z numerem infolinii nie stanowi więc samodzielnego dowodu autentyczności rozmowy. Kampania może łączyć kilka kanałów: najpierw SMS z linkiem, później telefon rzekomo z działu bezpieczeństwa, a następnie prośbę o kod autoryzacyjny. Taki przebieg wykorzystuje spójność pozornych komunikatów, ale każdy kanał należy weryfikować niezależnie, korzystając z adresu strony lub numeru telefonu znalezionego samodzielnie w oficjalnym źródle.

Ślady techniczne i bezpieczna weryfikacja komunikatu

Analiza podejrzanej wiadomości powinna rozpocząć się od sprawdzenia pełnego adresu nadawcy, domeny zawartej w odnośniku, nazwy pliku oraz żądanej czynności. Nie należy oceniać linku wyłącznie po tekście widocznym na ekranie, ponieważ opis „zaloguj się do banku” może prowadzić do zupełnie innego adresu. Po otwarciu szczegółów wiadomości można sprawdzić nagłówki „Received”, wyniki kontroli SPF, DKIM i DMARC oraz zgodność domeny użytej do wysyłki z domeną wskazywaną w treści. Pojedynczy pozytywny wynik techniczny nie rozstrzyga sprawy: wiadomość może pochodzić z legalnej infrastruktury usługodawcy, a mimo to być elementem kampanii przygotowanej przez oszusta.

Bezpieczna weryfikacja polega na przerwaniu ścieżki wskazanej w komunikacie. Zamiast klikać link z SMS-a lub e-maila, należy ręcznie wpisać adres znanej witryny, użyć wcześniej zainstalowanej aplikacji albo skontaktować się z firmą przez numer zapisany przed otrzymaniem wiadomości. Nie wolno przekazywać rozmówcy haseł, kodów z aplikacji uwierzytelniającej, kodów SMS ani danych karty tylko dlatego, że zna on część informacji o użytkowniku. Jeżeli link został już otwarty, trzeba zamknąć stronę, nie pobierać plików, nie uruchamiać makr i nie wpisywać kolejnych danych. Po podaniu hasła należy zmienić je na prawdziwej stronie, a po ujawnieniu danych płatniczych skontaktować się z bankiem oficjalnym kanałem. W przypadku pobrania programu lub uruchomienia załącznika potrzebne jest sprawdzenie komputera i historii procesów, nie tylko usunięcie samej wiadomości.

Ograniczanie skutków spoofingu na komputerze domowym

Na laptopie lub komputerze PC warto utrzymywać aktualny system, przeglądarkę i program ochronny, ponieważ kampania spoofingowa może prowadzić zarówno do fałszywego formularza, jak i do strony rozpowszechniającej złośliwe oprogramowanie. Hasła powinny być różne dla poszczególnych usług, a uwierzytelnianie wieloskładnikowe należy włączać bez akceptowania nieoczekiwanych żądań logowania. Menedżer haseł może ograniczyć ryzyko wpisania danych na stronie o podobnym wyglądzie, ponieważ zwykle rozpoznaje dokładny adres domeny. Użytkownik powinien również sprawdzać rozszerzenie pobieranego pliku, jego źródło i podpis cyfrowy, ale nie traktować nazwy pliku ani ikony jako dowodu bezpieczeństwa.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w razie podejrzenia skutków kampanii scamowej można zlecić sprawdzenie systemu, przeglądarki, kont użytkownika oraz oznak niepożądanej instalacji. Diagnostyka powinna objąć między innymi nietypowe rozszerzenia przeglądarki, nowe programy uruchamiane wraz z systemem, zmienione ustawienia DNS, przekierowania stron i ślady zdalnego dostępu. Samo usunięcie skrótu do podejrzanej strony nie usuwa skutków wyłudzenia, a przywrócenie ustawień komputera nie cofa przekazania pieniędzy lub danych. Dlatego działania techniczne trzeba połączyć z niezwłocznym zabezpieczeniem kont i zgłoszeniem incydentu właściwej instytucji.