spoofing w wiadomościach phishingowych

Spoofing w wiadomościach phishingowych to podszycie się pod zaufaną instytucję w celu wyłudzenia danych.

Na czym polega podszywanie się w wiadomości phishingowej

Spoofing w wiadomościach phishingowych oznacza takie przedstawienie komunikatu, aby odbiorca uznał go za wysłany przez bank, sklep internetowy, operatora płatności, urząd albo inną znaną instytucję. Przestępca może zmienić wyświetlaną nazwę nadawcy, wykorzystać adres przypominający prawdziwy adres albo umieścić w treści logo i stopkę skopiowane z legalnej korespondencji. Celem jest wywołanie zaufania i skłonienie użytkownika do wykonania konkretnej czynności: kliknięcia odnośnika, otwarcia załącznika, podania hasła, zatwierdzenia płatności lub przekazania kodu jednorazowego.

Podszywanie się nie zawsze oznacza włamanie do prawdziwego konta nadawcy. W wielu przypadkach oszust rejestruje własną domenę podobną wizualnie do oryginalnej, na przykład z dodatkowym znakiem, inną końcówką lub literą zastąpioną podobnym znakiem. W aplikacji pocztowej odbiorca często widzi przede wszystkim nazwę kontaktu, a pełny adres pozostaje ukryty. Dlatego sama obecność nazwy banku lub firmy w polu nadawcy nie potwierdza autentyczności wiadomości.

Adres nadawcy, domena i ślady w nagłówkach

Podstawową kontrolą jest rozwinięcie danych nadawcy i porównanie domeny znajdującej się po znaku „@” z oficjalną domeną instytucji. Różnica jednej litery, dodatkowy człon, nietypowa subdomena albo końcówka kraju, której firma zwykle nie używa, powinny zostać potraktowane jako sygnał ostrzegawczy. Trzeba również sprawdzić, dokąd prowadzi odnośnik, bez jego otwierania. Widoczny tekst może wyglądać poprawnie, podczas gdy rzeczywisty adres prowadzi do innej domeny, skracacza linków lub strony imitującej formularz logowania.

Techniczna ocena wiadomości może obejmować jej nagłówki. Pole „From” jest przeznaczone do prezentacji nadawcy i może zostać sfałszowane, dlatego analizuje się także „Return-Path”, wyniki uwierzytelniania oraz kolejne serwery wymienione w polach „Received”. SPF sprawdza, czy serwer wysyłający jest uprawniony do wysyłania poczty dla danej domeny. DKIM dodaje podpis kryptograficzny, który odbiorca weryfikuje na podstawie klucza publicznego w DNS. DMARC określa sposób postępowania z wiadomościami, które nie przechodzą kontroli SPF lub DKIM, i bada zgodność domeny widocznej dla użytkownika z domeną używaną w uwierzytelnianiu.

Jak rozpoznać próbę wyłudzenia w treści

Phishingowy komunikat często łączy podszywanie się z presją czasu, groźbą blokady konta, informacją o rzekomej nieudanej płatności albo obietnicą zwrotu pieniędzy. Charakterystyczne są żądania podania hasła, numeru karty, kodu SMS, kodu z aplikacji uwierzytelniającej lub zainstalowania programu do zdalnej pomocy. Legalne instytucje mogą wysyłać powiadomienia, ale nie powinno się zatwierdzać podejrzanej operacji za pomocą linku z wiadomości. Wątpliwą sprawę należy sprawdzić przez ręcznie wpisany adres strony albo numer telefonu zapisany wcześniej, a nie przez dane podane w komunikacie.

Niebezpieczny może być również załącznik. Pliki wykonywalne, dokumenty z aktywną zawartością, archiwa oraz dokumenty proszące o włączenie makr mogą służyć do uruchomienia złośliwego kodu lub przekierowania użytkownika do fałszywego logowania. Błędy językowe nie są konieczne, ponieważ oszuści mogą korzystać z profesjonalnych szablonów i narzędzi generujących tekst. O wiarygodności nie decyduje więc wygląd wiadomości, lecz zgodność kanału kontaktu, domeny, kontekstu operacji i wyników kontroli technicznych.

Bezpieczna reakcja i pomoc przy zainfekowanym komputerze

Podejrzanej wiadomości nie należy odpowiadać, klikać jej odnośników ani przekazywać dalej jako zwykłego załącznika. Można zgłosić ją dostawcy poczty lub właściwej instytucji, a następnie usunąć. Jeśli użytkownik podał hasło, powinien niezwłocznie zmienić je na stronie otwartej niezależnie od wiadomości, wylogować aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe. W przypadku ujawnienia danych płatniczych należy skontaktować się z bankiem oficjalnym kanałem. Po uruchomieniu podejrzanego załącznika warto odłączyć komputer od sieci, zachować informacje o zdarzeniu i wykonać skanowanie zabezpieczeń.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można sprawdzić skutki uruchomienia podejrzanego pliku, obecność niepożądanego oprogramowania oraz podstawowe ustawienia zabezpieczeń systemu. Sama naprawa urządzenia nie zastępuje zmiany przejętych haseł ani kontaktu z bankiem, ponieważ spoofing dotyczy przede wszystkim wiarygodności komunikatu i procesu wyłudzania informacji. Najważniejsze jest rozdzielenie działań technicznych od działań dotyczących kont, płatności i odzyskiwania dostępu.