spoofing z fałszywym linkiem

Spoofing z fałszywym linkiem kieruje odbiorcę na stronę imitującą zaufaną usługę.

Jak konstruuje się odnośnik, który wygląda znajomo

W wiadomości w formacie HTML tekst widoczny dla czytelnika i faktyczny adres docelowy to dwie różne rzeczy — pierwszy jest zawartością znacznika, drugi jego atrybutem. Nic nie stoi na przeszkodzie, żeby napis brzmiał jak adres banku, a prowadził gdzie indziej. Do tego dochodzą chwyty na samej domenie: prawdziwa nazwa marki wstawiona jako poddomena cudzego adresu, myślnik dorzucony w środku nazwy, końcówka krajowa podmieniona na inną, znaki z alfabetów obcych wyglądające identycznie jak łacińskie, wreszcie skracacze odnośników zasłaniające cel całkowicie. Ostatni element układanki to strona docelowa — wierna kopia panelu logowania, często wraz z działającym certyfikatem szyfrowania, bo kłódka w pasku adresu od dawna nie świadczy o uczciwości właściciela.

Weryfikacja przed kliknięciem

Najszybszy odruch to najechanie kursorem na odnośnik i odczytanie adresu z dymka lub paska stanu, a w telefonie przytrzymanie palca aż do podglądu celu. Czytać trzeba od prawej: liczy się nazwa tuż przed końcówką domeny, wszystko przed nią bywa dopisane dowolnie. Drugi odruch to nieklikanie w ogóle — adres banku, urzędu czy hostingu wpisuje się ręcznie albo wybiera z własnych zakładek. Pomocnym, choć niedocenianym sygnałem jest menedżer haseł: skoro nie proponuje wypełnienia formularza, to znaczy, że domena nie zgadza się z zapisaną, i to jest mocniejszy dowód niż wygląd strony. Warto też zajrzeć do nagłówków wiadomości, gdzie widać wynik weryfikacji nadawcy — pole z rezultatem sprawdzenia podpisu i zgodności domeny mówi więcej niż nazwa wyświetlana w programie pocztowym, którą podrabia się w kilka sekund.

Co dzieje się po wpisaniu danych na podrobionej stronie

Formularz zwykle przekazuje dane napastnikowi i natychmiast przerzuca ofiarę na prawdziwą witrynę, gdzie logowanie się udaje — dzięki temu nikt niczego nie podejrzewa. Przy skrzynkach pocztowych typowym następstwem jest założenie reguły ukrywającej korespondencję i rozesłanie kolejnej fali wiadomości do całej książki adresowej, tym razem z prawdziwego, zaufanego adresu. Bardziej wyrafinowana odmiana w ogóle nie prosi o hasło, lecz o zatwierdzenie dostępu dla aplikacji zewnętrznej — wtedy zmiana hasła nic nie daje, dopóki nie odbierze się nadanego uprawnienia. Uwierzytelnianie dwuskładnikowe mocno podnosi poprzeczkę, ale kod przepisany do fałszywego formularza również trafia do napastnika, dlatego bezpieczniejsze są klucze sprzętowe i powiadomienia z potwierdzeniem w aplikacji.

Działania po incydencie: kolejność ma znaczenie

Kiedy ktoś zdążył kliknąć i podać dane, liczy się tempo i kolejność. Zmieniamy hasło z innego, pewnego urządzenia, unieważniamy aktywne sesje, przeglądamy reguły przekierowań i uprawnienia nadane aplikacjom, sprawdzamy skrzynkę wysłanych i ostrzegamy kontrahentów, do których poszła fala wiadomości. Równolegle bierzemy komputer na warsztat, bo klik bywa tylko częścią zdarzenia — skanujemy dysk poza uruchomionym systemem, szukamy zapisanych haseł wykradzionych z przeglądarki i sprawdzamy punkty automatycznego startu. W firmach dokładamy do tego przegląd pozostałych skrzynek, bo fałszywa wiadomość rzadko trafia do jednej osoby. Odbieramy sprzęt własnym kierowcą o każdej porze, również w nocy i w weekend, bo w takich sprawach każda godzina zwłoki pracuje przeciwko klientowi.