szkolenia antyspoofingowe

Szkolenia antyspoofingowe uczą rozpoznawania podszywania się pod zaufanego nadawcę.

Czego uczy się na zajęciach o podszywaniu

Szkolenia antyspoofingowe koncentrują się na rozpoznawaniu wiadomości udających znanego nadawcę. Podstawą jest umiejętność odczytania tego, co program pocztowy domyślnie ukrywa: pełnego adresu kryjącego się pod wyświetlaną nazwą, adresu zwrotnego widocznego w nagłówkach oraz rzeczywistego celu odsyłacza, który pokazuje się po najechaniu kursorem bez klikania.

Druga część to znajomość typowych sztuczek w nazwach domen. Podmiana jednej litery na wizualnie podobną, dołożenie myślnika, zmiana końcówki adresu na inną, wreszcie nazwa firmy przeniesiona do części przed znakiem małpy — wszystko to wygląda na liście wiadomości niemal identycznie jak oryginał.

Granice ochrony technicznej

Rekordy SPF, DKIM i DMARC skutecznie blokują wysyłkę z cudzej domeny, ale nie robią nic z wiadomością nadaną z domeny bardzo podobnej ani z listem, w którym oszust zmienił jedynie nazwę wyświetlaną, zostawiając własny, poprawnie uwierzytelniony adres. Filtr uzna taką korespondencję za w pełni legalną, bo formalnie nikt się nie podszył.

Dlatego czynnik ludzki pozostaje ostatnią linią obrony, szczególnie przy najkosztowniejszym schemacie ataku, czyli prośbie o zmianę numeru konta do przelewu, przychodzącej rzekomo od kontrahenta w trakcie trwającej rozmowy. Reguła weryfikacji takiej zmiany telefonicznie, pod numerem z wcześniejszej umowy, a nie z podpisu w wiadomości, chroni lepiej niż jakikolwiek filtr.

Momenty, w których czujność zawodzi

Skuteczne ataki trafiają w koniec miesiąca, ostatnie godziny przed urlopem i pierwsze dni nowej osoby w firmie. Pomaga im pośpiech i telefon jako urządzenie odbiorcze, bo tam nazwa nadawcy zwykle zasłania adres, a odsyłacza nie da się podejrzeć bez ryzyka kliknięcia.

Osobna kategoria to załączniki. Dokument proszący o włączenie edycji, żeby zobaczyć treść, prosi w rzeczywistości o uruchomienie makra, a plik z podwójnym rozszerzeniem korzysta z domyślnego ukrywania znanych typów plików w systemie. Ta opcja daje się wyłączyć w ustawieniach widoku eksploratora i warto to zrobić na każdym firmowym komputerze.

Po kliknięciu w złe miejsce, czyli praca serwisu

Kiedy ktoś podał hasło na fałszywej stronie logowania, liczy się kolejność działań. Odłączamy stację od sieci, sprawdzamy, co uruchomiło się w tle, przeglądamy zapisane w przeglądarce hasła i sesje, a w skrzynce szukamy założonych przez atakującego reguł przekazujących korespondencję na zewnątrz. Dopiero potem zmieniamy hasła i włączamy logowanie dwuskładnikowe, bo zmiana hasła przy aktywnej sesji intruza niczego nie zamyka. Przyjmujemy takie zgłoszenia o każdej porze, także w nocy, gdy wykrycie ataku o godzinę wcześniej realnie ogranicza straty.