whaling

Whaling to phishing ukierunkowany na osoby na wysokich stanowiskach w organizacji.

Dlaczego atak na zarząd wygląda inaczej niż zwykły phishing

Whaling odróżnia od masowego phishingu przygotowanie. Napastnik zna strukturę organizacji, nazwiska członków zarządu, imię asystentki, nazwę banku obsługującego firmę, a często także bieżący projekt — te dane pochodzą z KRS, z LinkedIn, z podpisów w stopce wiadomości i z komunikatów prasowych. Wiadomość nie zawiera literówek ani obcych znaków, nie straszy blokadą konta, tylko odwzorowuje typowy tok korespondencji: prośba prezesa do księgowej o pilny przelew na nowy rachunek dostawcy, podpisana tak samo jak zawsze i wysłana w godzinach, w których ta osoba zwykle pisze.

Techniczne warianty podszycia

Najprostszy to spoofing pola From — serwer nadawcy wpisuje w nagłówek dowolny adres, a domena bez rekordu DMARC z polityką reject nie daje odbiorcy podstawy do odrzucenia. Drugi to domena łudząco podobna, gdzie podmieniono jedną literę albo dodano myślnik, na przykład rn zamiast m, co w typowej czcionce jest niemal niewidoczne. Trzeci, najgroźniejszy, to przejęte prawdziwe konto: napastnik czyta wątek od środka, wchodzi w istniejącą rozmowę o fakturze i zmienia tylko numer rachunku w załączonym pliku PDF. Wtedy nagłówki są poprawne, SPF i DKIM przechodzą weryfikację, a jedynym sygnałem pozostaje zmieniony numer konta.

Gdzie zawodzą zabezpieczenia organizacyjne

Filtr antyspamowy oceniający reputację i treść zwykle nie wychwytuje tych wiadomości, bo są krótkie, nie zawierają linków ani załączników wykonywalnych i przychodzą z serwerów o czystej historii. Zawodzi natomiast procedura: brak zasady, że zmiana numeru rachunku dostawcy wymaga potwierdzenia telefonicznego pod numerem z umowy, a nie z podpisu e-maila. Drugim słabym punktem jest presja czasu — komunikat zawiera element pilności powiązany z nieobecnością przełożonego. Trzecim skrzynki na telefonach, gdzie klient pocztowy pokazuje wyłącznie nazwę wyświetlaną, ukrywając rzeczywisty adres nadawcy.

Zabezpieczenie poczty firmowej od strony technicznej

Po stronie infrastruktury da się zrobić sporo: poprawnie ustawiony SPF bez zbyt luźnego zakończenia, podpis DKIM dla wszystkich systemów wysyłających w imieniu domeny, polityka DMARC z raportowaniem, a następnie zaostrzeniem, oraz reguła oznaczająca w kliencie wiadomości przychodzące spoza organizacji. Konfigurujemy takie wpisy w firmach, sprawdzamy stacje robocze po incydencie pod kątem programów rejestrujących klawiaturę i porządkujemy dostęp do skrzynek powiązanych z systemami handlowymi opartymi o SQL Server, z których wystawiane są faktury. Pracujemy również nocą i w weekendy, bo takie zgłoszenia rzadko trafiają się w środku dnia roboczego.