wyłudzanie danych logowania

Wyłudzanie danych logowania to typowy cel ataków phishingowych podszywających się pod zaufaną usługę.

Na czym polega wyłudzanie danych logowania

Wyłudzanie danych logowania to próba nakłonienia użytkownika do ujawnienia identyfikatora, hasła, kodu jednorazowego albo innego składnika uwierzytelniania. Atakujący najczęściej udaje bank, operatora poczty, sklep internetowy, portal społecznościowy, dostawcę chmury lub pracownika działu technicznego. Celem jest przejęcie konta, wykorzystanie zapisanych w nim informacji albo użycie tego konta jako punktu wejścia do kolejnych usług.

Najczęściej wykorzystywanym mechanizmem jest phishing, czyli oszustwo prowadzone za pośrednictwem wiadomości e-mail, SMS-a, komunikatora, rozmowy telefonicznej albo fałszywej strony internetowej. Wiadomość może zawierać link do formularza logowania, załącznik uruchamiający złośliwy kod lub prośbę o podanie kodu otrzymanego SMS-em. Samo wyświetlenie wiadomości zwykle nie oznacza jeszcze ujawnienia hasła; do wyłudzenia dochodzi wtedy, gdy użytkownik przekaże dane albo wpisze je na stronie kontrolowanej przez napastnika.

Jak rozpoznać próbę przejęcia konta

Typowym sygnałem ostrzegawczym jest presja czasu. Oszust może informować o rzekomym zablokowaniu konta, nieudanej płatności, konieczności potwierdzenia tożsamości lub wykryciu podejrzanego logowania. Wiadomość często zawiera przycisk prowadzący do strony podobnej wizualnie do prawdziwego serwisu. Należy jednak sprawdzić pełny adres domeny, ponieważ różnica może polegać na pojedynczym znaku, dodatkowym słowie, innej końcówce domeny albo użyciu domeny podobnej fonetycznie.

Nie należy traktować kłódki przy adresie HTTPS jako dowodu, że strona jest prawdziwa. HTTPS szyfruje połączenie między przeglądarką a serwerem, ale może być używany również przez serwis przygotowany przez oszusta. Wiarygodność trzeba oceniać na podstawie adresu domeny, kontekstu wiadomości i niezależnie potwierdzonego kontaktu z usługodawcą. Bezpieczniejszym sposobem logowania jest ręczne wpisanie adresu serwisu w przeglądarce albo użycie wcześniej zapisanej zakładki, zamiast korzystania z linku z wiadomości.

Ostrożność jest szczególnie ważna przy kodach wieloskładnikowego uwierzytelniania. Prawdziwy kod może zostać przechwycony przez oszusta w czasie rzeczywistym, jeśli użytkownik wpisze go na fałszywej stronie. Nie wolno zatwierdzać powiadomienia logowania w aplikacji uwierzytelniającej, gdy użytkownik sam nie rozpoczynał logowania. Wielokrotne, niespodziewane żądania zatwierdzenia mogą oznaczać próbę zmęczenia użytkownika powiadomieniami.

Skutki podania hasła i właściwa reakcja

Jeżeli dane logowania zostały wpisane na podejrzanej stronie, należy jak najszybciej zmienić hasło na prawdziwej stronie usługi. Nowe hasło powinno być unikatowe i nieużywane w innych serwisach. Jeśli to samo hasło było stosowane gdzie indziej, trzeba zmienić je również w tych miejscach. Warto także wylogować wszystkie aktywne sesje, usunąć nieznane urządzenia z listy zaufanych oraz sprawdzić, czy napastnik nie dodał własnego adresu e-mail, numeru telefonu, klucza dostępu lub aplikacji uwierzytelniającej.

Należy przejrzeć historię logowań, wysłane wiadomości, reguły automatycznego przekazywania poczty, ustawienia odzyskiwania konta i podłączone aplikacje. W przypadku konta pocztowego szczególnie groźna może być reguła, która kopiuje wiadomości do skrzynki kontrolowanej przez napastnika. Przy koncie bankowym trzeba skontaktować się z bankiem oficjalnym kanałem, zastrzec podejrzane operacje i postępować zgodnie z jego instrukcjami. Jeżeli wyłudzenie dotyczy konta firmowego, należy niezwłocznie powiadomić administratora, ponieważ przejęte konto może zostać wykorzystane do ataku na współpracowników.

Jeśli po otwarciu załącznika lub uruchomieniu pobranego programu pojawiają się nietypowe objawy, komputer należy odłączyć od sieci i przeprowadzić diagnostykę na aktualnym systemie zabezpieczeń. Objawami mogą być nieznane procesy, wyskakujące okna, zmieniona strona startowa przeglądarki, nowe rozszerzenia, spowolnienie pracy albo żądania ponownego logowania do wielu usług. Samo usunięcie wiadomości nie cofa skutków podania hasła i nie zastępuje zmiany danych dostępowych.

Jak ograniczyć ryzyko wyłudzenia danych

Podstawą ochrony jest używanie odrębnych, długich haseł dla każdej usługi oraz przechowywanie ich w zaufanym menedżerze haseł. Menedżer może ograniczyć ryzyko wpisania hasła na fałszywej domenie, ponieważ automatyczne uzupełnianie powinno zależeć od dokładnego adresu strony. Hasła nie należy przekazywać przez e-mail, komunikator ani telefon, nawet gdy rozmówca zna imię użytkownika, nazwę firmy lub część danych dotyczących konta.

Warto włączyć uwierzytelnianie wieloskładnikowe, a tam, gdzie jest dostępne, używać klucza sprzętowego zgodnego ze standardem FIDO2/WebAuthn. Taki klucz sprawdza domenę usługi podczas uwierzytelniania i ogranicza skuteczność typowej fałszywej strony. Pomocne jest również aktualizowanie systemu operacyjnego, przeglądarki i aplikacji, wyłączenie automatycznego uruchamiania nieznanych załączników oraz ograniczenie uprawnień niepotrzebnych programów. Filtry antyspamowe i mechanizmy wykrywania phishingu zmniejszają liczbę zagrożeń, ale nie zastępują weryfikacji adresu i treści wiadomości.

W przypadku laptopa lub komputera PC, na którym mogło dojść do uruchomienia złośliwego załącznika, Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów oraz może wykonać diagnostykę objawów wymagających sprawdzenia stanu systemu. Przed przekazaniem urządzenia do serwisu nie należy wpisywać na nim kolejnych haseł, jeżeli istnieje podejrzenie działania złośliwego oprogramowania; zmianę danych dostępowych najlepiej wykonać z innego, zaufanego urządzenia.