Zagrożenia i nadużycia w e-mailach

Zagrożenia i nadużycia w e-mailach obejmują phishing, malware, spoofing i inne techniki wykorzystujące pocztę.

Phishing jako manipulacja odbiorcą wiadomości

Phishing to próba wyłudzenia informacji lub nakłonienia odbiorcy do wykonania określonej czynności za pomocą wiadomości udającej komunikat od banku, operatora płatności, sklepu internetowego, pracodawcy albo innej znanej organizacji. Atakujący może żądać zalogowania się przez podany odnośnik, potwierdzenia danych, otwarcia załącznika lub pilnej zmiany hasła. Treść często wykorzystuje presję czasu, informację o rzekomej blokadzie konta, nieudanej płatności albo konieczności dopłaty.

O wiarygodności wiadomości nie decyduje sama nazwa nadawcy widoczna w programie pocztowym. Można ją ustawić niezależnie od rzeczywistego adresu, a podobnie wyglądająca domena może różnić się jednym znakiem od prawidłowej. Przed kliknięciem odnośnika warto sprawdzić jego rzeczywisty adres po wskazaniu kursorem, nie podawać hasła na stronie otwartej z nieoczekiwanej wiadomości i potwierdzić nietypową prośbę innym kanałem kontaktu. Sam fakt użycia poprawnego języka lub firmowego logo nie potwierdza autentyczności korespondencji.

Malware ukryty w załączniku lub odnośniku

Malware, czyli złośliwe oprogramowanie, może zostać dostarczone jako załącznik, odnośnik do pobrania albo dokument nakłaniający do włączenia makr lub dodatkowej zawartości. Ryzyko dotyczy między innymi plików wykonywalnych, skryptów, archiwów oraz dokumentów wykorzystujących luki w nieaktualnym programie. Nazwa pliku może sugerować fakturę, skan lub formularz, a rozszerzenie bywa ukrywane przez ustawienia systemu. Dlatego plik o nazwie „dokument.pdf.exe” może zostać błędnie uznany za zwykły dokument PDF.

Po uruchomieniu złośliwy program może kraść dane uwierzytelniające, szyfrować pliki, instalować narzędzia zdalnego dostępu albo wykorzystywać komputer do dalszego rozsyłania wiadomości. Nie każdy incydent powoduje natychmiast widoczne objawy. Sygnałami ostrzegawczymi mogą być nowe rozszerzenia przeglądarki, nieznane procesy, samoczynne otwieranie okien, zmieniona strona startowa, nietypowe obciążenie procesora lub wiadomości wysyłane z konta bez wiedzy użytkownika. Po podejrzanym uruchomieniu załącznika należy ograniczyć dalsze korzystanie z komputera, odłączyć go od sieci, zachować podejrzaną wiadomość i przeprowadzić analizę systemu oraz kont.

Spoofing, nagłówki i uwierzytelnianie poczty

Spoofing polega na podszywaniu się pod inny adres, nazwę nadawcy lub domenę. W wiadomości można zmienić elementy prezentowane użytkownikowi, natomiast pełna ocena pochodzenia wymaga analizy nagłówków pocztowych. Znajdują się w nich między innymi informacje o serwerach przekazujących wiadomość, wynikach kontroli SPF, DKIM i DMARC oraz identyfikatorach użytych przez system pocztowy. SPF opisuje uprawnione serwery wysyłające dla domeny, DKIM pozwala zweryfikować podpis kryptograficzny wiadomości, a DMARC określa sposób postępowania z wiadomościami niespełniającymi ustalonych warunków.

Żaden pojedynczy mechanizm nie gwarantuje, że treść wiadomości jest bezpieczna. Poprawny podpis DKIM może potwierdzać autentyczność domeny technicznie uczestniczącej w wysyłce, ale nie oznacza, że wiadomość jest pożądana. SPF może przejść dla infrastruktury, która rzeczywiście ma prawo wysyłać pocztę, lecz konto nadawcy mogło zostać przejęte. Analiza powinna obejmować adres nadawcy, adres odpowiedzi, domenę odnośnika, kontekst kontaktu, załączniki oraz spójność informacji. W przypadku podejrzenia nadużycia warto zmienić hasło z zaufanego urządzenia, unieważnić aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, jeśli dostawca poczty je obsługuje.

Postępowanie po podejrzanej wiadomości

Wiadomości zawierającej podejrzany odnośnik lub załącznik nie należy usuwać przed zapisaniem podstawowych informacji potrzebnych do analizy. Przydatne są pełne nagłówki, adres nadawcy, temat, data otrzymania oraz kopia załącznika, o ile może zostać bezpiecznie przekazana do badania. Nie powinno się odpowiadać atakującemu ani korzystać z numeru telefonu podanego w podejrzanej treści. Jeżeli podano hasło na fałszywej stronie, trzeba niezwłocznie zmienić je w prawidłowym serwisie, a także wszędzie tam, gdzie użyto tego samego hasła. Gdy uruchomiono plik, istotne jest sprawdzenie systemu, autostartu, przeglądarek, kont użytkowników i połączeń sieciowych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz podzespołów, w tym diagnostyką problemów z systemem po podejrzanych wiadomościach e-mail. Zakres technicznej oceny może obejmować wykrywanie objawów złośliwego oprogramowania, przywrócenie prawidłowego działania systemu, kontrolę ustawień przeglądarki i pomoc w uporządkowaniu dalszych kroków zabezpieczających. Jeżeli wiadomość dotyczy przejęcia konta pocztowego, równolegle należy skontaktować się z dostawcą poczty i postępować według jego procedury odzyskiwania dostępu.