załącznik .pdf z linkiem

Załącznik .pdf z linkiem to technika phishingowa ukrywająca złośliwy odnośnik w pozornie niegroźnym dokumencie.

Jak działa załącznik PDF z ukrytym odnośnikiem

Załącznik PDF z linkiem może być elementem ataku phishingowego, w którym dokument ma skłonić do otwarcia strony internetowej pod kontrolą przestępcy. Plik może wyglądać jak faktura, wezwanie do zapłaty, potwierdzenie zamówienia, skan pisma urzędowego albo informacja o dostarczeniu przesyłki. Sam format PDF nie oznacza, że dokument jest bezpieczny. W jego treści może znajdować się odnośnik HTML zapisany jako przycisk, obraz, tekst lub niewinnie wyglądający adres. Kliknięcie może otworzyć przeglądarkę na stronie imitującej panel poczty, banku, operatora płatności albo usługę przechowywania plików.

Niebezpieczeństwo często wynika z połączenia dwóch elementów: wiarygodnie wyglądającego dokumentu i komunikatu wywołującego presję czasu. Osoba atakująca może informować o rzekomej blokadzie konta, nieopłaconej fakturze lub konieczności ponownego potwierdzenia danych. Link może prowadzić do domeny różniącej się od prawdziwej nazwą, końcówką albo pojedynczym znakiem. Czasami adres jest skrócony lub ukryty za tekstem, dlatego nie da się go ocenić wyłącznie na podstawie widocznego napisu w dokumencie.

Różnica między odnośnikiem a aktywną zawartością PDF

Zwykły odnośnik w dokumencie PDF zazwyczaj uruchamia zewnętrzną przeglądarkę i przenosi użytkownika na wskazany adres internetowy. Nie musi to oznaczać zainfekowania komputera, ale strona docelowa może próbować wyłudzić login, hasło, kod jednorazowy, dane karty albo zgodę na pobranie kolejnego pliku. Współczesne programy do obsługi PDF mogą również wyświetlać ostrzeżenie przed otwarciem zewnętrznego adresu. Takiego komunikatu nie należy automatycznie zatwierdzać tylko dlatego, że dokument wygląda jak korespondencja firmowa.

PDF może zawierać także elementy aktywne, między innymi formularze, skrypty JavaScript, osadzone pliki lub odwołania do zewnętrznych zasobów. Ich działanie zależy od używanego czytnika, jego konfiguracji oraz aktualności oprogramowania. W praktyce większą część współczesnych kampanii phishingowych stanowi przekierowanie do fałszywej strony, a nie bezpośrednie wykorzystanie luki w samym formacie PDF. Nie zmienia to sposobu postępowania: dokument należy otwierać w aktualnym programie, nie uruchamiać osadzonych plików i nie wpisywać danych na stronie otwartej z podejrzanego załącznika.

Weryfikacja pliku przed kliknięciem

Przed otwarciem linku warto sprawdzić, czy wiadomość rzeczywiście pochodzi od oczekiwanego nadawcy. Należy przeanalizować pełny adres poczty elektronicznej, a nie tylko wyświetlaną nazwę kontaktu, oraz porównać treść wiadomości z wcześniejszą korespondencją. Istotne są również nieoczekiwane zmiany numeru rachunku, nietypowa forma językowa, błędny podpis, brak kontekstu biznesowego i żądanie natychmiastowego działania. Jeżeli dokument ma dotyczyć zamówienia lub płatności, potwierdzenie można wykonać niezależnym kanałem, na przykład przez ręczne wpisanie znanego adresu strony albo kontakt telefoniczny z użyciem numeru zapisanego wcześniej.

Po zapisaniu załącznika można sprawdzić jego nazwę, rozszerzenie i właściwości pliku, ale sama nazwa nie daje pewności bezpieczeństwa. Plik opisany jako dokument może mieć kilka rozszerzeń albo zostać pobrany z nietypową nazwą. Linku nie należy testować przez przypadkowe kliknięcie w czytniku PDF. Jeżeli załącznik został już otwarty, nie wolno podawać danych logowania ani zatwierdzać próśb o pobranie dodatkowego programu. W razie wpisania hasła na podejrzanej stronie należy jak najszybciej zmienić je na prawdziwej stronie usługi, zakończyć aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, jeśli jest dostępne. Gdy uruchomiono pobrany program lub wystąpiły nietypowe objawy, potrzebna jest pełna kontrola systemu, a nie samo usunięcie wiadomości.

Sprawdzenie komputera po podejrzanym załączniku

Diagnostyka laptopa lub komputera PC po kontakcie z podejrzanym PDF-em powinna obejmować ustalenie, co dokładnie zostało otwarte, jaki adres uruchomiono i czy pobrano dodatkowy plik. Należy sprawdzić historię pobierania, ostatnio uruchamiane programy, rozszerzenia przeglądarki, automatyczne elementy startowe oraz komunikaty programu zabezpieczającego. Ważne jest także przeanalizowanie, czy po zdarzeniu pojawiły się przekierowania, nowe okna logowania, nietypowe powiadomienia, spowolnienie systemu lub żądania ponownego uwierzytelnienia. Sam brak widocznych objawów nie potwierdza, że komputer jest bezpieczny, ponieważ phishing może ograniczyć się do przejęcia danych wpisanych na fałszywej stronie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w przypadku podejrzanego załącznika można zlecić sprawdzenie systemu pod kątem skutków otwarcia dokumentu lub uruchomienia pobranej zawartości. W toku analizy można rozdzielić problem z samym programem PDF, zmianami w przeglądarce i ewentualnym działaniem złośliwego oprogramowania. Do czasu wyjaśnienia sytuacji nie należy używać podejrzanego komputera do logowania do banku, poczty ani innych ważnych usług. Jeżeli zachodzi podejrzenie przejęcia hasła, działania naprawcze trzeba wykonać z innego, zaufanego urządzenia.