zastraszanie użytkownika

Zastraszanie użytkownika to technika wywierania presji psychologicznej stosowana w atakach socjotechnicznych.

Mechanizm zastraszania w ataku socjotechnicznym

Zastraszanie użytkownika jest techniką socjotechniczną, w której napastnik wywołuje strach, presję czasu albo poczucie zagrożenia, aby skłonić do działania bez spokojnego sprawdzenia informacji. Celem nie jest samo przestraszenie, lecz uzyskanie konkretnej korzyści: nakłonienie do podania hasła, otwarcia załącznika, zainstalowania programu, wykonania przelewu, przekazania kodu jednorazowego albo udzielenia zdalnego dostępu do komputera. Taki komunikat może pojawić się w wiadomości e-mail, wiadomości SMS, rozmowie telefonicznej, komunikatorze, na stronie internetowej lub w oknie przeglądarki.

Typowy schemat obejmuje przedstawienie fałszywego problemu oraz wskazanie natychmiastowego rozwiązania. Użytkownik może zobaczyć informację o rzekomym zainfekowaniu urządzenia, blokadzie konta, nieautoryzowanej płatności, wykryciu podejrzanej aktywności lub konieczności pilnego kontaktu z pomocą techniczną. Napastnik często używa języka kategorycznego, ostrzega przed utratą danych albo konsekwencjami prawnymi i ogranicza czas na reakcję. Presja utrudnia ocenę adresu nadawcy, domeny, numeru telefonu, treści odnośnika oraz zakresu żądanych uprawnień.

Scareware, fałszywe alerty i podszywanie się pod pomoc techniczną

Jedną z odmian tego zjawiska jest scareware, czyli oprogramowanie lub strona internetowa prezentująca fałszywe ostrzeżenia bezpieczeństwa. Komunikat może przypominać alert systemowy albo wizualnie naśladować ekran programu antywirusowego, mimo że został wygenerowany przez zwykłą stronę WWW. Samo wyświetlenie czerwonego banera, sygnału dźwiękowego czy licznika czasu nie stanowi dowodu infekcji. Szczególnie podejrzane są polecenia, aby nie zamykać przeglądarki, natychmiast zadzwonić pod wskazany numer, pobrać nieznany program lub zezwolić stronie na powiadomienia.

Innym wariantem jest podszywanie się pod konsultanta, bank, dostawcę poczty, administratora usługi albo pracownika firmy technologicznej. Rozmówca może znać podstawowe dane ofiary, używać identyfikatora rozmówcy przypominającego prawdziwy numer i prowadzić rozmowę według przygotowanego scenariusza. W celu „usunięcia zagrożenia” może nakazać instalację narzędzia zdalnego dostępu, na przykład aplikacji umożliwiającej sterowanie pulpitem. Po uzyskaniu dostępu napastnik może próbować odczytać dane z ekranu, skopiować pliki, zmienić ustawienia lub nakłonić do kolejnych płatności. O wiarygodności rozmowy nie świadczy ani znajomość nazwy urządzenia, ani obecność logo w wiadomości.

Jak rozpoznać presję i ograniczyć jej skutki

Najważniejszym sygnałem ostrzegawczym jest połączenie groźby z żądaniem szybkiej, nietypowej czynności. Należy przerwać rozmowę lub zamknąć podejrzaną kartę, a następnie skontaktować się z daną instytucją przez adres, numer telefonu albo aplikację znalezione niezależnie, a nie przez dane podane w komunikacie. Nie powinno się przekazywać haseł, kodów uwierzytelniających, danych karty ani kodów odzyskiwania. Nie należy też instalować programu na polecenie niezweryfikowanego rozmówcy ani nadawać stronie internetowej uprawnień do powiadomień, pobierania plików czy dostępu do urządzeń.

Jeżeli doszło do instalacji nieznanego programu lub udostępnienia zdalnego pulpitu, komputer powinien zostać odłączony od sieci, a podejrzana sesja zakończona. Z innego, zaufanego urządzenia warto zmienić hasła do najważniejszych kont i unieważnić aktywne sesje, zwłaszcza gdy mogły zostać ujawnione dane logowania. Trzeba sprawdzić zainstalowane aplikacje, rozszerzenia przeglądarki, reguły powiadomień oraz uruchamiane programy, a także wykonać skanowanie aktualnym narzędziem ochronnym. Jeżeli podano dane płatnicze lub wykonano przelew, należy niezwłocznie skontaktować się z bankiem. Zachowanie zrzutów ekranu, adresów stron, numerów telefonów i treści wiadomości ułatwia późniejszą analizę zdarzenia.

Sprawdzenie komputera po kontakcie z oszustem

Diagnostyka po takim incydencie powinna obejmować nie tylko wyszukanie pojedynczego pliku, lecz także ocenę zmian wprowadzonych w systemie. Sprawdza się między innymi listę ostatnio zainstalowanych aplikacji, autostart, rozszerzenia przeglądarek, zapisane profile użytkowników, nietypowe reguły zapory oraz historię pobierania. Istotne jest ustalenie, czy użytkownik jedynie zobaczył fałszywy komunikat, czy również uruchomił plik, podał dane, zainstalował narzędzie zdalne albo zezwolił na wykonanie poleceń. Te sytuacje mają różny poziom ryzyka i wymagają innego zakresu dalszych czynności.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku podejrzanego działania urządzenia można zlecić sprawdzenie strony sprzętowej oraz systemu. Taka kontrola może pomóc odróżnić objawy wywołane przez niechciane oprogramowanie od problemów z dyskiem, pamięcią operacyjną, przegrzewaniem lub innym podzespołem. Przed przekazaniem komputera warto opisać kolejność zdarzeń i wskazać, jakie programy zostały uruchomione oraz jakie dane mogły zostać ujawnione. Ułatwia to dobranie czynności diagnostycznych bez opierania się wyłącznie na treści fałszywego ostrzeżenia.