zgłoszenie phishingu

Zgłoszenie phishingu informuje odpowiednie służby o próbie wyłudzenia danych.

Zgłoszenie ma sens tylko z materiałem dowodowym

Sama informacja, że przyszła podejrzana wiadomość, jest bezwartościowa. Liczy się pełne źródło przesyłki wraz z nagłówkami, bo dopiero one zawierają adresy serwerów pośredniczących, znaczniki czasu i wyniki weryfikacji nadawcy. Dlatego podejrzaną wiadomość przekazuje się jako załącznik, a nie przez zwykłe przesłanie dalej — to drugie odcina oryginalne nagłówki i zostawia samą treść. W programach pocztowych odpowiada za to opcja przekazania w postaci załącznika, a w kliencie desktopowym można też zapisać wiadomość do pliku .eml i dołączyć go ręcznie.

Kto co robi z takim zgłoszeniem

Ścieżki są równoległe i warto uruchomić kilka naraz. Przycisk zgłaszania w programie pocztowym trafia do dostawcy usługi i wpływa na filtrowanie kolejnych podobnych wiadomości. Krajowy zespół reagowania na incydenty komputerowe przyjmuje zgłoszenia dotyczące fałszywych stron podszywających się pod banki, firmy kurierskie czy urzędy i doprowadza do ich zablokowania — w Polsce działa też mechanizm zgłaszania podejrzanych wiadomości SMS przez przekazanie ich na wyznaczony numer skrócony. Osobno zgłasza się sprawę operatorowi domeny, pod którą podszywa się fałszywa strona, i firmie, której wizerunek wykorzystano. Jeżeli doszło do wyprowadzenia pieniędzy albo danych, zgłoszenie techniczne nie zastępuje zawiadomienia organów ścigania i kontaktu z bankiem.

Czego przy zgłaszaniu nie robić

Nie należy klikać w odsyłacz, żeby sprawdzić, dokąd prowadzi — wiele kampanii używa adresów jednorazowych, które po otwarciu przestają działać, a samo wejście potwierdza aktywność skrzynki. Nie należy też odpowiadać na wiadomość ani odsyłać jej pod adres nadawcy. Kolejny błąd to kasowanie przesyłki natychmiast po zgłoszeniu: dopóki sprawa jest badana, powinna zostać w skrzynce, bo z kosza zniknie automatycznie po ustawionym okresie. I rzecz najczęściej pomijana — jeśli ktoś zdążył podać dane logowania, zmiana hasła bez unieważnienia aktywnych sesji nie wystarczy, bo napastnik pozostaje zalogowany na przechwyconej sesji.

Reakcja, gdy ktoś w firmie już kliknął

W takich zgłoszeniach porządek działań ma większe znaczenie niż ich zakres: najpierw odcięcie dostępu i wylogowanie wszystkich sesji, potem sprawdzenie reguł przekierowania poczty, które napastnicy zakładają w pierwszej kolejności, dopiero na końcu skanowanie stacji roboczej. Sprawdzamy również, czy z przejętej skrzynki nie poszła korespondencja do kontrahentów ze zmienionym numerem konta, bo to najkosztowniejszy wariant tego scenariusza. Dojeżdżamy o każdej porze, również w nocy i w święta.