Dostałeś wiadomość z banku z linkiem do logowania? Uwaga! To może być phishing

Phishing to w tej chwili najpopularniejsza forma cyberataku. Zagraża wszystkim użytkownikom Internetu oraz telefonów komórkowych. Dowiedz się, czym jest i jak nie dać się złowić.

Co to jest phishing?

Phishing to rodzaj oszustwa internetowego, polegający na wyłudzeniu informacji od nieświadomych użytkowników.

Osoby, które padają ofiarą phishingu, zwykle są wprowadzane w błąd przez przestępców, którzy podszywają się pod zaufane instytucje. Ich celem jest wyłudzenie informacji takich jak hasła, numery kart kredytowych, adresy e-mail oraz innych danych osobowych.

Według ostatniego opublikowanego raportu CERT phishing stanowił aż 77% wszystkich odnotowanych cyberataków w Polsce.

Dlaczego łatwo dać się oszukać?

W tym rodzaju ataku cyberoszuści wykorzystują techniki inżynierii społecznej, czyli nie łamią systemów, a ludzi. Najczęściej podszywają się pod znane instytucje – banki, firmy kurierskie, urzędy administracji lub znajomych ofiary. Wysyłane wiadomości są przygotowywane tak, by budziły jak najmniej podejrzeń, a przy tym grały na emocjach.

Jeśli użytkownik łyknie przynętę i kliknie w hiperłącze, zostanie przekierowany na imitację strony internetowej, na której zostaje poproszony o zalogowanie się przy użyciu loginu i hasła. Informacje te trafiają do wyłudzacza, który może wykorzystać je do celów takich jak kradzież tożsamości, włamania do kont bankowych czy nielegalny handel danymi.

Doskonałym przykładem działań tego typu jest tak zwana metoda „na BLIKA”, w której przestępca za pośrednictwem mediów społecznościowych podszywa się pod znajomego ofiary, prosząc o pilną pożyczkę i wyłudza kod do płatności BLIK.

Według raportu CERT najwięcej incydentów phishingowych przebiega według schematu –
SMS z informacją o konieczności dopłaty za konkretną usługę, np. energię elektryczną, oraz link do rzekomej płatności. Usługobiorca przekonany, iż zalega z ważnymi opłatami automatycznie klika w link i staje się ofiarą.

Jak przebiega atak phishingowy?

Najczęściej obserwujemy następujące scenariusze:

1. Odbiorca otrzymuje e-mail zwierający link lub załącznik ze złośliwym oprogramowaniem, mającym na celu zainfekowanie komputera lub przejęcie danych. W tego typu działaniach przestępcy często proszą o okup w zamian za zwrot danych.
   
   
2. Spear phisher podając się za bliskiego współpracownika lub przełożonego ofiary prosi odbiorcę o podanie dostępu do kont w mediach społecznościowych, aby zebrać informacje, które przeniesie w inne miejsca.
   
   
3. Ofiara dostaje e-mail zawierający fałszywy link do strony internetowej, na której jest proszony o podanie danych wrażliwych takich jak PIN-y, dane do logowania, kody dostępu.

Jak nie zostać ofiarą phishingu?

Phishing wykorzystuje najsłabszą część systemu zabezpieczeń – ludzki mózg. Dlatego najlepszą formą obrony przed tego typu atakiem jest zachowanie szczególnej czujności: sprawdzanie autentyczności wiadomości i unikanie podawania poufnych informacji nieznanym odbiorcom lub na niezweryfikowanych stronach.

Poniżej znajdziesz kilka wskazówek jak rozpoznać phishing i nie stać się ofiarą:

• Uważaj na maile od osób, z którymi zwykle się nie komunikujesz, choćby jeżeli ich nazwiska brzmią dla Ciebie znajomo – np. jeżeli wiesz, iż osoba o tym nazwisku pracuje w organizacji, z którą współpracujesz. jeżeli ktoś wymaga od Ciebie wejścia w link, zalogowania się lub wykonania płatności – powinieneś zawsze zachować czujność.
• Zachowaj szczególną ostrożność, jeżeli treść wiadomości wywołuje emocje, a jej nadawca prosi o niezwłoczną reakcję, np. przelew.
• Nie klikaj automatycznie we wbudowane łącza. Za każdym razem zanim to zrobisz sprawdź rzeczywisty adres URL, zwracając szczególną uwagę na choćby niewielkie literówki w nazwach znanych instytucji. jeżeli nie korzystasz z narzędzi, które chronią przed niebezpiecznymi linkami (np. safe links), najlepiej, jeżeli wpiszesz w przeglądarce adres URL bezpośrednio, z pominięciem klikania w podejrzany link.
• Nie otwieraj nietypowych załączników. Mogą zawierać złośliwe oprogramowanie, takie jak ransomware.
• Zanim podasz wrażliwe dane, upewnij się, iż adres strony zaczyna się od HTTPS, nie tylko http. Większość legalnych stron korzysta z protokołu https jako bezpieczniejszego.
• Edukuj siebie i pracowników – tylko świadomy, korzystający ze szkoleń użytkownik może obronić się przed tą formą oszustwa.
• Zainwestuj w sprawdzone rozwiązania chroniące przed złośliwym oprogramowaniem.