Zaznacz stronę

Choć istnieje wiele różnych form cyberataków, to właśnie phishing zbiera największe żniwo wśród Internautów. Co prawda jego cel jest zbieżny z wieloma innymi formami zagrożeń internetowych, ale forma ataku jest w jego przypadku o wiele groźniejsza.

Czym jest phishing?

Jest to forma ataku, w której cyberprzestępca podszywa się pod firmę, bank, bądź inny podmiot zaufania publicznego, w celu wykradzenia dostępu do loginów, haseł i wielu innych, poufnych danych. Schemat ataku jest zawsze praktycznie taki sam i polega na wysłaniu na adres potencjalnej ofiary wiadomości mailowej, w której zachęca się do kliknięcia w określony link.

Zachęta ta może mieć formę groźby (utrata danych, dodatkowe opłaty), prośby (zbiórka pieniędzy), bądź zwykłej informacji (np. odbiór przesyłki). Konsekwencje kliknięcia w taki link mogą być różne, od instalacji szkodliwego oprogramowania aż po przekierowanie na stronę wyłudzającą dane osobowe, numery kart, bądź login i hasło.

Manipulacja w praktyce

Oczywiście phishing nie byłby tak skuteczny, gdyby nie odpowiednia forma spreparowanych wiadomości. Podawany link jest skonstruowany w ten sposób, by budził on zaufanie wśród potencjalnych ofiar. Czasami może on różnić się jednym znakiem (np. www.nazwabanku.pl/login a www.nazwabanku.pl-login). Takie różnice są bardzo subtelne i trudno je wychwycić mniej doświadczonym Użytkownikom.

To jednak nie wszystko. Sama strona wyłudzająca dane jest tak skonstruowana, by do złudzenia przypominać stronę oryginalną. Nie jest to trudne, gdyż wystarczy skopiować kod źródłowy witryny oryginalnej a następnie dokonać zmian zapisów w odnośnikach. Tak czy inaczej, wykorzystywane są w tym celu zaawansowane metody psychomanipulacji, której celem jest zastraszenie ofiary i wymuszenie na niej podjęcia określonych kroków.

Phishing od kuchni

Jak wygląda taki atak “od kuchni”? Najczęściej rozpoczyna się on pozyskiwaniem bazy adresów e-mail z uwzględnieniem dodatkowych informacji o potencjalnych ofiarach. Dopiero po ich uzyskaniu cyberprzestępcy dokonują ataku, robiąc to na masową skalę. Czasu jest bardzo mało – zwykle strona phishingowa “żyje” kilka dni, po czym jest wychwytywana przez specjalne filtry.

Dane przez nich pozyskane zwykle są przekazywane dalej. Osoby dokonujące tej formy ataku wiedzą, że wykorzystywanie wykradzionych przez nich danych mogłoby szybko doprowadzić ich przed organy ścigania. Sprzedaż tych informacji jest o wiele bezpieczniejsza.

Jak się zabezpieczyć?

Eksperci jednogłośnie wskazują, że najlepszym zabezpieczeniem przed phishingiem jest… zdrowy rozsądek. Oczywiście równie ważne jest korzystanie z dodatkowych zabezpieczeń programistycznych (np. filtry w przeglądarkach), ale zawsze trzeba zakładać, że środki te okażą się niewystarczające. Jak więc zadbać o własne bezpieczeństwo?

  1. Obserwuj link i porównaj go z linkiem oryginalnym – tak jak była o tym mowa wcześniej, różnice te mogą być bardzo subtelne. W podanym przez nas przykładzie, zmiana znaku “/” na “-” umożliwiła zmianę adresu domeny.
  2. Dokładnie analizuj dostarczanych treści – banki, podmioty finansowe, bądź firmy transportowe nie wysyłają wiadomości wymuszających na Użytkowniku podawania loginów i haseł. Dlatego można z góry założyć, że wiadomość mailowa z banku z prośbą o podanie hasła jest próbą wyłudzenia danych.
  3. Wpisuj adres www banku od ręki, nie korzystając z odnośników. Nawiasem mówiąc warto go zapamiętać.
  4. Zaktualizuj oprogramowanie antywirusowe, które posiada specjalne filtry antyphishingowe. Warto również zadbać o nową wersję przeglądarki w której zabezpieczenia również są aktualizowane.
  5. Jeśli masz wątpliwości co do autentyczności strony, koniecznie sprawdź z jakim certyfikatem masz do czynienia. Coraz więcej fałszywych witryn korzysta z podstawowych certyfikatów bezpieczeństwa. Pełną autentyczność daje jedynie certyfikat SSL EV, w którym – tuż obok zielonej kłódki – wypisywana jest nazwa witryny (również na zielono).
  6. Jeśli już padłeś ofiarą tej formy cyberataku, koniecznie powiadom o tym innych. Informuj innych o podejrzanych mailach i – jeśli to możliwe – zgłaszaj zagrożenie specjalistom.

Podsumowanie

Pierwszy udokumentowany atak phishingowy miał miejsce w 2001 roku. Od tego czasu forma samego ataku uległa wielu zmianom i udoskonaleniom. Z biegiem czasu i w miarę wzrostu świadomości Internautów liczba takich ataków będzie maleć. Niestety, ciągła opłacalność tego procederu powoduje, że zagrożeń tych jest coraz więcej. Musi jeszcze minąć kilka lat, by doszło do zmian w skali globalnej.


 

 

Wojciech Wesołowski

Wojciech Wesołowski

Marketing internetowy to moja pasja. Udało mi się przemienić pasję na zawód. I od paru lat eMarketingiem zajmuję się pełno-etatowo. Prowadzę kilka projektów : Podcast eMarketing przy Kawie, Blog http://WojciechWesolowski.pl . Jestem założycielem kilku grup marketingowych gdzie w praktyce dzielę się swoją wiedzą .

Send this to a friend