TL;DR
Phishing to złośliwy proceder, w ramach którego atakujący podszywają się pod wiarygodne podmioty, aby nakłonić osoby indywidualne do ujawnienia informacji poufnych.
Należy uważać na phishing i rozpoznawać jego typowe oznaki, np. podejrzane adresy URL oraz pilne prośby o podanie danych osobowych.
Warto wiedzieć o różnych technikach phishingu, od typowych oszustw e-mailowych po wyrafinowany ukierunkowany phishing, aby wzmocnić zabezpieczenia cybernetyczne.
Wprowadzenie
Phishing to szkodliwa taktyka, w ramach której podmioty o nieuczciwych intencjach udają wiarygodne źródła, aby nakłonić ludzi do udostępnienia poufnych danych. W tym artykule rzucimy światło na to, czym jest phishing, na czym polega i co można zrobić, aby nie paść ofiarą takich oszustw.
Na czym polega phishing
U podstaw phishingu leży przede wszystkim socjotechnika, czyli wymuszanie ujawnienia poufnych informacji. Atakujący zbierają dane osobowe ze źródeł ogólnodostępnych (np. mediów społecznościowych) i tworzą pozornie autentyczne wiadomości e-mail. Ofiary często otrzymują złośliwe wiadomości, które wyglądają jak wiadomości od znanych kontaktów lub szanowanych instytucji.
Najczęstszą formą wyłudzania informacji są wiadomości e-mail ze złośliwymi linkami lub załącznikami. Kliknięcie tych linków może prowadzić do instalacji złośliwego oprogramowania na urządzeniu użytkownika lub przekierowania go na fałszywe strony internetowe, które służą do kradzieży danych osobowo-finansowych.
Wprawdzie słabo napisane wiadomości phishingowe jest łatwiej wykryć, ale cyberprzestępcy zwiększają autentyczność swoich ataków, stosując nowoczesne narzędzia, np. czatboty i generatory głosu AI. Utrudnia to użytkownikom odróżnienie wiadomości autentycznych od fałszywych.
Rozpoznawanie prób phishingu
Rozpoznawanie wiadomości phishingowych może być trudne, ale są pewne sygnały, na które warto zwracać uwagę.
Typowe sygnały
Zachowaj ostrożność, jeżeli w wiadomości są podejrzane adresy URL, publiczne adresy e-mail, jej treść wywołuje strach lub zawiera informacje o pilnej potrzebie, prośby o podanie danych osobowych lub błędy ortograficzno-gramatyczne. W większości przypadków można najechać myszą na linki i sprawdzić adresy URL bez ich klikania.
Oszustwa związane z płatnościami cyfrowymi
Wyłudzający często się podszywają pod zaufane serwisy do płatności internetowych, np. pod PayPala, Venmo lub Wise. Użytkownicy otrzymują fałszywe wiadomości e-mail z prośbą o zweryfikowanie danych służących do logowania. Ważne jest, aby zachować czujność i zgłaszać podejrzane działania.
Ataki phishingowe związane z finansami
Oszuści podszywają się pod banki lub instytucje finansowe i w celu uzyskania danych osobowych twierdzą, że doszło do naruszenia bezpieczeństwa. Powszechnie stosowane strategie to np. nieprawdziwe wiadomości e-mail o przelewach pieniężnych lub oszustwach związanych z wpłatami bezpośrednimi, których celem są nowi pracownicy. Mogą się również pojawiać twierdzenia, że ma miejsce pilna aktualizacja zabezpieczeń.
Oszustwa phishingowe związane z pracą
Te spersonalizowane oszustwa polegają na tym, że atakujący podają się za kadrę kierowniczą, dyrektorów generalnych lub dyrektorów finansowych i żądają dokonania przelewów bankowych lub fałszywych zakupów. Kolejną metodą stosowaną przez oszustów jest phishing głosowy przy użyciu generatorów głosu ze sztuczną inteligencją.
Jak Zapobiegać Atakom Phishingowym
Aby zapobiec atakom phishingowym, należy stosować kilka zabezpieczeń. Staraj się nie klikać bezpośrednio jakichkolwiek linków. Zamiast tego wejdź na oficjalną stronę internetową lub kanały informacyjne firmy i sprawdź, czy otrzymane informacje są prawdziwe. Rozważ stosowanie narzędzi zabezpieczających, np. oprogramowania antywirusowego, zapór sieciowych i filtrów antyspamowych.
Ponadto organizacje powinny mieć standardy uwierzytelniania e-maila do weryfikacji przychodzących wiadomości e-mail. Typowe przykłady metod uwierzytelniania poczty e-mail to DKIM (DomainKeys Identified Mail) i DMARC (Domain-based Message Authentication, Reporting and Conformance).
Jeżeli chodzi o osoby indywidualne, ważne jest, aby informować rodzinę i znajomych o ryzyku związanym z phishingiem. Jeżeli chodzi o firmy, istotne jest, aby informować pracowników o technikach phishingu i zapewniać okresowe szkolenia uświadamiające w celu zmniejszenia ryzyka.
Jeżeli potrzebna jest dalsza pomoc i informacje, szukaj inicjatyw administracyjnych, np. OnGuardOnline.gov, czy takich organizacji jak Anti-Phishing Working Group Inc. Dysponują one bardziej szczegółowymi materiałami oraz wskazówkami na temat wykrywania, unikania i zgłaszania ataków phishingowych.
Rodzaje phishingu
Techniki phishingu ewoluują, a cyberprzestępcy stosują różne metody. Poszczególne rodzaje phishingu klasyfikuje się zwykle według celu i nośnika ataku. Przyjrzymy się temu bliżej.
Phishing przez klonowanie
Podmiot atakujący wykorzystuje wcześniej wysłaną, wiarygodną wiadomość e-mail i kopiuje jej treść do podobnej wiadomości z odsyłaczem do złośliwej witryny. Napastnik może również twierdzić, że jest to zaktualizowany lub nowy link, ponieważ poprzedni był nieprawidłowy lub stracił ważność.
Ukierunkowany phishing
Tego rodzaju atak jest nastawiony na jedną osobę lub instytucję. Atak ukierunkowany jest bardziej wyrafinowany niż inne rodzaje phishingu, ponieważ jest sprofilowany. Oznacza to, że atakujący najpierw zbiera informacje o ofierze (np. imiona znajomych lub członków rodziny) i przy użyciu tych danych wabi ofiarę do złośliwego pliku strony internetowej.
Pharming
Atakujący zatruwa rekord DNS, co w praktyce oznacza przekierowywanie odwiedzających z prawdziwej strony internetowej na fałszywą, którą wcześniej utworzył. Jest to najbardziej niebezpieczny z ataków, ponieważ rekordy DNS nie są pod kontrolą użytkownika, przez co nie może się on przed nim bronić.
Whaling
Forma ukierunkowanego phishingu, której celem są osoby zamożne i ważne, np. dyrektorzy generalni i urzędnicy państwowi.
Fałszywe maile
Wiadomości phishingowe zazwyczaj zawierają fałszywe wiadomości od legalnych firm lub osób. Wiadomości phishingowe mogą zawierać przygotowane dla nieświadomych ofiar linki do złośliwych witryn, na których atakujący zbierają dane do logowania i dane osobowe za pomocą sprytnie zamaskowanych stron do logowania. Strony mogą zawierać trojany, keyloggery i inne złośliwe skrypty, które kradną dane osobowe.
Przekierowania na strony internetowe
Przekierowania witryn odsyłają użytkowników do adresów URL innych niż te, które użytkownik zamierzał odwiedzić. Podmioty wykorzystujące luki w zabezpieczeniach mogą wstawiać przekierowania i instalować na komputerach użytkowników złośliwe oprogramowanie.
Typosquatting
Typosquatting polega na kierowaniu ruchu do fałszywych witryn, których domena ma pisownię w języku obcym, z typowym błędem ortograficznym lub subtelną odmianą domeny najwyższego poziomu. Wyłudzający przy użyciu domen naśladują prawdziwe interfejsy stron internetowych, wykorzystując to, że użytkownicy błędnie wpisują lub błędnie odczytują adres URL.
Fałszywe płatne reklamy
Kolejna taktyka służąca do phishingu to płatne reklamy. Te (fałszywe) reklamy mają domeny, które atakujący poddają typosquattingowi i płacą za wzrost w wynikach wyszukiwania. Witryna może się nawet pojawić jako pierwszy wynik wyszukiwania w Google.
Atak przy wodopoju
W przypadku ataku przy wodopoju naciągacze analizują użytkowników i ustalają, na jakie strony internetowe często wchodzą. Szukają na tych stronach luk w zabezpieczeniach i próbują wstrzyknąć złośliwe skrypty, które mają atakować użytkowników przy następnej wizycie na danej stronie.
Podszywanie się pod inne osoby i fałszywe promocje
Podszywanie się pod wpływowe osoby w mediach społecznościowych. Wyłudzacze mogą się podszywać pod kluczowych liderów firm i reklamować konkursy lub realizować inne działania o znamionach oszustwa. Ofiary tego oszustwa mogą nawet padać ofiarą indywidualnie za pośrednictwem technik socjotechnicznych służących do wyszukiwania łatwowiernych użytkowników. Takie podmioty mogą się włamywać na zweryfikowane konta i zmieniać nazwy użytkowników, aby podszyć się pod prawdziwą postać, zachowując przy tym zweryfikowany status.
Ostatnio wyłudzający często atakują platformy takie jak Discord, X oraz Telegram w tych samych celach: aby podszywać się pod czaty, osoby indywidualne oraz uczciwe usługi.
Złośliwe aplikacje
Wyłudzający mogą również stosować złośliwe aplikacje, które obserwują zachowanie użytkownika lub kradną informacje poufne. Aplikacje mogą udawać narzędzia do śledzenia cen, portfele oraz inne narzędzia związane z kryptowalutami (które mają bazę użytkowników predysponowanych do handlu i posiadania kryptowalut).
Phishing za pomocą wiadomości SMS i połączeń głosowych
Forma phishingu związana z wiadomościami SMS, zwykle realizowana za pośrednictwem wiadomości SMS lub głosowych, w ramach której użytkowników zachęca się do podania danych osobowych.
Phishing a pharming
Wprawdzie część osób uważa, że pharming to swego rodzaju ataku phishingowy, ale ma on inny mechanizm działania. Główna różnica między phishingiem a pharmingiem polega na tym, że przy phishingu ofiara musi popełnić błąd. Z kolei w przypadku pharmingu ofiara musi tylko podjąć próbę uzyskania dostępu do uczciwej strony internetowej, której rekord DNS został naruszony przez atakującego.
Phishing w świecie blockchain i krypto
Chociaż technologia blockchain zapewnia wysoki poziom bezpieczeństwa danych ze względu na swój zdecentralizowany charakter, użytkownicy w świecie technologii blockchain powinni zachować czujność na socjotechniki i próby phishingu. Cyberprzestępcy często próbują wykorzystać ludzką ułomność, aby uzyskać dostęp do kluczy prywatnych lub danych do logowania. W większości przypadków oszustwa polegają na błędzie ludzkim.
Oszuści mogą również podejmować próby nakłonienia użytkownika do ujawnienia fraz seed lub przelania środków na fałszywe adresy. Ważne jest, aby zachować ostrożność i przestrzegać najważniejszych wzorców postępowania w zakresie bezpieczeństwa.
Wnioski Końcowe
Podsumowując: rozumienie mechanizmów phishingowych oraz trzymanie ręki na pulsie ewolucji ich technik ma kluczowe znaczenie dla ochrony danych osobowo-finansowych. Dzięki mieszance solidnych zabezpieczeń, edukacji oraz świadomości osoby indywidualne i organizacje mogą się zabezpieczyć przed wszechobecnym zagrożeniem związanym z phishingiem w naszym wzajemnie powiązanym świecie cyfrowym. Zabezpiecz się!
Dalsza Lektura
Wyłączenie odpowiedzialności: Niniejsza treść jest prezentowana użytkownikowi w stanie jakim jest, wyłącznie w celach ogólnoinformacyjnych i edukacyjnych, bez jakichkolwiek gwarancji ani zapewnień. Nie należy jej interpretować jako porady finansowej, prawnej ani innego rodzaju porady specjalistycznej. Nie ma ona również charakteru zachęty do zakupu jakiegokolwiek konkretnego produktu ani usługi. Użytkownik powinien zasięgnąć własnej porady u odpowiednich zawodowych doradców. Jeżeli artykuł jest napisany przez osobę z zewnątrz, należy pamiętać, że wyrażone poglądy są poglądami tej osoby i nie muszą odzwierciedlać poglądów Akademii Binance. Więcej informacji można znaleźć w naszym pełnym wyłączeniu odpowiedzialności tutaj. Ceny aktywów cyfrowych bywają zmienne. Możliwe, że wartość Twojej inwestycji spadnie lub wzrośnie i nie odzyskasz zainwestowanej kwoty. Ponosisz wyłączną odpowiedzialność za swoje decyzje inwestycyjne, a Akademia Binance nie ponosi odpowiedzialności za ewentualne straty. To nie jest porada z zakresu finansów, prawa ani innej dziedziny. Aby uzyskać więcej informacji, zapoznaj się z naszymi Warunkami Użytkowania i Ostrzeżeniem o Ryzyku.