Co to jest i na czym polega phishing?
Strona G艂贸wna
Artyku艂y
Co to jest i na czym polega phishing?

Co to jest i na czym polega phishing?

Pocz膮tkuj膮cy
Opublikowane Nov 28, 2018Zaktualizowane Mar 13, 2024
7m

TL;DR

  • Phishing to z艂o艣liwy proceder, w ramach kt贸rego atakuj膮cy podszywaj膮 si臋 pod wiarygodne podmioty, aby nak艂oni膰 osoby indywidualne do ujawnienia informacji poufnych.

  • Nale偶y uwa偶a膰 na phishing i rozpoznawa膰 jego typowe oznaki, np. podejrzane adresy URL oraz pilne pro艣by o podanie danych osobowych.

  • Warto wiedzie膰 o r贸偶nych technikach phishingu, od typowych oszustw e-mailowych po wyrafinowany ukierunkowany phishing, aby wzmocni膰 zabezpieczenia cybernetyczne.

Wprowadzenie

Phishing to szkodliwa taktyka, w ramach kt贸rej podmioty o nieuczciwych intencjach udaj膮 wiarygodne 藕r贸d艂a, aby nak艂oni膰 ludzi do udost臋pnienia poufnych danych. W tym artykule rzucimy 艣wiat艂o na to, czym jest phishing, na czym polega i co mo偶na zrobi膰, aby nie pa艣膰 ofiar膮 takich oszustw.

Na czym polega phishing

U podstaw phishingu le偶y przede wszystkim socjotechnika, czyli wymuszanie ujawnienia poufnych informacji. Atakuj膮cy zbieraj膮 dane osobowe ze 藕r贸de艂 og贸lnodost臋pnych (np. medi贸w spo艂eczno艣ciowych) i tworz膮 pozornie autentyczne wiadomo艣ci e-mail. Ofiary cz臋sto otrzymuj膮 z艂o艣liwe wiadomo艣ci, kt贸re wygl膮daj膮 jak wiadomo艣ci od znanych kontakt贸w lub szanowanych instytucji.

Najcz臋stsz膮 form膮 wy艂udzania informacji s膮 wiadomo艣ci e-mail ze z艂o艣liwymi linkami lub za艂膮cznikami. Klikni臋cie tych link贸w mo偶e prowadzi膰 do instalacji z艂o艣liwego oprogramowania na urz膮dzeniu u偶ytkownika lub przekierowania go na fa艂szywe strony internetowe, kt贸re s艂u偶膮 do kradzie偶y danych osobowo-finansowych.

Wprawdzie s艂abo napisane wiadomo艣ci phishingowe jest 艂atwiej wykry膰, ale cyberprzest臋pcy zwi臋kszaj膮 autentyczno艣膰 swoich atak贸w, stosuj膮c nowoczesne narz臋dzia, np. czatboty i generatory g艂osu AI. Utrudnia to u偶ytkownikom odr贸偶nienie wiadomo艣ci autentycznych od fa艂szywych.

Rozpoznawanie pr贸b phishingu

Rozpoznawanie wiadomo艣ci phishingowych mo偶e by膰 trudne, ale s膮 pewne sygna艂y, na kt贸re warto zwraca膰 uwag臋.

Typowe sygna艂y

Zachowaj ostro偶no艣膰, je偶eli w wiadomo艣ci s膮 podejrzane adresy URL, publiczne adresy e-mail, jej tre艣膰 wywo艂uje strach lub zawiera informacje o pilnej potrzebie, pro艣by o podanie danych osobowych lub b艂臋dy ortograficzno-gramatyczne. W wi臋kszo艣ci przypadk贸w mo偶na najecha膰 mysz膮 na linki i sprawdzi膰 adresy URL bez ich klikania.

Oszustwa zwi膮zane z p艂atno艣ciami cyfrowymi

Wy艂udzaj膮cy cz臋sto si臋 podszywaj膮 pod zaufane serwisy do p艂atno艣ci internetowych, np. pod PayPala, Venmo lub Wise. U偶ytkownicy otrzymuj膮 fa艂szywe wiadomo艣ci e-mail z pro艣b膮 o zweryfikowanie danych s艂u偶膮cych do logowania. Wa偶ne jest, aby zachowa膰 czujno艣膰 i zg艂asza膰 podejrzane dzia艂ania.

Ataki phishingowe zwi膮zane z finansami

Oszu艣ci podszywaj膮 si臋 pod banki lub instytucje finansowe i w celu uzyskania danych osobowych twierdz膮, 偶e dosz艂o do naruszenia bezpiecze艅stwa. Powszechnie stosowane strategie to np. nieprawdziwe wiadomo艣ci e-mail o przelewach pieni臋偶nych lub oszustwach zwi膮zanych z wp艂atami bezpo艣rednimi, kt贸rych celem s膮 nowi pracownicy. Mog膮 si臋 r贸wnie偶 pojawia膰 twierdzenia, 偶e ma miejsce pilna aktualizacja zabezpiecze艅.

Oszustwa phishingowe zwi膮zane z prac膮

Te spersonalizowane oszustwa polegaj膮 na tym, 偶e atakuj膮cy podaj膮 si臋 za kadr臋 kierownicz膮, dyrektor贸w generalnych lub dyrektor贸w finansowych i 偶膮daj膮 dokonania przelew贸w bankowych lub fa艂szywych zakup贸w. Kolejn膮 metod膮 stosowan膮 przez oszust贸w jest phishing g艂osowy przy u偶yciu generator贸w g艂osu ze sztuczn膮 inteligencj膮.

Jak Zapobiega膰 Atakom Phishingowym

Aby zapobiec atakom phishingowym, nale偶y stosowa膰 kilka zabezpiecze艅. Staraj si臋 nie klika膰 bezpo艣rednio jakichkolwiek link贸w. Zamiast tego wejd藕 na oficjaln膮 stron臋 internetow膮 lub kana艂y informacyjne firmy i sprawd藕, czy otrzymane informacje s膮 prawdziwe. Rozwa偶 stosowanie narz臋dzi zabezpieczaj膮cych, np. oprogramowania antywirusowego, zap贸r sieciowych i filtr贸w antyspamowych.聽

Ponadto organizacje powinny mie膰 standardy uwierzytelniania e-maila do weryfikacji przychodz膮cych wiadomo艣ci e-mail. Typowe przyk艂ady metod uwierzytelniania poczty e-mail to DKIM (DomainKeys Identified Mail) i DMARC (Domain-based Message Authentication, Reporting and Conformance).

Je偶eli chodzi o osoby indywidualne, wa偶ne jest, aby informowa膰 rodzin臋 i znajomych o ryzyku zwi膮zanym z phishingiem. Je偶eli chodzi o firmy, istotne jest, aby informowa膰 pracownik贸w o technikach phishingu i zapewnia膰 okresowe szkolenia u艣wiadamiaj膮ce w celu zmniejszenia ryzyka.

Je偶eli potrzebna jest dalsza pomoc i informacje, szukaj inicjatyw administracyjnych, np. OnGuardOnline.gov, czy takich organizacji jak Anti-Phishing Working Group Inc. Dysponuj膮 one bardziej szczeg贸艂owymi materia艂ami oraz wskaz贸wkami na temat wykrywania, unikania i zg艂aszania atak贸w phishingowych.

Rodzaje phishingu

Techniki phishingu ewoluuj膮, a cyberprzest臋pcy stosuj膮 r贸偶ne metody. Poszczeg贸lne rodzaje phishingu klasyfikuje si臋 zwykle wed艂ug celu i no艣nika ataku. Przyjrzymy si臋 temu bli偶ej.

Phishing przez klonowanie

Podmiot atakuj膮cy wykorzystuje wcze艣niej wys艂an膮, wiarygodn膮 wiadomo艣膰 e-mail i kopiuje jej tre艣膰 do podobnej wiadomo艣ci z odsy艂aczem do z艂o艣liwej witryny. Napastnik mo偶e r贸wnie偶 twierdzi膰, 偶e jest to zaktualizowany lub nowy link, poniewa偶 poprzedni by艂 nieprawid艂owy lub straci艂 wa偶no艣膰.

Ukierunkowany phishing

Tego rodzaju atak jest nastawiony na jedn膮 osob臋 lub instytucj臋. Atak ukierunkowany jest bardziej wyrafinowany ni偶 inne rodzaje phishingu, poniewa偶 jest sprofilowany. Oznacza to, 偶e atakuj膮cy najpierw zbiera informacje o ofierze (np. imiona znajomych lub cz艂onk贸w rodziny) i przy u偶yciu tych danych wabi ofiar臋 do z艂o艣liwego pliku strony internetowej.

Pharming

Atakuj膮cy zatruwa rekord DNS, co w praktyce oznacza przekierowywanie odwiedzaj膮cych z prawdziwej strony internetowej na fa艂szyw膮, kt贸r膮 wcze艣niej utworzy艂. Jest to najbardziej niebezpieczny z atak贸w, poniewa偶 rekordy DNS nie s膮 pod kontrol膮 u偶ytkownika, przez co nie mo偶e si臋 on przed nim broni膰.

Whaling

Forma ukierunkowanego phishingu, kt贸rej celem s膮 osoby zamo偶ne i wa偶ne, np. dyrektorzy generalni i urz臋dnicy pa艅stwowi.

Fa艂szywe maile

Wiadomo艣ci phishingowe zazwyczaj zawieraj膮 fa艂szywe wiadomo艣ci od legalnych firm lub os贸b. Wiadomo艣ci phishingowe mog膮 zawiera膰 przygotowane dla nie艣wiadomych ofiar linki do z艂o艣liwych witryn, na kt贸rych atakuj膮cy zbieraj膮 dane do logowania i dane osobowe za pomoc膮 sprytnie zamaskowanych stron do logowania. Strony mog膮 zawiera膰 trojany, keyloggery i inne z艂o艣liwe skrypty, kt贸re kradn膮 dane osobowe.

Przekierowania na strony internetowe

Przekierowania witryn odsy艂aj膮 u偶ytkownik贸w do adres贸w URL innych ni偶 te, kt贸re u偶ytkownik zamierza艂 odwiedzi膰. Podmioty wykorzystuj膮ce luki w zabezpieczeniach mog膮 wstawia膰 przekierowania i instalowa膰 na komputerach u偶ytkownik贸w z艂o艣liwe oprogramowanie.

Typosquatting

Typosquatting polega na kierowaniu ruchu do fa艂szywych witryn, kt贸rych domena ma pisowni臋 w j臋zyku obcym, z typowym b艂臋dem ortograficznym lub subteln膮 odmian膮 domeny najwy偶szego poziomu. Wy艂udzaj膮cy przy u偶yciu domen na艣laduj膮 prawdziwe interfejsy stron internetowych, wykorzystuj膮c to, 偶e u偶ytkownicy b艂臋dnie wpisuj膮 lub b艂臋dnie odczytuj膮 adres URL.

Fa艂szywe p艂atne reklamy

Kolejna taktyka s艂u偶膮ca do phishingu to p艂atne reklamy. Te (fa艂szywe) reklamy maj膮 domeny, kt贸re atakuj膮cy poddaj膮 typosquattingowi i p艂ac膮 za wzrost w wynikach wyszukiwania. Witryna mo偶e si臋 nawet pojawi膰 jako pierwszy wynik wyszukiwania w Google.

Atak przy wodopoju

W przypadku ataku przy wodopoju naci膮gacze analizuj膮 u偶ytkownik贸w i ustalaj膮, na jakie strony internetowe cz臋sto wchodz膮. Szukaj膮 na tych stronach luk w zabezpieczeniach i pr贸buj膮 wstrzykn膮膰 z艂o艣liwe skrypty, kt贸re maj膮 atakowa膰 u偶ytkownik贸w przy nast臋pnej wizycie na danej stronie.

Podszywanie si臋 pod inne osoby i fa艂szywe promocje

Podszywanie si臋 pod wp艂ywowe osoby w mediach spo艂eczno艣ciowych. Wy艂udzacze mog膮 si臋 podszywa膰 pod kluczowych lider贸w firm i reklamowa膰 konkursy lub realizowa膰 inne dzia艂ania o znamionach oszustwa. Ofiary tego oszustwa mog膮 nawet pada膰 ofiar膮 indywidualnie za po艣rednictwem technik socjotechnicznych s艂u偶膮cych do wyszukiwania 艂atwowiernych u偶ytkownik贸w. Takie podmioty mog膮 si臋 w艂amywa膰 na zweryfikowane konta i zmienia膰 nazwy u偶ytkownik贸w, aby podszy膰 si臋 pod prawdziw膮 posta膰, zachowuj膮c przy tym zweryfikowany status.

Ostatnio wy艂udzaj膮cy cz臋sto atakuj膮 platformy takie jak Discord, X oraz Telegram w tych samych celach: aby podszywa膰 si臋 pod czaty, osoby indywidualne oraz uczciwe us艂ugi.

Z艂o艣liwe aplikacje

Wy艂udzaj膮cy mog膮 r贸wnie偶 stosowa膰 z艂o艣liwe aplikacje, kt贸re obserwuj膮 zachowanie u偶ytkownika lub kradn膮 informacje poufne. Aplikacje mog膮 udawa膰 narz臋dzia do 艣ledzenia cen, portfele oraz inne narz臋dzia zwi膮zane z kryptowalutami (kt贸re maj膮 baz臋 u偶ytkownik贸w predysponowanych do handlu i posiadania kryptowalut).

Phishing za pomoc膮 wiadomo艣ci SMS i po艂膮cze艅 g艂osowych

Forma phishingu zwi膮zana z wiadomo艣ciami SMS, zwykle realizowana za po艣rednictwem wiadomo艣ci SMS lub g艂osowych, w ramach kt贸rej u偶ytkownik贸w zach臋ca si臋 do podania danych osobowych.

Phishing a pharming

Wprawdzie cz臋艣膰 os贸b uwa偶a, 偶e pharming to swego rodzaju ataku phishingowy, ale ma on inny mechanizm dzia艂ania. G艂贸wna r贸偶nica mi臋dzy phishingiem a pharmingiem polega na tym, 偶e przy phishingu ofiara musi pope艂ni膰 b艂膮d. Z kolei w przypadku pharmingu ofiara musi tylko podj膮膰 pr贸b臋 uzyskania dost臋pu do uczciwej strony internetowej, kt贸rej rekord DNS zosta艂 naruszony przez atakuj膮cego.

Phishing w 艣wiecie blockchain i krypto

Chocia偶 technologia blockchain zapewnia wysoki poziom bezpiecze艅stwa danych ze wzgl臋du na sw贸j zdecentralizowany charakter, u偶ytkownicy w 艣wiecie technologii blockchain powinni zachowa膰 czujno艣膰 na socjotechniki i pr贸by phishingu. Cyberprzest臋pcy cz臋sto pr贸buj膮 wykorzysta膰 ludzk膮 u艂omno艣膰, aby uzyska膰 dost臋p do kluczy prywatnych lub danych do logowania. W wi臋kszo艣ci przypadk贸w oszustwa polegaj膮 na b艂臋dzie ludzkim.

Oszu艣ci mog膮 r贸wnie偶 podejmowa膰 pr贸by nak艂onienia u偶ytkownika do ujawnienia fraz seed lub przelania 艣rodk贸w na fa艂szywe adresy. Wa偶ne jest, aby zachowa膰 ostro偶no艣膰 i przestrzega膰 najwa偶niejszych wzorc贸w post臋powania w zakresie bezpiecze艅stwa.

Wnioski Ko艅cowe

Podsumowuj膮c: rozumienie mechanizm贸w phishingowych oraz trzymanie r臋ki na pulsie ewolucji ich technik ma kluczowe znaczenie dla ochrony danych osobowo-finansowych. Dzi臋ki mieszance solidnych zabezpiecze艅, edukacji oraz 艣wiadomo艣ci osoby indywidualne i organizacje mog膮 si臋 zabezpieczy膰 przed wszechobecnym zagro偶eniem zwi膮zanym z phishingiem w naszym wzajemnie powi膮zanym 艣wiecie cyfrowym. Zabezpiecz si臋!

Dalsza Lektura

Wy艂膮czenie odpowiedzialno艣ci: Niniejsza tre艣膰 jest prezentowana u偶ytkownikowi w stanie jakim jest, wy艂膮cznie w celach og贸lnoinformacyjnych i edukacyjnych, bez jakichkolwiek gwarancji ani zapewnie艅. Nie nale偶y jej interpretowa膰 jako porady finansowej, prawnej ani innego rodzaju porady specjalistycznej. Nie ma ona r贸wnie偶 charakteru zach臋ty do zakupu jakiegokolwiek konkretnego produktu ani us艂ugi. U偶ytkownik powinien zasi臋gn膮膰 w艂asnej porady u odpowiednich zawodowych doradc贸w. Je偶eli artyku艂 jest napisany przez osob臋 z zewn膮trz, nale偶y pami臋ta膰, 偶e wyra偶one pogl膮dy s膮 pogl膮dami tej osoby i nie musz膮 odzwierciedla膰 pogl膮d贸w Akademii Binance. Wi臋cej informacji mo偶na znale藕膰 w naszym pe艂nym wy艂膮czeniu odpowiedzialno艣ci tutaj. Ceny aktyw贸w cyfrowych bywaj膮 zmienne. Mo偶liwe, 偶e warto艣膰 Twojej inwestycji spadnie lub wzro艣nie i nie odzyskasz zainwestowanej kwoty. Ponosisz wy艂膮czn膮 odpowiedzialno艣膰 za swoje decyzje inwestycyjne, a Akademia Binance nie ponosi odpowiedzialno艣ci za ewentualne straty. To nie jest porada z zakresu finans贸w, prawa ani innej dziedziny. Aby uzyska膰 wi臋cej informacji, zapoznaj si臋 z naszymi Warunkami U偶ytkowania i Ostrze偶eniem o Ryzyku.