Co to jest phishing?
Zaczyna się niewinnie – e-mail od banku, SMS od kuriera, telefon z „centrali bezpieczeństwa”. Wszystko wygląda prawdziwie, brzmi poważnie, a w treści pojawia się prośba o szybkie działanie. Kliknij, podaj dane, potwierdź przelew. Nie chcesz przecież stracić dostępu do konta, prawda? I właśnie w tym momencie zaczyna działać phishing – jedno z najczęściej spotykanych oszustw internetowych opartych na podszywaniu się pod zaufaną osobę, firmę lub instytucję. Gdy dodamy do tego vishing, smishing, spear phishing czy quishing, otrzymujemy cały zestaw technik służących do wyłudzania danych, pieniędzy oraz dostępu do kont.
W tym przewodniku wyjaśniamy, czym różnią się te pojęcia, jak działa phishing i na jakie elementy wiadomości oraz stron internetowych powinieneś zwrócić uwagę. Pokażemy również, w jaki sposób przejęta strona WWW może zostać wykorzystana do prowadzenia kampanii phishingowej i gdzie w tym wszystkim pojawiają się mechanizmy ochrony hostingu.
- Co to phishing i jak działa?
- Czy SPAM, SCAM i phishing to jest to samo?
- Spear phishing, vishing, smishing i inne odmiany
- Phishing na przejętej stronie WWW
- Jak rozpoznać phishing i jak się bronić?
Chcesz lepiej poznać podobne zagrożenia? Zobacz również, co to jest social engineering, co to jest spoofing oraz co to jest smishing.
Co to phishing i jak działa?
Phishing to oszustwo polegające na podszywaniu się pod zaufaną osobę, firmę lub instytucję w celu wyłudzenia danych albo nakłonienia użytkownika do wykonania określonej czynności. Atakujący może próbować zdobyć login i hasło, dane karty płatniczej, informacje osobowe, kod autoryzacyjny albo skłonić odbiorcę do wykonania przelewu. Jeśli chcesz poznać szerszy kontekst takich oszustw, zobacz również co to jest scam.
Przestępcy przygotowują wiadomości, które przypominają prawidłową komunikację banku, sklepu internetowego, firmy kurierskiej, urzędu czy dostawcy usług. Wykorzystują logo, nazwę nadawcy, charakterystyczny sposób komunikacji, a coraz częściej również dane konkretnego odbiorcy. W treści pojawia się najczęściej informacja, która ma wywołać reakcję: problem z płatnością, nieautoryzowane logowanie, oczekująca paczka albo konieczność potwierdzenia danych. Następnie użytkownik jest kierowany na stronę, która wygląda podobnie do oryginalnego serwisu. Jeżeli wpisze tam dane, trafiają one do osoby prowadzącej atak.
Phishing nie ogranicza się do poczty e-mail. Próba wyłudzenia może dotrzeć przez SMS, komunikator, kod QR, fałszywą reklamę albo rozmowę telefoniczną. Dlatego bardziej niż sam kanał komunikacji liczy się schemat działania: podszywanie się, wzbudzenie zaufania i próba skłonienia Cię do określonego działania.
Czy SPAM, SCAM i phishing to jest to samo?
Nie. Te określenia często pojawiają się obok siebie, ale opisują różne zjawiska. Spam oznacza przede wszystkim niechcianą, zwykle masową korespondencję. Scam jest szerszym pojęciem obejmującym różnego rodzaju oszustwa. Phishing jest natomiast konkretną techniką oszustwa opartą na podszywaniu się pod zaufane źródło i próbie wyłudzenia informacji albo nakłonienia ofiary do działania.
Jeżeli chcesz uporządkować te pojęcia, przeczytaj również co to jest spam oraz wspomniany wcześniej artykuł o scamie.
| Pojęcie | Najprościej mówiąc | Główny cel lub cecha |
|---|---|---|
| SPAM | Niechciana korespondencja | Masowa wysyłka wiadomości, reklam lub innych treści |
| SCAM | Oszustwo | Wyłudzenie pieniędzy, danych lub innej korzyści |
| Phishing | Podszywanie się pod zaufane źródło | Wyłudzenie danych lub nakłonienie użytkownika do działania |
Niuanse mają znaczenie. Wiadomość może być jednocześnie spamem i elementem phishingu, ale nie każdy spam jest phishingiem. Podobnie phishing jest formą oszustwa, ale nie każdy scam wykorzystuje phishing.
Spear phishing, vishing, smishing i inne odmiany
Choć phishing kojarzy się przede wszystkim z podejrzanym e-mailem prowadzącym do fałszywej strony, przestępcy wykorzystują wiele kanałów komunikacji. Poszczególne odmiany różnią się sposobem dotarcia do ofiary, poziomem personalizacji oraz rodzajem presji, ale ich wspólnym celem pozostaje wyłudzenie danych albo nakłonienie użytkownika do działania na własną niekorzyść.
- Spear phishing – atak przygotowany pod konkretną osobę lub niewielką grupę odbiorców. Wiadomość wykorzystuje np. imię, stanowisko, nazwę firmy albo informacje o współpracownikach, dzięki czemu wygląda bardziej wiarygodnie.
- Vishing (voice phishing) – phishing prowadzony podczas rozmowy telefonicznej. Oszust może podszywać się pod pracownika banku, operatora, urzędu lub działu bezpieczeństwa.
- Smishing (SMS phishing) – próba wyłudzenia realizowana przez wiadomość SMS. Więcej przykładów opisaliśmy w artykule Co to jest smishing?.
- Clone phishing – wykorzystuje kopię prawidłowej wiadomości, w której podmieniono np. link lub załącznik.
- Whaling – odmiana spear phishingu skierowana do osób zajmujących wysokie stanowiska, np. właścicieli firm, dyrektorów czy osób odpowiedzialnych za finanse.
- Quishing – phishing wykorzystujący kod QR prowadzący do fałszywej strony.
Wspólnym mianownikiem jest socjotechnika. Atakujący wykorzystuje pośpiech, ciekawość, strach, autorytet albo poczucie obowiązku, aby użytkownik zareagował zanim dokładnie sprawdzi wiadomość. Szerzej ten mechanizm opisujemy w artykule Co to jest social engineering?.
Phishing na przejętej stronie WWW
Phishing nie kończy się na samej wiadomości. Ktoś musi również przygotować miejsce, do którego zostanie skierowana ofiara. Taką funkcję może pełnić specjalnie utworzona domena, ale przestępcy wykorzystują również wcześniej przejęte strony internetowe. W takim przypadku właściwy serwis może nadal działać prawidłowo, a w jednym z jego katalogów zostaje umieszczona dodatkowa strona imitująca panel logowania, płatność, bank albo inny znany serwis. Zwykły użytkownik odwiedzający stronę główną nigdy jej nie zobaczy. Trafiają do niej wyłącznie osoby posiadające konkretny link rozpowszechniany w kampanii phishingowej.
Właśnie tutaj phishing łączy się z innymi zagrożeniami opisanymi przez nas w Centrum Pomocy. Uploader malware może zostać wykorzystany do zapisania dodatkowych plików na przejętej stronie, a web shell może zapewnić atakującemu dalszy dostęp do środowiska. Z kolei złośliwy mailer PHP może służyć do rozsyłania wiadomości prowadzących do przygotowanej strony.
W SEOHOST jednym z elementów ochrony jest Monarx (system ochrony anty-malware). Monarx identyfikuje strony i pliki phishingowe jako jeden z rodzajów zagrożeń znajdujących się na hostingu. Ochrona nie polega więc na sprawdzaniu treści Twojej skrzynki pocztowej, lecz na wykrywaniu złośliwych elementów działających w obrębie strony i środowiska hostingowego.
Monarx działa po stronie hostingu SEOHOST. Jeżeli chcesz dowiedzieć się, jakie pliki i zdarzenia są analizowane, zobacz Co obejmuje ochrona Monarx i czego nie skanuje?. Sposób interpretowania wykryć i blokad opisujemy natomiast w artykule Co oznacza wykrycie lub blokada w Monarx?.
Jak rozpoznać phishing i jak się bronić?
Phishing opiera się przede wszystkim na tym, że masz zareagować szybko. Dlatego zanim klikniesz link, pobierzesz załącznik albo podasz dane, zatrzymaj się na chwilę i sprawdź, z kim faktycznie masz do czynienia. Zwróć uwagę na adres nadawcy, domenę strony, sposób sformułowania wiadomości oraz to, czy komunikat wymusza natychmiastowe działanie. Sam poprawny wygląd strony albo obecność logo znanej firmy nie są dowodem jej autentyczności. Jeśli wiadomość dotyczy banku, operatora płatności czy innej usługi, bezpieczniej wejść na jej stronę samodzielnie zamiast korzystać z przesłanego linku.
W przypadku poczty firmowej warto również zadbać o poprawną konfigurację mechanizmów uwierzytelniania wiadomości. Więcej na ten temat znajdziesz w poradniku Jak SPF, DKIM i DMARC wpływają na ochronę antyspamową? oraz instrukcji konfiguracji SpamAssassin w DirectAdmin.
Co zrobić, gdy podejrzewasz phishing lub podałeś swoje dane?
- Nie wykonuj kolejnych poleceń – jeśli otworzyłeś link, nie podawaj dalszych danych.
- Zmień przejęte hasła – zacznij od kont, których dane zostały podane na fałszywej stronie. Jeśli używałeś tego samego hasła w innych usługach, zmień je również tam.
- Włącz 2FA – szczególnie dla poczty, bankowości, paneli administracyjnych i innych ważnych usług.
- Skontaktuj się z firmą, pod którą podszywał się atakujący – bankiem, operatorem płatności, sklepem lub innym dostawcą.
- Jeżeli podałeś dane karty lub wykonałeś płatność, skontaktuj się z bankiem i zastosuj się do jego zaleceń dotyczących blokady karty lub zabezpieczenia rachunku.
- Zgłoś phishing do CERT Polska lub zespołu odpowiedzialnego za cyberbezpieczeństwo w Twojej organizacji.
- Jeżeli udostępniłeś dane dokumentu lub PESEL, podejmij działania ograniczające możliwość wykorzystania ich przez osoby trzecie.
- Jeżeli pobrałeś plik lub uruchomiłeś załącznik, przeskanuj urządzenie i zwróć uwagę na nietypowe zachowanie systemu.
Nie ignoruj sytuacji tylko dlatego, że strona po kliknięciu linku już nie działa. Kampania mogła zostać zakończona lub zablokowana, ale jeżeli wcześniej podałeś dane, powinieneś potraktować je jako potencjalnie przejęte i odpowiednio je zabezpieczyć.
Co warto zapamiętać o phishingu?
Phishing jest jedną z technik oszustwa internetowego i opiera się przede wszystkim na wykorzystaniu zaufania użytkownika. Sam atak nie musi wymagać przełamania zabezpieczeń Twojego komputera – często wystarczy, że sam przekażesz dane stronie, która wygląda wiarygodnie. Dlatego tak duże znaczenie ma sprawdzanie adresów, nadawców i domen, a także stosowanie uwierzytelniania dwuskładnikowego.
Warto również pamiętać, że phishing może wykorzystywać przejęte strony internetowe jako zaplecze techniczne. Dlatego ochrona hostingu, aktualizacje aplikacji oraz wykrywanie malware są ważne nie tylko dla właściciela samej witryny, ale również dla użytkowników internetu, którzy mogą zostać skierowani na umieszczone na niej złośliwe treści.
Chcesz dowiedzieć się więcej o bezpieczeństwie stron? Zobacz jak działa ochrona Monarx w SEOHOST, a także nasze poradniki o malware, web shellach, złośliwych mailerach PHP i uploader malware.