Jak rozpoznać phishing i co to jest?

Phishing nie jest jednorodny – to cała rodzina metod oszustwa wykorzystujących różne techniki i kanały. Jakie są rodzaje phishingu? Poniżej przedstawiamy najpopularniejsze odmiany tego ataku oraz wyjaśniamy, czym się charakteryzują.

Email phishing (atak przez pocztę elektroniczną) 

Klasyczna i wciąż najczęstsza forma phishingu. Polega na wysyłaniu ofiarom fałszywych wiadomości e-mail, które wyglądają jak korespondencja od zaufanej instytucji (np. banku, firmy kurierskiej, dostawcy usług finansowych typu PayPal itp.). Taki phishingowy mail zawiera często profesjonalnie wyglądające logo i formatowanie, aby sprawiać wrażenie autentycznego. W treści zazwyczaj znajduje się prośba o podjęcie pilnego działania – na przykład kliknięcie w link prowadzący do strony logowania (rzekomo w celu weryfikacji konta) albo pobranie załącznika. Po kliknięciu ofiara trafia na fałszywą stronę (łudząco podobną do prawdziwej), gdzie wprowadza swoje dane logowania, które od razu trafiają w ręce przestępców. Celem może być też nakłonienie do pobrania załącznika zawierającego złośliwe oprogramowanie (np. wirusa, trojana) – jego uruchomienie zainfekuje komputer ofiary. Email phishing bywa bardzo przekonujący wizualnie, jednak zwykle zdradzają go drobne błędy.

Smishing (SMS phishing)

Co to jest smishing? Termin ten powstał z połączenia słów SMS i phishing i oznacza ataki phishingowe przeprowadzane za pomocą wiadomości SMS. W tym przypadku ofiara otrzymuje fałszywego SMS-a, podszywającego się np. pod bank, operatora płatności, firmę kurierską czy nawet instytucję publiczną. Treść takiej wiadomości często informuje o jakimś zdarzeniu wymagającym reakcji: np. “Twoja paczka nie mogła zostać doręczona – kliknij w link, aby zmienić termin dostawy” albo “Twoje konto bankowe zostanie zablokowane – potwierdź transakcję tutaj”. Wiadomość zawiera link (URL phishingowy) do strony internetowej. Jeśli odbiorca kliknie ten link, trafia na stronę wyłudzającą dane (np. formularz logowania do banku) lub stronę, która próbuje zainstalować na telefonie złośliwą aplikację. 

Smishing jest szczególnie niebezpieczny, bo SMS-y często wzbudzają mniej podejrzeń niż e-maile – użytkownicy są przyzwyczajeni do otrzymywania wiadomości od banków czy kurierów na telefon. Tymczasem oszuści wykorzystują ten fakt, a w wiadomościach SMS również potrafią umiejętnie podszyć się pod nadpis (np. “BankABC” jako nadawca). 

Co robić, aby nie dać się złapać na smishing?

Przede wszystkim stosować te same zasady ostrożności co w przypadku e-maili: nie klikać pochopnie w linki z SMS-a, zwłaszcza jeśli wiadomość wygląda podejrzanie lub dotyczy sprawy, o której nic nie wiesz (np. rzekoma niedopłata kilku złotych za przesyłkę, której się nie spodziewasz). Zawsze można zadzwonić do firmy (np. na infolinię banku czy kuriera) i potwierdzić, czy dana wiadomość jest prawdziwa.

Vishing (phishing telefoniczny) 

To odmiana phishingu wykorzystująca rozmowę telefoniczną (voice phishing – stąd nazwa vishing). W tym scenariuszu oszust dzwoni do ofiary, podszywając się np. pod pracownika banku, policjanta, przedstawiciela ZUS czy innej instytucji, i próbuje podstępem zdobyć informacje lub nakłonić do określonych działań. 

Często spotykany przykład vishingu w Polsce to tzw. oszustwo na policjanta lub na pracownika banku: przestępca informuje ofiarę, że jej pieniądze na koncie są rzekomo zagrożone atakiem i nakłania do przelania środków na “bezpieczne konto” (które oczywiście należy do oszusta) albo do podania kodów autoryzacyjnych, numeru karty kredytowej czy innych danych wrażliwych. Innym scenariuszem jest telefon z informacją o wygranej na loterii lub dopłacie do paczki, gdzie celem również jest wyłudzenie danych płatniczych. 

Vishing bazuje na podobnych mechanizmach psychologicznych co e-mail phishing – wykorzystuje zaufanie do instytucji i tworzy poczucie pilności lub zagrożenia. Oszuści często stosują tzw. spoofing telefoniczny, czyli fałszowanie numeru wyświetlanego na telefonie ofiary (np. podszywają się pod numer infolinii banku albo numeru zaczynającego się od +48 22…, by wyglądał jak stołeczny numer urzędowy). 

Jak chronić się przed oszustwem?

Nigdy nie należy podawać poufnych informacji przez telefon, jeśli nie mamy 100% pewności z kim rozmawiamy – bank nigdy nie poprosi Cię o hasło przez telefon, a policja nie zażąda natychmiastowego przelewu pieniędzy. W razie wątpliwości rozłącz się i samodzielnie skontaktuj z daną instytucją, by zweryfikować, czy dzwonili.

Spear phishing (ukierunkowany phishing) 

To szczególnie niebezpieczna odmiana ataku, w której wiadomość phishingowa jest dopasowana do konkretnej ofiary. Podczas gdy “zwykły” phishing jest masowy (ta sama przynęta wysyłana do tysięcy osób licząc, że ktoś się złapie), spear phishing przypomina polowanie z włócznią – atakujący wybiera konkretny cel i “mierzy” prosto w niego. Przestępcy przed wysłaniem takiej wiadomości zbierają informacje o ofierze z różnych źródeł (np. ze strony internetowej firmy, mediów społecznościowych, wcześniejszej korespondencji), a następnie tworzą bardzo przekonującą wiadomość. Ofiara odnosi wrażenie, że koresponduje z kimś znajomym – np. zaufanym kontrahentem, kolegą z pracy albo przełożonym – i przez to łatwiej daje się nabrać. 

Spear phishing jest często wymierzony w pracowników konkretnej firmy lub instytucji, aby uzyskać dostęp do wewnętrznych systemów IT, poufnych informacji lub infrastruktury. Przykładem spear phishingu może być e-mail rzekomo od dyrektora firmy do działu księgowości z poleceniem pilnej płatności na wskazany numer konta (to tzw. BEC – Business Email Compromise, czyli oszustwo “na przelew”). Innym przykładem jest wiadomość udająca korespondencję od partnera biznesowego z załączoną fakturą – po otwarciu okazuje się, że faktura jest zainfekowanym dokumentem, który instaluje malware na urządzeniu ofiary. 

W przypadku spear phishingu atak jest trudniejszy do rozpoznania, bo email wydaje się spersonalizowany i wiarygodny. Do szczególnie ukierunkowanych ataków tego typu zalicza się tzw. whaling (ang. whale – wieloryb), czyli polowanie na “grube ryby”. Whaling to spear phishing skierowany na osoby wysoko postawione, np. członków zarządu, kadrę kierowniczą najwyższego szczebla czy ważnych urzędników. Tego typu ataki są zwykle bardzo dobrze przygotowane i mogą narażać na poważne straty..