Nenechajte sa nachytať: Porozumenie phishingu a jeho moderným formám

20. 03. 2024| Pietro Dubsky

Pravdepodobne ste už počuli termín „phishing", ale naozaj rozumiete tomu, čo znamená a aké sofistikované sa tieto podvody stali? Phishing už nie je len o podozrivých e-mailoch; je to neustále sa vyvíjajúca hrozba navrhnutá tak, aby vás primäla k prezradeniu citlivých informácií. Poďme sa ponoriť do toho, čo phishing je, preskúmať jeho moderné formy a, čo je najdôležitejšie, naučiť sa, ako sa chrániť (aktuálne trendy phishingu sleduje pracovná skupina APWG).

Čo presne je phishing?

Predstavte si rybára, ako nahadzuje udicu s návnadou a dúfa, že ryba zaberie. Phishing je podobný, ale namiesto rýb „lovia" kyberzločinci vaše osobné údaje. Používajú podvodné e-maily, textové správy, telefonické hovory alebo falošné webové stránky, ktoré vyzerajú, akoby pochádzali z dôveryhodného zdroja – napríklad z vašej banky, populárnej online služby, vládnej agentúry alebo dokonca od kolegu.

Cieľ je vždy rovnaký: primäť vás k prezradeniu:

Prihlasovacích údajov (používateľské mená a heslá)
Čísel kreditných kariet alebo údajov o bankovom účte
Rodných čísel alebo iných osobných identifikačných údajov
Dôverných firemných dát

Akonáhle tieto informácie získajú, môžu ukradnúť vašu identitu, získať prístup k vašim účtom, vykonávať podvodné nákupy alebo spustiť ďalšie útoky.

Klasický phishingový e-mail: stále hrozba

Najtradičnejšia forma phishingu zahŕňa hromadný e-mail odoslaný mnohým príjemcom. Tieto e-maily často:

Vytvárajú pocit naliehavosti (napr. „Váš účet bude pozastavený, ak okamžite neoveríte svoje údaje!").
Obsahujú pravopisné alebo gramatické chyby (hoci útočníci sa v tom zlepšujú).
Žiadajú vás, aby ste klikli na odkaz, ktorý vás zavedie na falošnú prihlasovaciu stránku.
Obsahujú prílohy, ktoré, ak sú otvorené, nainštalujú malvér do vášho zariadenia.

Príklad: E-mail, ktorý sa tvári ako od „PayPal" a uvádza, že s vaším účtom je problém a musíte kliknúť na odkaz, aby ste ho vyriešili. Odkaz však vedie na falošnú stránku PayPal.

Moderný phishing: cielenejší a klamlivejší

Kyberzločinci neustále zdokonaľujú svoje taktiky. Tu sú niektoré moderné formy phishingu, o ktorých by ste mali vedieť:

1. Spear phishing (cielený phishing)

Ide o vysoko cielený útok. Namiesto generického e-mailu útočník vytvorí správu špeciálne pre jednotlivca alebo malú skupinu ľudí, často v rámci organizácie. Môžu si svoje ciele preskúmať na sociálnych médiách alebo firemných webových stránkach, aby e-mail vyzeral legitímnejšie a osobnejšie.

Príklad: Zamestnanec dostane e-mail, ktorý sa tvári ako od jeho generálneho riaditeľa a žiada ho, aby urgentne previedol finančné prostriedky alebo zdieľal citlivé firemné dáta. E-mail môže používať skutočné meno generálneho riaditeľa a e-mailovú adresu, ktorá vyzerá veľmi podobne ako tá skutočná.

2. Whaling (lov na veľké ryby)

Whaling je typ spear phishingu špecificky zameraný na vysoko postavených jedincov, ako sú generálni riaditelia, finanční riaditelia alebo iní vedúci pracovníci („veľké ryby"). Tieto útoky sú starostlivo plánované a často sa usilujú o významný finančný zisk alebo prístup k vysoko citlivým informáciám.

3. Smishing (SMS phishing)

Ako názov napovedá, smishing používa namiesto e-mailov textové správy (SMS). Môžete dostať textovú správu tvrdiacu, že ste vyhrali cenu, že je problém s doručením, alebo že váš bankový účet má podozrivú aktivitu. Tieto správy obsahujú odkaz na falošnú webovú stránku alebo telefónne číslo, na ktoré máte zavolať.

Príklad: Textová správa: „Vaša zásielka od FedEx čaká na doručenie. Potvrďte prosím svoje údaje tu: [škodlivý odkaz]".

4. Vishing (hlasový phishing)

Vishing zahŕňa telefonické hovory. Útočníci sa môžu vydávať za zástupcov banky, technickú podporu alebo vládnych úradníkov, aby z vás vylákali citlivé informácie. Môžu dokonca použiť „spoofing ID volajúceho", aby hovor vyzeral, akoby pochádzal z legitímneho čísla.

Príklad: Hovor od niekoho, kto tvrdí, že je z „Microsoft Support", uvádza, že váš počítač má vírus a potrebujú vzdialený prístup alebo údaje o vašej kreditnej karte, aby to opravili.

5. Angler phishing (rybársky phishing na sociálnych sieťach)

Tento typ phishingu cieli na používateľov na sociálnych médiách. Útočníci vytvárajú falošné účty zákazníckych služieb pre známe značky. Keď sa používateľ verejne sťažuje alebo žiada o pomoc, falošný účet odpovie a snaží sa používateľa nalákať do súkromnej konverzácie, aby získal jeho prihlasovacie údaje alebo iné citlivé informácie.

6. Pharming

Pharming je technickejší. Môže zahŕňať presmerovanie z legitímnej webovej stránky na podvodnú bez toho, aby ste vôbec klikli na škodlivý odkaz. To sa môže stať kompromitáciou DNS serverov (internetového telefónneho zoznamu) alebo inštaláciou malvéru do vášho počítača, ktorý mení spôsob, akým sú webové adresy prekladané.

Varovné signály: ako rozpoznať pokus o phishing

Hoci sa phishingové útoky stávajú sofistikovanejšími, často existujú prezrádzajúce znaky:

Naliehavý alebo výhražný jazyk: Podvodníci sa snažia vyvolať paniku, aby ste nepremýšľali jasne.
Požiadavky na citlivé informácie: Legitímne organizácie zriedka žiadajú o heslá, plné čísla kreditných kariet alebo rodné čísla prostredníctvom e-mailu alebo textovej správy.
Všeobecné oslovenie: E-maily začínajúce „Vážený zákazník" namiesto vášho mena môžu byť varovným signálom, hoci spear phishing často používa vaše meno.
Zlá gramatika a pravopis: Aj keď menej časté, stále je to signál, na ktorý si dať pozor.
Podozrivé odkazy alebo e-mailové adresy: Prejdite myšou na odkazy, aby ste videli skutočný cieľ. Dôkladne preskúmajte e-mailové adresy kvôli drobným odchýlkam od legitímnych (napr. „paypa1.com" namiesto „paypal.com").
Neočakávané prílohy: Buďte opatrní s prílohami, ktoré ste neočakávali, najmä od neznámych odosielateľov.
Ponuky, ktoré sú príliš dobré na to, aby boli pravdivé: Ak ste „vyhrali" v lotérii, do ktorej ste sa nikdy neprihlásili, je to takmer isto podvod.

Ako sa chrániť pred phishingom

Premýšľajte, než kliknete: Toto je najdôležitejšie pravidlo. Ak sa vám niečo nezdá, pravdepodobne to tak je.
Overujte nezávisle: Ak e-mail alebo správa tvrdí, že je od spoločnosti, s ktorou obchodujete, neklikajte na odkazy v správe. Namiesto toho prejdite priamo na ich oficiálnu webovú stránku zadaním adresy do prehliadača alebo použite ich oficiálnu aplikáciu. Ak ide o telefonický hovor, zaveste a zavolajte spoločnosti späť pomocou čísla, o ktorom viete, že je legitímne.
Používajte silné, jedinečné heslá a správcu hesiel: To obmedzuje škody, ak je jeden účet kompromitovaný.
Povoľte dvojfaktorové/viacfaktorové overenie (2FA/MFA): To pridáva kľúčovú ďalšiu vrstvu zabezpečenia.
Udržujte svoj softvér aktualizovaný: To zahŕňa váš operačný systém, webový prehliadač a antivírusový softvér. Aktualizácie často opravujú bezpečnostné zraniteľnosti.
Buďte opatrní na verejnej Wi-Fi: Vyhnite sa prístupu k citlivým účtom na nezabezpečených sieťach.
Vzdelávajte seba aj ostatných: Zdieľajte tieto informácie s priateľmi, rodinou a kolegami.
Hláste pokusy o phishing: Hláste podozrivé e-maily svojmu poskytovateľovi e-mailu a organizácii, za ktorú sa útočník vydáva. Hláste smishing svojmu mobilnému operátorovi.

Zostať ostražitý a informovaný je vašou najlepšou obranou proti phishingu. Porozumením tomu, ako tieto podvody fungujú a na čo si dať pozor, môžete výrazne znížiť svoje šance stať sa obeťou.