Íme egy kitalált minta, kifejezetten ehhez a cikkhez írva. A benne szereplő címek nem elérhetők, és csak azért mutatjuk, hogy gyakorolhasd az olvasását.
Példa adathalász üzenetre, nem valódi
Feladó: "Mailbox Support" <helpdesk@mail-storage-notice.example>
Tárgy: A postaládád 98%-ig tele van, az üzeneteket visszatartjuk
Kedves felhasználó! 14 beérkező üzenetet nem tudtunk kézbesíteni, mert betelt a tárhelyed. Igazold a fiókodat 24 órán belül, hogy felszabadítsuk őket, és elkerüld a felfüggesztést.
[Üzeneteim felszabadítása]
Az árulkodó jelek: a feladó domainje, amely senkié, akivel dolgod van; egy megszólítás, amely nem ismeri a neved; egy fenyegetéshez kötött határidő; és egy gomb, amely bejelentkezésre akar rávenni. Semmi sincs benne elírva, és ez ma már tipikus. Az adathalász e-maileket úgy ismered fel, hogy ellenőrzöd a valódi feladói címet, megnézed, hová mutatnak valójában a linkek, gyanúval kezeled a jelszavat, pénzt vagy fájlmegnyitást kérő váratlan kéréseket, és mindent, ami fontos, olyan úton erősítesz meg, amelyben már megbízol, nem magán az üzeneten keresztül.
Az adathalászat olyan üzenet, amely megbízható személynek vagy szervezetnek adja ki magát, hogy kiadd a hitelesítő adataidat, pénzt fizess, kártevőt telepíts, vagy egy későbbi támadáshoz hasznos információt áruld el. A rossz nyelvtanra és ügyetlen logókra épülő tanácsok rosszul öregedtek, mert egy márka arculatának másolása semmiség, a fordító- és szövegíró eszközök pedig bárkinek elérhetők. Ami megbízható marad, az az, hogy mire kér az üzenet, és mit mondanak a technikai bizonyítékok arról, honnan jött.
Mely jelekre érdemes figyelni
A figyelmeztető jelek nem egyformák. Ez a rangsor a támadások működésén alapuló megítélés, nem mért statisztika, de megmutatja, hová fordítsd a néhány másodpercnyi figyelmedet.
| Jel | Mennyit árul el | Miért |
|---|---|---|
| A link olyan domainre mutat, amely nem az állított szervezeté | Nagyon sokat | Az eltérés a hitelesítőadat-lopás lényege |
| Az e-mail jelszót, egyszer használatos kódot vagy teljes kártyaszámot kér | Nagyon sokat | A valódi szolgáltatások ezeket nem e-mailben gyűjtik |
| A fizetési adatok „sürgős” megváltoztatása e-mailben | Nagyon sokat | Az üzleti e-mail-csalás megszokott mintája |
| A feladó domainje nem egyezik a szervezetével | Sokat | A hasonmás és ingyenes postafiókos feladók gyakoriak |
| Váratlan archívum, HTML-fájl vagy makrós dokumentum | Sokat | Gyakori módjai a kártevő vagy a hamis belépőoldal eljuttatásának |
| A DMARC megbukik az állított domainre | Sokat | Erős bizonyíték a hamisításra, bár az átmenés keveset bizonyít |
| Erős sürgetés vagy fenyegetés | Közepesen | Gyakori az adathalászatban, de a valódi biztonsági riasztások is lehetnek sürgősek |
| Általános megszólítás | Közepesen | A tömeges kampányok használják, a célzottak viszont a nevedet |
| Helyesírási és nyelvtani hibák | Keveset vagy közepesen | A mai adathalászat gyakran csiszolt, a valódi levelekben pedig vannak elírások |
| A logó vagy az elrendezés furcsa | Keveset | Egy márka arculatának másolása percek kérdése |
Vedd észre, hogy a táblázat teteje a célról és a kérésről szól, az alja a külsőről. A leghasznosabb gondolkodásváltás az, hogy nem azt kérdezed, „valódinak néz ki?”, hanem azt, „mit akar tőlem, és hogyan ellenőrizhetem ezt anélkül, hogy ezt az üzenetet használnám?”
Egy link helyes olvasása
Ha ebből a cikkből egyetlen technikai készséget tanulsz meg, legyen ez, mert a link látható szövege és a valódi célja teljesen különálló. Egy „Jelentkezz be a fiókodba” feliratú gomb bárhová mutathat. Számítógépen vidd fölé az egeret kattintás nélkül, és olvasd el a címet, amely az állapotsorban vagy egy buboréksúgóban megjelenik. Telefonon nyomd hosszan a linket az előnézethez, majd mégsem.
A legtöbben balról olvassák a webcímeket, és a támadók erre építenek. A tulajdonjogot a gazdagépnév jobb oldali vége dönti el: a regisztrált domain és a végződése, közvetlenül az első egyszeres perjel előtt. Minden, ami ettől balra áll, aldomain, amelyet a tulajdonos tetszőleges szövegre állíthat. A perjel utáni rész útvonal, és az is bármit mondhat. Nézzük ezt a négy példát, amelyek közül a második, a harmadik és a negyedik kitalált:
- A
https://accounts.google.com/signina Google-é, mert a domaingoogle.com. - A
https://accounts.google.com.secure-login.example/signinasecure-login.exampletulajdona. A márkanév csupán aldomain. - A
https://secure-login.example/accounts.google.com/szintén asecure-login.exampletulajdona, a márka az útvonalban van. - A
https://www.paypal.com@203.0.113.7/régi trükköt használ. A@előtti rész felhasználónévnek számít, a valódi cél az utána álló IP-cím.
Még néhány linkminta, amely miatt lassíts. A linkrövidítők furcsák egy nagy márka üzenetében, hiszen annak nincs oka elrejteni a saját domainjét. Az űrlapkészítőkre vagy fájlmegosztó szolgáltatásokra mutató linkek, amelyek „jelentkezz be a dokumentum megtekintéséhez” kéréssel jönnek, kedvencek, mert az adathalászoldalak gyakran legitim felhőplatformokon futnak. Egy megbízható tárhelynév a címben tehát nem jelenti, hogy az oldal biztonságos. A kérdés az, hogy a domain annak a szervezetnek a tulajdona-e, amellyel szerinted dolgod van.
A lakat sem segít egyik irányban sem. A HTTPS azt mondja meg, hogy a kapcsolat titkosított, az ingyenes tanúsítványok pedig mindenkinek elérhetők, a bűnözőknek is. Egy lakatos hamis bankoldal titkosított kapcsolat egy tolvajjal.
Légy óvatos a nemzetközi hasonmásokkal is. A domainek más ábécék karaktereit is használhatják, amelyek azonosnak látszanak a latin betűkkel, például cirill „а” a latin „a” helyett. A böngészők ezeket gyakran az xn-- kezdetű kódolt formában mutatják, és ha ezt az előtagot látod ott, ahol ismerős márkát vártál, az hasznos árulkodó jel.
A feladó olvasása
A levelezőprogramok a megjelenített nevet nagy betűkkel mutatják, a címet gyakran elrejtik, a megjelenített név pedig szabad szöveg, amelyet a feladó választ. Egy „Microsoft Account Team” feliratú üzenet jöhet egy teljesen más domainről vagy egy véletlen, feltört postafiókból. Számítógépen vidd fölé az egeret, vagy kattints a névre. Telefonon koppints rá a kibontáshoz. Aztán nézd meg a @ utáni részt, és tartsd észben ezeket a mintákat (az itteni domainek szemléltető példák):
- Felcserélt karakterek, például az
rnazmhelyén, vagy az1számjegy azlbetű helyén. - Hozzáadott szavak, például
netflix-billing.example. A márkák ritkán használnak kötőjeles változatot a nevükből fiókleveleknél. - Eltérő végződés, például
yourbank.co, aholyourbank.com-ot vársz. - Ingyenes magánpostafiók, amely bankként, ügyvédi irodaként vagy a vezérigazgatóddal adja ki magát.
Ezután ellenőrizd a válaszcímet. Egy üzenet mutathat hihető From sort, és a Reply-To mezőt beállíthatja a támadó postafiókjára, így a válaszod máshová megy. Sok program megmutatja a címzettet, amikor a Válasz gombra nyomsz, ezért nézd meg, mielőtt elküldöd.
A feladóellenőrzésnek egyértelmű korlátja van: semmit sem mond az eltérített fiókokról. Ha egy valódi kollégád vagy beszállítód postafiókját átvették, a cím tökéletes lesz. Ilyenkor a kérés maga az egyetlen jel, és ez elvezet a következő ponthoz.
Kérések, amelyeket egy tisztességes feladó nem küld e-mailben
Bizonyos kérések gyanúsak, bármilyen jó is az üzenet többi része. A jelszavad vagy a PIN-kódod. Az SMS-ben vagy alkalmazásban most kapott egyszer használatos kód. A teljes kártyaszám a biztonsági kóddal. Fizetés ajándékkártyával vagy kriptovalutával, vagy utalás új számlára. Távoli hozzáférés a számítógépedhez egy olyan problémára, amelyet sosem jelentettél. Bizalmas fájlok vagy munkatársi adatok küldése külső címre „egy ellenőrzéshez”.
Az egyszer használatos kód kérését érdemes megérteni, mert olyan ártalmatlannak érződik. A támadó, akinek már megvan a jelszavad, bejelentkezést indít, amely valódi kódot küld neked a valódi szolgáltatástól. Aztán üzenetet ír neked, támogatásnak adja ki magát, és megkér, hogy „erősítsd meg” a kódot. Aki kér egy kapott kódot, az be akar jelentkezni helyetted.
A hatósági szervek is gyakori álca. Az Egyesült Államokban például az IRS azt közli, hogy nem e-mailben kezdeményez kapcsolatot az adófizetőkkel személyes vagy pénzügyi adatok kérésére, és sok más adóhatóság is közöl hasonló figyelmeztetést. Ha úgy gondolod, hogy egy visszatérítés vagy bírság valódi lehet, írd be magad a hatóság címét, és ott jelentkezz be.
Miért esnek bele az óvatos emberek is
Az adathalászat inkább a viselkedést célozza, mint a szoftvert. A jól megírt üzenetek gyors érzelmi reakciót akarnak kiváltani, hogy előbb cselekedj, aztán gondolkodj. A sürgetés a legnyilvánvalóbb eszköz („a fiók 24 óra múlva megszűnik”), mellette a félelem („szokatlan bejelentkezés”, „jogi eljárás folyamatban”), és a tekintély, ahol vezérigazgató, bank vagy IT-támogatás az állított feladó. A jutalom és a kíváncsiság is működik, visszatérítésekkel, nyereményekkel és „nézd meg, ki látta a profilodat” üzenetekkel. Aztán ott van az egyszerű segítőkészség, például amikor egy kolléga sürgősen átnézetne egy fájlt.
A rutin lehet a legerősebb mind közül. A hamis számla, szállítási értesítés vagy megosztott dokumentum úgy néz ki, mint a hetente kezelt tucatnyi valódi, és a legkevésbé azokra figyelsz, amelyeket önműködően csinálsz. Ezért a cél nem az, hogy minden e-mailben gyanakodj, amit senki sem bír tartósan. A cél az, hogy észrevedd azt a pillanatot, amikor egy üzenet érzékeny dolgot kér, és ebben a pillanatban a reagálásról átválts az ellenőrzésre.
A támadástípusok, és hogy mindegyik mit változtat
A nevek kevésbé számítanak, mint annak ismerete, hogy az egyes változatok mit tesznek a fenti tanáccsal. Néhányuk kijátssza a szokásos ellenőrzéseket.
| Típus | Mi ez | Mit változtat meg számodra |
|---|---|---|
| Tömeges adathalászat | Általános üzenet óriási listáknak, például telt postaláda vagy elakadt csomag | A legkönnyebben elkapható fajta, mert ritkán illik az életedhez |
| Célzott adathalászat (spear phishing) | Rád szabott, közösségi médiából vagy szivárgásadatokból vett nevekkel és részletekkel | A személyes adatok semmit sem bizonyítanak |
| Bálnavadászat (whaling) | Vezetőket vagy pénz fölött rendelkezőket célzó célzott adathalászat | A rangod célponttá tesz |
| Üzleti e-mail-csalás | Vezető, beszállító vagy kolléga megszemélyesítése vagy átvétele pénz átirányítására | Gyakran nincs link és melléklet, ezért a szkennerek nem látnak semmit |
| Klón adathalászat | Egy valódi korábbi e-mail másolata, újra elküldve kicserélt linkkel vagy fájllal | Az ismerős tartalom nem bizonyíték |
| Beszélgetés eltérítése | Válasz egy valódi beszélgetésen belül, feltört postafiókból | A feladóellenőrzés átmegy |
| Quishing | QR-kód váltja ki a linket | Telefonra visz, távol az asztali védelemtől és a linkszkennerektől |
| Hozzájárulás-adathalászat | Egy rosszindulatú alkalmazás hozzáférést kér egy valódi „Engedélyezés” képernyőn | Jelszót sem lopnak, és a belépőoldal valódi |
| Visszahívásos adathalászat | Hamis számla vagy megújítás hív fel egy telefonszámot | Nincs mire kattintani, és a csalás a hívás közben zajlik |
| Eszközkódos adathalászat | Egy valódi belépőoldalon kell kódot megadnod, ami a támadó eszközét hitelesíti | A domainellenőrzés átmegy, így a váratlan kérés a nyom |
Az utolsó háromhoz egy mondatnyi gyakorlati tanács. Olvasd el az engedélylistát bármelyik „Hozzáférés engedélyezése” képernyőn, és utasítsd vissza, ha egy ismeretlen alkalmazás el akarja olvasni a leveleidet. Soha ne hívd a váratlan számlán nyomtatott számot. És soha ne adj meg kódot egy belépőoldalon azért, mert egy e-mailben vagy csevegésben valaki ezt mondta, kivéve ha te indítottad a folyamatot egy előtted lévő eszközön.
Kommentált mintaüzenetek
Az alábbiak mind kitalált példák, széles körben dokumentált mintákra építve. A nevek és domainek fiktívek.
Példa: a megosztott dokumentum
Csak példa
Feladó: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Tárgy: Jordan megosztotta veled a „Q3 fizetési ütemterv” dokumentumot
Megnyitás a Docsban
Ez megosztási értesítést utánoz, de a feladó egy ismeretlen külső cím, és a gomb olyan oldalra visz, amely az e-mail-jelszavadat kéri, gyakran szolgáltatói logók sorával. A valódi értesítések a platform saját domainjéről jönnek, és olyan munkamenetben nyílnak meg, amelybe már be vagy jelentkezve. Ha ismersz egy Jordant, kérdezd meg tőle. Bármi történik, ne írd be a jelszavadat olyan oldalon, amelyet egy „megosztott fájl” e-mailből értél el.
Példa: a beszállító új bankszámlája
Csak példa
Feladó: "Accounts Receivable" <ar@supplier-co.example>
Tárgy: RE: 4471. számla
Felhívjuk figyelmét, hogy bankszámlaadataink egy ellenőrzés miatt megváltoztak. Kérjük, ehhez és a további kifizetésekhez a mellékelt új számlaadatokat használja. A fizetés lejárt, ezért kérjük, még ma utalja.
Itt lehet, hogy nincs link, és a beszállító valódi, feltört postafiókjából érkezhet egy valódi beszélgetésen belül. Minden technikai ellenőrzés átmehet. A vészjel a kérés: a fizetési adatok megváltoztatása e-mailben, sürgetéssel. Mielőtt bármit kifizetsz, hívd fel a beszállítót egy olyan számon, amely már megvan nálad, nem az e-mailben vagy az aláírásában szereplőn. Ha a pénz már elment, azonnal hívd a bankodat, és kérdezd meg a visszahívás lehetőségét, az Egyesült Államokban pedig jelentsd az ic3.gov oldalon.
Példa: a csomagdíj
Csak példa
Tárgy: A csomagod vár: a vámdíj ki nem fizetett
Megpróbáltuk kézbesíteni a csomagodat. Az újraütemezéshez kis díjat kell fizetni. Fizess most, hogy ne menjen vissza a feladónak.
A kis összeg csökkenti az óvatosságodat, a cél pedig a teljes kártyaadatod, amelyet aztán nagyobb csalásra lehet használni. A szállítást a kereskedő saját rendelési oldalán lévő számmal vagy a futár hivatalos alkalmazásával kövesd.
Példa: a vezérigazgató, aki „megbeszélésen van”
Csak példa
Feladó: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Tárgy: gyors szívesség
Ráérsz? Kérlek, intézz el nekem valamit diszkréten egy ügyfélnek. Megbeszéléseken vagyok, ezért csak e-mailben.
A személyes postafiók, a titoktartás kérése és a „csak e-mailben” együtt adja a mintát, a folytatás pedig általában ajándékkártyakódokat vagy utalást kér. Magában az üzenetben nincs mit szkennelni. Keresd meg a vezetőt a céges névjegyzéken, csevegésen vagy telefonon át, és szólj az IT-nak.
Példa: a QR-kód
Csak példa
Tárgy: Többfaktoros hitelesítés frissítése szükséges
Az MFA-beállításaid ma lejárnak. Olvasd be az alábbi QR-kódot a telefonoddal az újraregisztráláshoz.
A többfaktoros beállítások nem járnak le e-mailben. A kód telefonra visz, ahol a címet nehezebb megvizsgálni, és a céges védelem sem biztos, hogy érvényes. Ne olvasd be. Kérdezd meg az IT-t, vagy nézd meg közvetlenül a fiók biztonsági beállításait.
Példa: az adó-visszatérítés
Csak példa
Tárgy: Adó-visszatérítésre vagy jogosult
A tevékenységed éves számítása után visszatérítésre vagy jogosult. Töltsd ki az űrlapot 48 órán belül.
Váratlan ajándék, plusz egy űrlap, amely személyazonossági és kártyaadatokat kér. Menj a hivatalos állami portálra úgy, hogy beírod a címét, vagy hívd a hatóság közzétett számát.
Példa: a részben igaz fiókriasztás
Csak példa
Feladó: "Account Security" <no-reply@secure-acct-center.example>
Tárgy: Teendő: szokatlan bejelentkezési tevékenység
Új eszközről érkező bejelentkezési kísérletet észleltünk. A fiókod aktívan tartásához igazold a személyazonosságodat 24 órán belül. [Igazolás most]
A valódi szolgáltatások is küldenek bejelentkezési riasztásokat, ezért ez a kategória több óvatosságot igényel, mint a többi. Itt a domain általános, és az üzenet a szolgáltatás nevét sem említi. Ne az e-mailen belülről gondolkodj. Nyisd meg a szolgáltatás alkalmazását, vagy írd be a címét, és nézd meg a legutóbbi tevékenység oldalát. Ha ott nincs semmi felsorolva, az e-mail hamis volt. Ez a szokás a valódi riasztásoknál is működik, mert azok is megjelennek ott.
A fejlécek ellenőrzése, ha bizonytalan vagy
A fejlécek technikai bizonyítékot tartalmaznak arról, honnan jött egy üzenet. A Gmailben nyisd meg a hárompontos menüt, és válaszd az Eredeti üzenet megjelenítése lehetőséget, amely felül rövid összefoglalót is ad. Az Outlook webes változatában használd a Nézet, Üzenetforrás megtekintése pontot. Az Apple Mailben a Nézet, Üzenet, Összes fejléc utat használd.
Három szabvány áll a látott eredmények mögött. Az SPF lehetővé teszi, hogy egy domain közzétegye, mely szerverek küldhetnek a nevében, a fogadó pedig ehhez a listához hasonlítja a küldő szervert. A DKIM kriptográfiai aláírást ad hozzá, amelyet az aláíró domain DNS-ében lévő nyilvános kulccsal ellenőriznek, és amely megmutatja, hogy az aláírt részeket nem módosították, és hogy a domain vállalta a felelősséget. A DMARC ezeket összeköti a látható From sorban szereplő domainnel, ezt a tulajdonságot egyezésnek (alignment) hívják, és megmondja a fogadóknak, mit tegyenek hiba esetén: semmit, karanténba tegyék, vagy utasítsák el. 2024 óta a Google és a Yahoo megköveteli a tömeges feladóktól, hogy tegyenek közzé DMARC-rekordot, ami gyakoribbá tette ezeket az eredményeket.
Keresd meg az Authentication-Results: kezdetű sort. Egy fiktív példában így nézhet ki:
Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example
Itt minden ellenőrzés átmegy, és az összes domain egyezik. Egy hamisított üzenet mutathat dmarc=fail értéket, vagy átmenést egy teljesen más domainre, mint ami a From sorban áll. Ez a táblázat megmutatja, hogyan értelmezd, amit találsz.
| Eredmény | Mit jelent | Mit nem jelent |
|---|---|---|
| DMARC pass a márka valódi domainjére | Az adott domain küldte vagy a nevében küldték | Nem zárja ki, hogy a cégnél egy fiókot feltörtek |
| DMARC pass egy hasonmás domainre | A támadó birtokolja a domaint, és helyesen állította be | Az üzenet nem biztonságos, és ez gyakori az adathalászatban |
| DMARC fail a márka domainjére | Erős hamisításjel, vagy az ellenőrzést megtörő továbbítás | A levelezőlisták és a továbbítás néha valódi levelet is elront |
| Nincs DMARC-rekord | A domain nem tett közzé szabályzatot | Önmagában nem bizonyít semmit, de a domain hamisítása könnyebb |
A tanulság az, hogy a hitelesítés azt mondja meg, ki küldte az üzenetet, a becsületesség külön kérdés. A bank-resolution-center.example címről érkező, tökéletes eredményű e-mail is adathalászat. A kombinált ellenőrzés, amelyre szükséged van: a hitelesített domain az a szervezet legyen, amelynek hiszed.
A Received: sorok az út minden szerverét rögzítik, a legújabb van felül. Megmutathatják, hogy egy „helyi banki” e-mail egy ismeretlen szerveren indult, de bármi hamisítható, ami annál a pontnál lejjebb áll, ahol a saját szolgáltatód átvette az üzenetet, ezért csak azokban a bejegyzésekben bízz, amelyeket a szolgáltatód szerverei adtak hozzá. A legtöbb embernek a hitelesítési sor és a domainellenőrzés elég.
Mellékletek és képek egy adathalász e-mailben
A mellékletek kártevőt visznek, vagy hamis belépőoldalra vezetnek. A legnagyobb óvatosságot az archívumok és lemezképek érdemlik, mint a .zip, .rar, .7z, .iso és .img, a helyi hamis belépőoldalt megnyitó HTML-fájlok, a „Tartalom engedélyezése” vagy „Szerkesztés engedélyezése” gombot kérő Office-dokumentumok, a dupla kiterjesztések, például invoice.pdf.exe, a szkriptek és parancsikonok, mint a .js, .vbs, .lnk és .bat, valamint a csak gombot vagy QR-kódot tartalmazó PDF-ek. A mellékletbiztonsági útmutatónk elmagyarázza, hogyan ítéld meg az egyes típusokat, és hogyan nyiss meg kisebb kockázattal egy kétes fájlt.
A képek csendesebbek. Egy távoli kép elárulhatja a feladónak, hogy a címed él, így épülnek az „ellenőrzött” címek listái. Hogy ez hogyan működik, és mely beállítások állítják meg, azt az e-mail követőpixelekről szóló cikkünkben magyarázzuk el. Ez egy kis ok arra, hogy beállítsd a levelezőprogramod, hogy külső képek megjelenítése előtt rákérdezzen.
Extra óvatosság telefonon
A telefonok mindezt megnehezítik. A képernyő kicsi, a címek alapból rejtve vannak, a linkelőnézethez pedig hosszú nyomás kell. Néhány szokás pótolja ezt. Koppints a feladó nevére, hogy az üzenetben való bizakodás előtt lásd a címet. A linkeket nyomd hosszan, ne koppints. Bankoknál, boltoknál és közösségi hálózatoknál a hivatalos alkalmazást nyisd meg ahelyett, hogy bármit követnél egy e-mailből. A QR-kódokat az e-mailekben kezeld különös kétellyel, mert ugyanazzal az eszközzel olvasod be őket, amelyen olvasol. Ha a kamerád megnyitás előtt előnézetet mutat a címről, azt úgy olvasd, mint bármely linket.
Ugyanezek a trükkök SMS-ben és üzenetküldő alkalmazásokban is megjelennek, ezt általában smishingnek hívják, és egy e-mail után telefonhívás is jöhet, hogy meggyőzőbb legyen, ezt vishingnek nevezik. Az a hívó, aki említi az imént kapott e-mailt, nem erősített meg semmit, mert lehet, hogy ő küldte. Tedd le, és hívj egy számot, amely már megvan nálad.
Mit tegyél egy gyanús üzenettel
- Ne kattints, ne tölts le semmit, ne olvass be kódot, és ne válaszolj. Ha azzal válaszolsz, hogy „ez valódi?”, a támadóhoz jut el, aki igent fog mondani.
- Ellenőrizd a feladó címét és a linkek céljait a fent leírtak szerint.
- Ellenőrizd önállóan. Nyisd meg a hivatalos alkalmazást, vagy írd be a címet. Hívd a kártyád hátulján, egy már meglévő számlán vagy a céges névjegyzékben szereplő számot.
- Jelentsd a szolgáltatódnak. A Gmailben a hárompontos menüben van Adathalászat jelentése. Az Outlookban a Jelentés alatt keresd az Adathalászat jelentése pontot. Munkahelyen használd a jelentés gombot, vagy kövesd a biztonsági csapat utasításait, és ne továbbítsd az üzenetet a kollégáknak megkérdezésre, mert az terjeszti a csalit.
- Jelentsd a megszemélyesített szervezetnek, ha az biztonsági oldalán közzétesz adathalászcímet. Az Apple például a reportphishing@apple.com címet használja.
- Használj nyilvános bejelentő szolgáltatást, ahol van ilyen. Az Egyesült Királyságban a National Cyber Security Centre a report@phishing.gov.uk címen fogadja a továbbított e-maileket. Az Egyesült Államokban az FTC a reportfraud.ftc.gov oldalon fogad bejelentéseket. Az Anti-Phishing Working Group a reportphishing@apwg.org címen fogadja a továbbított üzeneteket. Más országokban hasonló szolgáltatások működnek, általában fogyasztóvédelmi vagy kiberbűnözés elleni hatóságon keresztül.
- Jelentés után töröld.
Ha már rákattintottál
A kattintás gyakori, és általában helyrehozható. Ne hagyd, hogy a szégyenlősség késleltessen, mert itt a sebesség segít a legtöbbet. Keresd meg azt az esetet, amelyik illik arra, ami történt.
Rákattintottál, de semmit nem adtál meg
Zárd be a lapot, és ne tölts le semmit, amit az oldal kínált. Gondoskodj róla, hogy a böngésződ és a rendszered frissített legyen, és futtass biztonsági vizsgálatot, ha bármi magától letöltődött. Számíts további üzenetekre, mert a kattintás megerősíthette, hogy a címedet olvassák. A legtöbb esetben ezzel vége.
Megadtál egy jelszót
- Menj a valódi oldalra úgy, hogy beírod a címét, és cseréld le a jelszót most.
- Cseréld le mindenhol máshol, ahol ugyanazt vagy hasonló jelszót használtál. Ha az ellopott jelszó az e-mailedhez tartozott, kezeld sürgősként, mert az e-mail visszaállít minden mást.
- Jelentkezz ki a többi munkamenetből. Egy Google-fiókban a biztonsági oldalon átnézheted az Eszközeid részt, és kijelentkeztetheted az ismeretlenek mindegyikét, a Gmail postaláda alján látható Utolsó fiókműveletek részletei pedig a legutóbbi hozzáféréseket mutatják. Más szolgáltatásoknál van hasonló vezérlő.
- Kapcsold be a kétlépcsős hitelesítést, lehetőleg passkey-vel, biztonsági kulccsal vagy hitelesítő alkalmazással.
- Keress olyan változtatásokat, amelyeket a támadó tehetett: helyreállítási e-mail és telefon, átirányítási szabályok és szűrők, összekapcsolt alkalmazások, ismeretlen eszközök.
- Munkahelyi fióknál azonnal szólj az IT-nak. A támadók gyakran órákon belül használják a feltört postafiókot a kollégáid megtévesztésére.
Az adatszivárgás utáni teendőkről szóló útmutatónk mélyebben foglalkozik a jelszavak rendbetételével, mert a lépések átfednek.
Megadtál egy kódot, vagy jóváhagytál egy kérést
Feltételezd, hogy a támadónak élő munkamenete lehet. Cseréld le a jelszót, jelentkezz ki minden munkamenetből, nézd át a biztonsági beállításokat, és munkahelyi fióknál értesítsd az IT-t. A modern „adversary-in-the-middle” készletek begépelés közben továbbítják a bejelentkezésedet a valódi oldalnak, és megszerzik az ebből keletkező munkamenetsütit. Ezért nem állítják meg őket önmagukban az egyszer használatos kódok.
Megadtál fizetési adatokat
Azonnal hívd a bankodat vagy a kártyakibocsátót a kártyádon lévő számon. Kérd, hogy tiltsák le a kártyát, és figyeljék a csalást, a következő hetekben pedig nézd át a kivonataidat. Ha személyazonossági adatokat is megadtál, nézd meg, mit kínál ilyenkor az országod. Az Egyesült Államokban az IdentityTheft.gov helyreállítási tervet ad, és a hitelirodáknál hitelzárolás kérhető.
Megnyitottál egy mellékletet, vagy engedélyezted a makrókat
Ha kártevőre gyanakszol, válaszd le az eszközt a hálózatról, futtass teljes vizsgálatot, munkahelyen pedig mielőtt bármi mást tennél, keresd az IT-t. A fontos jelszavakat egy másik, tiszta eszközről cseréld le.
Hozzáférést adtál egy alkalmazásnak
Menj a fiókod biztonsági beállításaihoz, keresd meg a hozzáféréssel rendelkező harmadik féltől származó alkalmazások listáját, és távolítsd el az ismeretlent. Egy jelszócsere önmagában nem biztos, hogy elvágja a hozzáférést kapott alkalmazást, ezért az eltávolítás az első. Utána óvintézkedésként cseréld le a jelszót, és ellenőrizd a postafiókod szabályait.
Úgy rendezd be a dolgokat, hogy egy hiba kevesebbe kerüljön
Nem fogsz mindent elkapni mindig, főleg egy rossz napon. A jó alapbeállítások azt jelentik, hogy egyetlen botlás kevesebb kárt okoz, és némelyikük helyetted is elvégzi a felismerés egy részét.
Ezek közül a legerősebbek a passkey-k és a hardveres biztonsági kulcsok. A CISA, az amerikai kiberbiztonsági ügynökség az adathalászatnak ellenálló többfaktoros hitelesítést aranyszabványként írja le, és a FIDO-t meg a WebAuthn-t nevezi meg annak széles körben elérhető formájaként. Ezek a hitelesítő adatok a valódi domainhez vannak kötve, ezért egyszerűen nem működnek hamis oldalon, még tökéletes másolaton sem. A hitelesítő alkalmazások megállítják a csak jelszóra épülő támadások többségét, de gyengébbek az élő továbbítással szemben, ezért jó lépés, de nem a végső. Ha a bankod vagy az e-mail-szolgáltatód kínál passkey-t, a bekapcsolása valószínűleg a legértékesebb, amit a cikk elolvasása után tehetsz.
A jelszókezelő második, csendesebb ellenőrzést ad. Minden jelszóhoz eltárolja a pontos domaint. Ha egy hasonmás oldalra érkezel, és az nem kínál mentett belépést, ez a csend figyelmeztetés, és elkapja a pixelpontosan kinéző oldalakat is. Ne írd felül a jelszó másolásával és beillesztésével. Van egy kis kitétel: a jelszókezelők néha nem ismernek fel egy valódi oldalt, amely megváltoztatta a belépési domainjét. A csend tehát azt jelenti, hogy „állj meg, és menj az oldalra a címének beírásával”, nem azt, hogy „ez biztosan hamis”.
| Védelem | Mit csinál | Ráfordítás |
|---|---|---|
| Passkey-k vagy hardveres kulcsok | Megállítják a hitelesítőadat-lopást és az élő továbbítást, mert a hitelesítő adat a valódi domainhez kötött | Alacsony vagy közepes |
| Jelszókezelő automatikus kitöltéssel | Hamis domaineken nem tölt ki, és megakadályozza az újrahasználatot | A beállítás után alacsony |
| Hitelesítő alkalmazás | Megállítja a csak jelszóra épülő támadások többségét | Alacsony |
| Böngészővédelem | A Chrome Safe Browsingja és az Edge SmartScreenje sok ismert rossz oldalra figyelmeztet | Általában már be van kapcsolva |
| Szoftverfrissítések | Bezárják a rosszindulatú fájlok és oldalak által használt hibákat | Alacsony |
| Látható fájlkiterjesztések | Leleplezik a dupla kiterjesztéses trükköket | Egy beállítás |
| Rákérdezés távoli képek betöltése előtt | Megállítja, hogy sok pixel megerősítse a címedet | Egy beállítás |
| Írásbeli visszahívási szabály fizetésváltoztatásokra | Megállítja a számlacsalások többségét, bármilyen is az e-mail | Folyamatváltoztatás |
| A valódi címed megadásának korlátozása | Kevesebb lista és szivárgás tartalmazza | Szokás |
Egy vállalkozásnál a visszahívási szabályt érdemes leírni. Az FBI e-mail-csalásokról szóló útmutatója és a banki iparág tanácsai a lényegben egyeznek: a fizetési utasítások bármilyen változását e-mailen kívül erősítsd meg, egy már meglévő számon. Azért működik, mert nem azon múlik, hogy valaki észrevesz-e valamit, és okot ad a fiatalabb munkatársaknak arra, hogy azt mondják a főnöknek látszó embernek: „először fel kell hívnom”.
Tartsd a fő címedet a listákon kívül
Az adathalászok olyan címekre küldenek, amelyeket megvettek, kigyűjtöttek vagy szivárgási adatokból szedtek ki. Minden alkalommal, amikor a valódi címedet egy kevéssé megbízható oldalnak adod, van esély, hogy felkerül egy ilyen listára. Ha az egyszeri regisztrációkhoz külön címet használsz, ritkábban célozzák a fő postaládádat, és a megmaradó leveleket is könnyebb megítélni, mert egy olyan címre érkező, bankodról szóló üzenet, amelyet csak a banknak adtál meg, többet jelent.
Az ideiglenes postaláda az egyik lehetőség a legalacsonyabb szintre, ahol az oldal feltételei engedik. A VookMailnél a cím az oldal betöltésekor kész, regisztráció és jelszó nélkül. Az Új gombbal beírhatod a felhasználónevedet, és választhatsz több mint 30 domain közül, vagy a sárga Véletlen gombbal kérhetsz véletlenszerű címet, ami a biztonságosabb választás, mert bárki megnyithatja azt a postaládát, aki ismeri vagy kitalálja a címet. Az üzenetek és a mellékletek körülbelül egy nap után törlődnek, így ha a címre később adathalászat érkezik, az olyan helyre kerül, amely nincs kapcsolatban a bankoddal, a munkáddal és a fő fiókjaiddal.
Ez egy letöltésre, egyetlen fórumkérdésre vagy egy saját űrlap tesztelésére való. Nem való olyan fiókokhoz, amelyeket meg kell tartanod vagy vissza kell állítanod, és soha nem bank-, állami, egészségügyi, munkahelyi vagy elsődleges közösségimédia-fiókokhoz. A GYIK a megfelelő használatról szól, az adatvédelmi szabályzat pedig elmagyarázza, hogyan kezeljük a beérkező leveleket.
A vészjelek bármelyik postaládában érvényesek, az eldobhatóban is. Sőt, az ideiglenes cím praktikus próbát ad: ha ott egy üzenet arra kér, hogy jelentkezz be a valódi bank- vagy e-mail-fiókodba, az szinte biztosan adathalászat, mert sosem adtad meg azoknak a szolgáltatásoknak ezt a címet.
Tévhitek, amelyek a támadónak segítenek
- „Van lakatja.” Ez titkosítottat jelent, nem becsületeset.
- „A logó és a név stimmel.” Mindkettő könnyedén másolható.
- „A nyelvtan tökéletes.” Sok kampány ma már jól van megírva.
- „Majd felhívom az e-mailben lévő számot.” Az a szám egyenesen a támadóhoz mehet.
- „A kollégám valódi címéről jött.” A fiókokat átveszik, ezért a kérést így is ellenőrizni kell.
- „Rákattintottam, de zavarba ejtő lenne szólni az IT-nak.” A hallgatás több időt ad a támadóknak, és általában a legdrágább választás.
- „Nincs semmim, ami érdemes lenne ellopni.” A postafiókod visszaállíthatja a többi fiókodat, és felhasználható az ismerőseid megtévesztésére.
Ellenőrzőlista az előtted lévő üzenethez
Amikor egy e-mail valamire kér, ezek a kérdések egy percnél kevesebbet vesznek igénybe. Ha bármelyik válasz aggaszt, állj meg, és ellenőrizd másik úton.
- Vártam ezt?
- A valódi feladói cím azé a szervezeté, amelynek mondja magát?
- Hová mutatnak valójában a linkek, ha a domaint jobbról olvasom?
- Jelszót, kódot, fizetést vagy fájlt kér?
- Sürgetést, félelmet, titkolózást vagy jutalmat erőltet?
- Van váratlan melléklet, QR-kód vagy „tartalom engedélyezése” kérés?
- Felismeri a jelszókezelőm a belépőoldalt?
- Ellenőrizhetem ezt úgy, hogy megnyitom az alkalmazást, vagy hívok egy ismert számot?
Kérdések az adathalászatról
Megfertőződhetek attól, hogy megnyitok egy adathalász e-mailt?
Frissített levelezőprogrammal az üzenet megnyitása általában kis kockázat. A veszély a linkekre kattintásból, a hitelesítő adatok megadásából, a mellékletek megnyitásából, a makrók engedélyezéséből vagy az információval való válaszolásból jön. A megnyitás megerősítheti, hogy a címed aktív, ha a képek betöltődnek, és ez az egyik ok a távoli képek tiltására.
Miért jutnak át az adathalász e-mailek a spamszűrőkön?
A támadók új domaineket regisztrálnak, feltört legitim fiókokból küldenek, megbízható felhőszolgáltatásokon tárolják az oldalakat, és folyton változtatják a megfogalmazást. Némelyik adathalászat még az SPF, a DKIM és a DMARC ellenőrzésén is átmegy, mert olyan domainről jön, amelyet a támadó valóban birtokol.
Az adathalász e-mailek mindig tele vannak hibákkal?
Nem. Sok jól megírt, és azonosnak látszik a valódi márkaemailekkel. A figyelmedet a technikai jelekre és arra fordítsd, hogy mit kérnek tőled.
Egy valódi cég küldött egy linket, amely bejelentkezésre kér. Ez mindig adathalászat?
Nem. A cégek küldenek legitim linkeket, és a bejelentkezés lehet valódi. A biztonságos szokás mindkét esetben működik: hagyd el az e-mailt, nyisd meg magad a szolgáltatást, és nézd meg, kell-e bármire figyelned. Legfeljebb néhány másodpercet veszítesz.
Megvéd az eldobható cím az adathalászattól?
Csökkenti a kitettséget. Az arra a címre célzott adathalászat egy, a valódi fiókjaidtól független postaládába érkezik, és körülbelül egy nap után törlődik. Semmit sem tesz a fő postaládádba érkező levelekért, ezért ott a fenti ellenőrzések továbbra is érvényesek.