Képzelj el egy kis nyomdát péntek este 6:40-kor. E-mail érkezik a papírbeszállítótól, akinek a nyomda minden hónapban fizet, ugyanabban a szálban, mint a múlt havi rendelés. Azt írja: „Frissített számla mellékelve, kérjük, hétvége előtt dolgozzák fel”, a melléklet neve pedig Invoice_4471.zip. A beszállító valódi, a szál is valódi. Ez a beszállító viszont mindig sima PDF-eket küldött, a nyomdánál senki sem várt helyesbítést, és annak a cégnek a könyvelői általában nem írnak péntek éjjel.
A helyes lépés az, hogy a fájlt zárva hagyják, amíg a beszállítónál valaki meg nem erősíti egy olyan telefonszámon, amelyet a nyomda már ismer. Általános szabályként a melléklet elég biztonságos, ha számítottál rá, a feladó rendben van, és a fájltípus illik a történethez. Komoly gyanúra ad okot, ha ezek bármelyike nem teljesül, és a veszély általában akkor kezdődik, amikor futtatsz, kicsomagolsz vagy „engedélyezel” valamit, nem akkor, amikor elolvasod az üzenetet. A cikk nagy része arról szól, hogyan hozhatod meg gyorsan ezt a három ítéletet, és hogyan csökkentheted a kárt, ha nem tudod.
A pénteki számla végigvezetése
A fenti példa azért hasznos, mert a szokásos tanács csődöt mond rajta. Az „ne nyiss meg fájlokat idegenektől” nem segít, ha a feladó valaki, akinek fizetsz. Nézzük hát, mi változott valójában. A formátum megváltozott, PDF-ről tömörített archívumra. Az időzítés megváltozott. Az üzenet hétvége előtti cselekvésre sürget, amikor senki sem tudja könnyen ellenőrizni. Mindegyiknek lehet ártatlan magyarázata, de együtt elég ok arra, hogy megálljunk és ellenőrizzünk.
Ezután jön az a lehetőség, amelyre a nyomda tulajdonosa talán nem gondol: az üzenet valóban a beszállító postaládájából jöhetett. A bűnözők, akik bejutnak egy fiókba, gyakran meglévő beszélgetésekre válaszolnak, mert egy régi szál olyan bizalmat hordoz, amilyet egy hideg üzenet nem tud. Ezt szálelrablásnak (thread hijacking) hívják. Ez azt jelenti, hogy a helyes feladócím és az ismerős tárgysor nem dönt el semmit, és ezért az utolsó ellenőrzésnek az e-mailen kívül kell megtörténnie.
A tulajdonos számára egy ésszerű sorrend:
- Ne válaszolj az üzenetre azzal a kérdéssel, hogy valódi-e. Ha a postaláda feltört, a válasz a csalást irányító személyhez megy.
- Keresd ki a beszállító számát egy régi papírszámláról, a szerződésből vagy a telefon névjegyzékéből. Ne az e-mail aláírásában szereplő számot használd.
- Tegyél fel egy egyszerű kérdést: „Küldtek ma este helyesbített számlát?” Ha az iroda zárva van, a számla várhat hétfőig. Egy valódi beszállító sokkal inkább elfogad egy hétfői fizetést, mint ahogy egy bűnöző.
- Ha a beszállítónak van online portálja, jelentkezz be úgy, hogy te gépeled be a címét, és nézd meg, megjelenik-e ott a számla.
- Ha a válasz nem, figyelmeztesd a beszállítót, hogy a postaládája feltört lehet, majd jelentsd és told az üzenetet a törölt elemek közé.
Ugyanennek a példának van egy csendesebb változata, amelyet egyetlen vírusirtó sem fog el. A melléklet lehet egy tiszta, hétköznapi PDF egy teljesen valódi számláról, egyetlen megváltoztatott adattal: a bankszámlaszámmal. Nincs benne kártevő, a fájl ártalmatlan a számítógépedre, a pénz mégis rossz helyre megy. A fizetési adatok bármilyen módosítása ugyanezt a telefonhívást érdemli, bármilyen is a fájlformátum.
Mit akar elérni egy káros melléklet
A mellékletek egyszerű okból maradnak népszerűek a támadóknál. A levelezőszolgáltatások nem utasíthatnak el minden fájlt, mert az embereknek számlákat, önéletrajzokat, szerződéseket és fényképeket kell cserélniük, és a címzett maga dönt a megnyitásról. Egy rosszindulatú fájl általában négy eredmény egyikét célozza, és a készség nagy része annak ismerete, hogy egy adott formátum melyiket teszi lehetővé.
- Közvetlenül kódot futtat. Egy program vagy szkript elindul, ha duplán kattintasz rá, és ugyanazokkal a jogosultságokkal rendelkezik, mint te.
- Rávesz egy másik alkalmazást kód futtatására makrókkal, beágyazott objektumokkal vagy a szoftver hibáján keresztül.
- Máshová küld. Egy PDF vagy dokumentum csak egy gombot tartalmaz, amely hamis bejelentkezési oldalra vezet, így a fájl lehet tiszta, miközben a célállomás a támadás.
- Begyűjti, amit beírsz. Egy HTML melléklet a böngésződben helyi oldalként nyílik meg, bejelentkezési képernyőt utánoz, és a jelszavadat elküldi valaki másnak.
Egy JPEG fénykép frissített megjelenítőben önmagában az első háromból egyet sem tud megtenni. Egy Windows-parancsikon fájl viszont futtathat parancssort, miközben dokumentum ikonját mutatja. Ez a különbség a formátumok között magyarázza az alábbi táblázatot.
Fájltípusok, rangsorolva aszerint, mire képesek
Az értékelések azt feltételezik, hogy a fájl ismeretlen vagy váratlan feladótól érkezett. Ez a formátumok képességein alapuló ítélet, és a körülmények feljebb vagy lejjebb vihetik a fájlt. Egy .xlsm táblázat a könyvelődtől az adóbevallási időszakban normális. Ugyanez a fájl ismeretlen címről egy elmulasztott kézbesítésről nem az.
| Kiterjesztések | Mi ez | Kockázat | Miért |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Windows-programok és telepítők | Nagyon magas | A te jogosultságaiddal futtatnak kódot. Egy .scr „képernyővédő” közönséges program. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Szkriptek | Nagyon magas | A Windowsban beépített értelmezőik vannak. Egy idegennek szinte soha nincs jó oka ilyet küldeni. |
| .lnk | Windows-parancsikon | Nagyon magas | Ártalmatlannak látszó ikon mögött parancsot indíthat paraméterekkel. |
| .iso, .img, .vhd, .vhdx | Lemezképek | Magas | Dupla kattintásra meghajtóként csatolódnak, és programok és parancsikonok becsomagolására használták őket. |
| .docm, .xlsm, .pptm, .xlam | Makróképes Office-fájlok | Magas | Az „m” azt jelenti, hogy a fájl VBA-makrókat hordozhat. Van jogos használat, de idegenektől ritka. |
| .doc, .xls | Régebbi Office-formátumok | Közepes-magas | A névben semmi jel nélkül tartalmazhatnak makrókat, és hosszú múltú visszaélések kötődnek hozzájuk. |
| .zip, .rar, .7z, .gz, .tar | Archívumok | A tartalomtól függ | Bármit tartalmazhatnak ebből a táblázatból. A titkosítottakat nem lehet átvizsgálni. |
| .html, .htm, .svg | Weboldalak és vektorgrafikák | Közepes-magas | Böngészőben nyílnak meg, hamis bejelentkezési űrlapot mutathatnak, szkripteket futtathatnak, vagy helyben állíthatnak össze egy fájlt. |
| .one | OneNote jegyzetfüzet | Közepes-magas | Szkripteket rejtettek vele egy hamis „kattints a megtekintéshez” gomb mögé. |
| Hordozható dokumentum | Alacsony-közepes | Többnyire passzív, de tartalmazhat hivatkozásokat, beágyazott fájlokat és szkripteket. | |
| .docx, .xlsx, .pptx | Modern Office-fájlok | Alacsony-közepes | VBA-makrókat nem tárolhatnak, de tartalmazhatnak hivatkozásokat, külső hivatkozásokat és beágyazott objektumokat. |
| .jpg, .png, .gif, .webp | Raszteres képek | Alacsony | Passzív adat. A kockázat egy ritka megjelenítőhiba, amelyet a frissítések orvosolnak. |
| .txt, .csv | Szöveg és adat | Alacsony, egy kikötéssel | A szöveg nem futtatja magát, de egy táblázatkezelőben megnyitott CSV tartalmazhat képleteket, ezért utasítsd el a külső tartalom engedélyezésére vonatkozó felszólításokat. |
A levelezőszolgáltatók a rendezés egy részét elvégzik helyetted. A Gmail például elutasítja a fájltípusok egy listáját, amelyen szerepel az .exe, a .js, az .lnk és az .iso, és ha tudja, az archívumok belsejébe is belenéz. Az Outlook is blokkol sok program- és szkripttípust. Ezért kedvelik a bűnözők azokat a formátumokat, amelyeket a szűrőknek át kell engedniük, és ezért árulkodóbb gyakran egy szokatlan tároló, mint egy nyilvánvalóan veszélyes név.
Hogyan rejtik el a fájl valódi típusát
A Windows alapértelmezés szerint elrejti az ismert kiterjesztéseket, ezért a legrégebbi trükk még mindig működik. Egy invoice.pdf.exe nevű fájl invoice.pdf néven jelenik meg. Egyszer kapcsold ki, és úgy marad. Windows 11-ben nyisd meg a Fájlkezelőt, és válaszd a Nézet, Megjelenítés, Fájlnévkiterjesztések lehetőséget. Windows 10-ben ez egy jelölőnégyzet a Nézet lapon. Macen menj a Finder, Beállítások, Haladó részhez, és jelöld be a Minden fájlnév-kiterjesztés megjelenítése lehetőséget.
Más álcák több figyelmet igényelnek. A szóközökkel feltöltött hosszú nevek, például a statement.pdf .js, kitolják a valódi végződést egy szűk oszlopból. Egy Unicode vezérlőkarakter, a jobbról balra felülírás (U+202E), megfordíthatja a név végének megjelenítését, így egy ténylegesen .exe-re végződő fájl úgy tűnhet, mintha .pdf-re végződne. A programok és parancsikonok bármilyen ikont hordozhatnak, PDF- vagy Word-ikont is, így az ikon semmit sem bizonyít.
Maga az e-mail is hazudhat. Minden melléklethez tartozik egy deklarált tartalomtípus, például application/pdf, de ezt a címkét a feladó választja. Hogy mi történik az eszközödön, a fájl valódi formátumától és kiterjesztésétől függ. Ezért Windowson nézd meg a Típus oszlopot vagy a fájl Tulajdonságait, Macen az Információk megjelenítése lehetőséget, telefonon pedig a fájlkezelő részletes nézetét.
Office-dokumentumok és a két színes sáv
Az Office-fájloknak külön szakasz jár, mert mindenhol ott vannak, és évtizedek óta visszaélnek velük. A makró egy Visual Basic for Applications nyelven írt kis program, amelyet egy dokumentum tárol, és hasznos munkát automatizálhat, vagy letölthet és elindíthat valami mást. A fájlformátum részleges támpontot ad: a .docx és az .xlsx nem tárolhat VBA-makrókat, a .docm és az .xlsm igen, a régebbi .doc és .xls fájlok pedig szintén, anélkül hogy jeleznék.
Ha az internetről vagy e-mailből származó fájlt nyitsz meg Windowsos Officeban, általában két sáv egyikével találkozol. A sárga a Védett nézethez tartozik, amely csak olvasható, korlátozott módban nyitja meg a dokumentumot, és felkínálja a Szerkesztés engedélyezése gombot. Amíg Védett nézetben maradsz, a fájl sokkal korlátozottabb abban, mire képes. Elolvashatod, és egy olyan dokumentumnál, amelyet csak olvasni kell, nincs ok kilépni belőle.
A vörös egy biztonsági szalag. A Microsoft úgy változtatta meg a Windowsos Officeot, a bevezetés 2022-ben kezdődött, hogy az internetről származó fájlokban lévő VBA-makrókat alapértelmezés szerint blokkolja a Word, az Excel, a PowerPoint, az Access, a Project, a Publisher és a Visio. A szalag azt mondja, hogy a makrókat letiltották, mert a fájl forrása nem megbízható. A Microsoft dokumentációja szerint ez a változás nem terjed ki az Officera Macen, Androidon vagy iOS-en, sem a weben, ezért ne feltételezd, hogy mindenhol ugyanígy működik.
A blokkolás a Mark of the Webtől függ, attól a címkétől, amelyet a Windows olyan fájlokhoz ad, amelyek nem megbízható helyről érkeztek, például böngészős letöltésből vagy e-mail mellékletből. Egy személy eltávolíthatja a címkét azzal, hogy a fájl Tulajdonságaiban bejelöli a Letiltás feloldása lehetőséget, és ez világos figyelmeztető jel. Ha egy dokumentum vagy egy „segítőkész” e-mail azt mondja, hogy kattints jobb gombbal a fájlra, jelöld be a feloldást, és nyisd meg újra, akkor a védelem mellett vezetnek el. Zárd be.
A támadók meggyőzéssel válaszoltak. Egy tipikus csapdadokumentum homályos oldalt mutat és egy ilyen sort: „Ez a dokumentum újabb verzióban készült. A megtekintéshez engedélyezd a szerkesztést és a tartalmat.” Egyetlen valódi dokumentumnak sincs szüksége makróra pusztán az olvasáshoz. Ha a fájl olyantól jött, akit nem tudsz ellenőrizni, kezeld ezt az üzenetet válaszként arra a kérdésedre, hogy biztonságos-e.
Ez a macska-egér történet megmagyaráz néhány furcsa formátumot a táblázatban. A lemezképek részben azért lettek népszerűek, mert az ISO-ban lévő fájlok nem kaptak Mark of the Webet, amíg a Microsoft 2022 novemberében ezt ki nem javította (CVE-2022-41091). Ezután megnőtt a OneNote-fájlokkal való visszaélés, beágyazott szkriptekkel és parancsikonokkal hamis gombok mögött, és 2023-ban a Microsoft bejelentette, hogy a Microsoft 365 és a kiskereskedelmi Office OneNote-ja blokkolni fogja a veszélyes kiterjesztésű beágyazott fájlokat. Minden javítás a következő tárolóra tereli a támadókat, ezért egy ismeretlen formátum egy idegentől elég ok a megállásra.
PDF-ek, weboldalak és képek
A PDF-ek túlnyomó többsége ártalmatlan, és a reális kockázat ritkán egy ügyes kihasználás. Sokkal gyakoribb egy egyoldalas PDF logóval és egy nagy „Biztonságos dokumentum megtekintése” gombbal, amely hamis bejelentkezési oldalra vezet. A PDF hordozhat beágyazott fájlokat is, amelyeket a megjelenítő felkínálhat megnyitásra, és tartalmazhat JavaScriptet. A PDF-olvasóknak az évek során voltak biztonsági hibáik, ezért tartsd frissen a sajátodat. Egy váratlan PDF megnyitása egy aktuális böngésző beépített megjelenítőjében ésszerű alapértelmezés, és ha Adobe Acrobat Readert használsz és ritkán van szükséged szkriptelésre, kikapcsolhatod az Acrobat JavaScript engedélyezése jelölőnégyzetet a Szerkesztés, Beállítások, JavaScript alatt. Az a PDF, amely csak annyit mond, hogy „a dokumentumod elkészült, kattints ide”, ajtó, nem dokumentum.
A HTML mellékletek rosszabbak, mint amilyennek látszanak. Egy ilyen a böngésződben helyi oldalként nyílik meg, és tökéletes másolatát mutathatja egy bejelentkezési képernyőnek, az e-mail-címeddel már kitöltve. Mivel az üzenetben soha nem volt gyanús webcím, a levelezőszolgáltatásod linkvizsgálói lehet, hogy sosem látnak ilyet. Egy HTML fájl a böngészőben kódolt adatokból fájlt is összeállíthat, és letöltésként felkínálhatja, ezt a technikát HTML smugglingnak hívják, és átjuthat azokon a szűrőkön, amelyek csak a mellékleteket vizsgálják. Egyetlen valódi cégnek sincs szüksége arra, hogy egy e-mailhez csatolt fájlból jelentkezz be. Kezelj minden ilyen oldalt adathalászatként, és a szolgáltatáshoz úgy menj, hogy a címét te gépeled be.
Az SVG-fájlok képnek tűnnek, és XML-ben vannak definiálva, ami azt jelenti, hogy szkripteket és hivatkozásokat tartalmazhatnak. Képmegjelenítőben képként viselkednek, böngészőben viszont weboldalként. Egy váratlan SVG egy idegentől ugyanolyan kétkedést érdemel, mint egy HTML fájl.
A hétköznapi JPEG, PNG, GIF és WebP fájlok passzív adatok, és a megjelenítőhiba elméleti kockázatát a rendszerfrissítések kezelik. A gyakorlati kockázat más: egy kép lehet egyszerűen csali, például egy számla „képernyőképe”, amely arra utasít, hogy hívj egy telefonszámot. A fájl biztonságos, az utasítások benne nem.
Archívumok: a tartalmat ítéld meg, ne a csomagolást
A ZIP-fájl sem nem biztonságos, sem nem veszélyes. Pontosan annyira biztonságos, mint ami benne van. Az archívumok azért jók a támadóknak, mert az üzenet csak azt mutatja, hogy „documents.zip”, a valódi fájltípus pedig rejtve marad, és mert egy archívum az archívumban vagy egy ritkább formátum összezavarhat néhány vizsgálót.
A titkosítás további problémát jelent. A levelezés-biztonsági eszközök nem látnak bele egy jelszóval védett archívumba, ezért klasszikus minta az az üzenet, amelyben a titkosított archívum és a jelszava együtt szerepel. Gondold végig, mit ér el ez az elrendezés: semmilyen titkosságot nem nyújt, hiszen aki az e-mailt birtokolja, a jelszót is birtokolja, és az egyetlen dolog, amit megbízhatóan megtesz, hogy elvakítja a vizsgálót. Egy valódi feladó, aki titkosít egy fájlt, a jelszót általában más módon osztja meg, például telefonon vagy külön csevegésben.
Ha ellenőrizted, hogy az archívumnak léteznie kell, és mégis bele akarsz nézni:
- Nyisd meg az archívumot, hogy lásd a fájllistát kicsomagolás nélkül. A Windows Fájlkezelője és az archívumkezelők, például a 7-Zip meg tudják mutatni a listát. A Mac általában kicsomagol dupla kattintásra, ezért ott használj archívumkezelő eszközt.
- Olvasd el minden név és kiterjesztés. Egyetlen
.lnk,.js,.exevagy.isoegy iratként leírt dologban véget vet az ügynek, ezért töröld az archívumot. - Ellenőrizd, hogy a tartalom egyezik-e a történettel. Egy „PDF-útmutatónak” PDF-nek kell lennie, nem egy parancsikont tartalmazó mappának.
- Csak azt az egy fájlt csomagold ki, amelyre szükséged van, majd ugyanazokat az ellenőrzéseket alkalmazd rá.
A feladó ellenőrzése röviden
A fájl a támadás fele, a körülötte lévő hihető történet a másik fele. Az adathalász e-mailek felismeréséről szóló útmutatónk részletesen végigmegy ezen, így itt a mellékletek szempontjából legfontosabb ellenőrzések szerepelnek.
Kezdd a valódi címmel, mert a megjelenített nevet bárki bármire beállíthatja. A „Számlázási osztály” lehet billing@example-pay.example. Számítógépen vidd rá az egeret a névre vagy kattints rá, telefonon koppints a feladó sorra. Keress hozzáadott szavakat, kötőjeleket vagy felcserélt betűket tartalmazó domaineket („rn”, amely „m”-nek adja ki magát), olyan ingyenes webmail-címeket, amelyek egy cég számlázási vagy jogi osztályának mondják magukat, és olyan domaint, amely nem egyezik azzal a weboldallal, amelyet már ismersz.
Aztán nézd meg, hová menne a válasz. Egy üzenet jöhet egyik címről, és a válaszokat egy másikra kérheti. A levelezőlisták és a jegykezelő rendszerek, valamint az általad feliratkozott hírlevelek néha hétköznapi okokból ezt teszik, de egy sürgős fizetésről szóló, személyesnek tűnő üzenetnek nem szabadna.
A technikai ellenőrzés egy percet vesz igénybe. Gmailben nyisd meg a hárompontos menüt, és válaszd az Eredeti megjelenítése lehetőséget. Webes Outlookban használd a Nézet, Üzenetforrás megtekintése pontot. Keresd az spf=pass, dkim=pass és dmarc=pass értékeket. Az SPF felsorolja, mely szerverek küldhetnek egy domain nevében, a DKIM kriptográfiai aláírás, amely megmutatja, hogy a domain engedélyezte az üzenetet, és nem módosították, a DMARC pedig a megjelenő Feladó domainhez köti ezeket az eredményeket, és megmondja a fogadóknak, mit tegyenek hiba esetén. Az eredményeket csak egy irányban olvasd. Egy olyan üzenetnél, amely a bankodtól valónak mondja magát, a hiba erős figyelmeztetés. A sikeres ellenőrzés nem teszi biztonságossá az üzenetet, mert a bűnözők regisztrálhatnak hasonló domaint, és helyesen hitelesíthetik, a feltört postaláda pedig minden ellenőrzést kiáll.
Marad a kérdés, amelyre egyetlen fejléc sem tud válaszolni: illik ez egy valódi beszélgetéshez? Azt szeretnéd tudni mondani, hogy ezt a fájlt ettől a személytől ebben a tárgyban vártad, és olyan adatokat tartalmaz, amelyeket ellenőrizhetsz a fiókodban. A nyomás ez ellen dolgozik. A sürgetés, a titkolózás és a félelem („jogi lépések”, „ne szólj senkinek”, „a fiók ma bezárul”) fájllal együtt a szokásos minta. Ha kétséged van, vedd fel a kapcsolatot a feladóval olyan adatokkal, amelyek megvoltak már ezen üzenet érkezése előtt. Ha a számla valódi, a fiókodban is ott lesz.
Amikor meg kell nyitnod egy fájlt valakitől, akit nem ismersz
Néha a fájl maga a lényeg: egy álláskereső önéletrajza, egy beszállító első ajánlata, egy válasz valamire, amit eladásra kínáltál. A cél ilyenkor az, hogy lásd a tartalmat, miközben a fájlnak a lehető legkevesebb hatalmat adod. Ezek a lehetőségek a legkevesebb erőfeszítéstől a legtöbbig haladnak, és a legtöbben a második vagy harmadiknál megállnak.
Kérdezd meg, szükséges-e egyáltalán megnyitni. Ha a fájl váratlan és a történet általános, a törlés keveset veszít, mert a valódi feladók utánamennek.
Használd a levelezőszolgáltatásod előnézetét. A webmail-szolgáltatások gyakran a saját szervereiken jelenítik meg a PDF-eket, képeket és Office-dokumentumokat, így a fájl megjelenik, nem pedig lefut az eszközödön. Előbb nézd meg előnézetben, és csak akkor tölts le, ha muszáj. Ez a leghasznosabb szokás mindenkinek, aki munkából fogad fájlokat idegenektől.
Nyisd meg a dokumentumokat csak olvasásra. A Védett nézetben maradás vagy a fájl webes irodai csomagban való megnyitása korlátozza, mit tehet. Hagyd békén a Szerkesztés engedélyezése és a Tartalom engedélyezése gombot.
Vizsgáltasd át. Windowson jobb gombbal kattinthatsz egy mentett fájlra, és átvizsgálhatod a Microsoft Defenderrel, más biztonsági termékek ugyanezt kínálják. Egy olyan fájlnál, amely semmi privátot nem tartalmaz, egy többmotoros online vizsgáló, például a VirusTotal második véleményt ad. Az ilyen szolgáltatásokra feltöltött anyagokat megoszthatják biztonsági cégekkel és kutatókkal, ezért soha ne tölts fel szerződéseket, személyi igazolványokat, számlákat vagy bármi bizalmasat. A tiszta eredmény sem garancia, mert egy új vagy testre szabott fájlt még semmi sem ismerhet fel.
Kérj másik formátumot. Egy valódi pályázó újraküldheti az önéletrajzot szabványos PDF-ként. Egy ügyfél beillesztheti a szöveget az e-mail törzsébe. A kérdezés ingyenes, és aki egy bizonyos fájlt akar eljuttatni, hajlamos ellenkezni.
Használj elszigetelt környezetet minden szokatlanhoz. A Windows Sandbox a Windows Pro, Enterprise és Education kiadásaiban érhető el, a Windows-szolgáltatások be- vagy kikapcsolása menüben kapcsolható be, és engedélyezett virtualizációt igényel. Eldobható asztalt ad, amelyben minden elvész, amikor bezárod. Alapértelmezés szerint van hálózati hozzáférése, hacsak ki nem kapcsolod egy konfigurációs fájlban, így a benne futó fájl elérheti az internetet, és onnan nem szabad semmibe bejelentkezned. A virtuális gép vagy egy tartalék eszköz ugyanezt a célt szolgálja.
Gyors teszt, mielőtt duplán kattintasz
Futtasd végig ezeket, ha valami nem stimmel. Két vagy több aggasztó válasz elég ok arra, hogy töröld az üzenetet, vagy előbb ellenőrizd.
- Ismerem ezt a feladót, és vártam most ezt a fájlt?
- A valódi cím és domain egyezik azzal, akinek mondja magát?
- Ez az a fájltípus, amelyet ehhez a tárgyhoz várnék?
- A fájl tárolóban van, különösen jelszóval védettben?
- Az üzenet sürgetést, titkolózást, fizetést vagy bejelentkezést erőltet?
- A dokumentum arra kér, hogy engedélyezzem a szerkesztést, a tartalmat vagy a makrókat?
- Meg tudom erősíteni ezt előbb külön csatornán?
A telefonok és a Macek mások, nem védettek
A Windows-programok és szkriptek egyszerűen nem futnak iOS-en vagy Androidon, és a mobilrendszerek szigorúbban korlátozzák az alkalmazásokat, mint a hagyományos asztali rendszerek. Ez a fenyegetések egy nagy osztályát megszünteti. De a telefonoknak megvannak a saját gyengéik, és az adathalászat legalább olyan jól működik kis képernyőn, ahol a teljes címek el vannak rejtve, és egy hamis bejelentkezési gomb ugyanolyannak látszik, mint bármelyik másik.
Androidon a fő fájlkockázat az APK, a mellékletként küldött alkalmazáscsomag. Csak akkor telepíthető, ha engedélyezted azt az alkalmazást, amely megnyitotta, hogy ismeretlen alkalmazásokat telepítsen. Ezt a Beállítások, Alkalmazások, Különleges alkalmazás-hozzáférés, Ismeretlen alkalmazások telepítése alatt ellenőrizheted, bár a pontos útvonal gyártónként eltér. Tartsd kikapcsolva a levelezőalkalmazásodnál és a böngésződnél, és alkalmazásokat csak hivatalos áruházakból telepíts. iPhone-on és iPaden figyelj a konfigurációs profilokra, amelyek olyan beállításokat változtathatnak, mint a VPN és a megbízható tanúsítványok. A telepített profilok a Beállítások, Általános, VPN és eszközkezelés alatt jelennek meg. Ne telepíts egyet sem azért, mert egy e-mail kérte.
A telefonos levelezőalkalmazások a feladó teljes címét és a fájlkiterjesztést is hajlamosak elrejteni, így koppintanod kell a megjelenítésükhöz. Ha egy fájl fontosnak tűnik, és nem tudod kényelmesen elolvasni a részleteit, várj, amíg egy nagyobb képernyő elé kerülsz. Nagyon kevés őszinte melléklet nem tud várni egy órát.
A Macek saját védelemmel rendelkeznek, a Gatekeeperrel, amely az első futtatás előtt ellenőrzi a letöltött alkalmazásokat, és figyelmeztet azokra a szoftverekre, amelyek nem azonosított fejlesztőtől származnak. A csalók utasításai néha azt mondják, hogy kerüld meg a figyelmeztetést a fájl másképp való megnyitásával vagy egy parancs Terminálba illesztésével. Kezeld ezeket az utasításokat úgy, mint a „Tartalom engedélyezése” gombot egy Word-dokumentumban. Figyelj az idegenektől érkező .dmg, .pkg, .app és .command fájlokra, amelyek a táblázat első sorainak Mac-es megfelelői.
Beállítások, amelyek javítják az esélyeket
Ezek egyike sem igényel szakértői eszközt. Az egész lista egyszeri végigvétele nagyjából egy kávészünetnyi időt vesz igénybe, és a legtöbbet soha nem kell megismételni.
| Beállítás | Hol | Miben segít |
|---|---|---|
| Fájlnévkiterjesztések megjelenítése | Fájlkezelő Nézet menü; Finder Beállítások, Haladó | Dupla kiterjesztések és álcázott fájlok |
| Automatikus frissítések | Rendszer- és alkalmazásáruház-beállítások | Ismert hibák a megjelenítőkben, böngészőkben és az Officeban |
| Biztonsági szoftver bekapcsolva | Windows-biztonság, vagy a választott termék | Ismert kártevők a fájlok mentésekor vagy megnyitásakor |
| Védett nézet és makróblokkolás | Office: Fájl, Beállítások, Megbízhatósági központ, A Megbízhatósági központ beállításai (általában bekapcsolva) | Dokumentumok, amelyek a döntésed nélkül futtatnak kódot |
| Ismeretlen alkalmazások telepítésének tiltása | Android: Különleges alkalmazás-hozzáférés | E-mailben kapott APK-fájlok |
| Standard, nem rendszergazdai fiók napi használatra | Rendszer fiókbeállításai | Kártevő, amely könnyen rendszerszintű jogokat szerez |
| Többfaktoros bejelentkezés a fontos fiókokon | Minden fiók biztonsági oldala | Fiókátvétel egy ellopott jelszó után |
| Külön cím a regisztrációkhoz | Másodlagos cím, alias vagy ideiglenes postaláda | A fő postaládád célponttá válása |
Gyakori mellékletek, és hogyan mennek rendszerint félre
Az alábbi helyzetek gyakran előforduló minták példái. Mindegyikben az számít, mi a különbség aközött, ahogy a valódi dolog általában érkezik, és aközött, amit éppen látsz.
| Az állítás | Hogyan néz ki a valódi | Minek kell megállítania | Mit tegyél |
|---|---|---|---|
| Számla egy cégtől, amelyet nem használsz | Lenne fiókod vagy rendelésed | Nincs kapcsolat, és gyakran archívum, HTML fájl vagy makrós dokumentum | Töröld |
| Számla egy cégtől, amelyet használsz | Látható a fiókodban, a szokásos formátumban | Új formátum, új bankadatok, furcsa időzítés | Jelentkezz be közvetlenül vagy hívj egy ismert számot |
| Megosztott dokumentum „előnézete” | Link a megosztó szolgáltatástól, amely ott nyílik meg, ahol már be vagy jelentkezve | Csatolt HTML fájl bejelentkezési oldallal | Menj magad a szolgáltatáshoz, és keresd a megosztást |
| Önéletrajz vagy portfólió | Szabványos PDF vagy dokumentum | Archívum, makrós dokumentum vagy hivatkozás egy furcsa letöltőoldalra | Nézd meg előnézetben, és kérj szabványos formátumot |
| Hangposta- vagy faxértesítés | Sok telefonrendszer hangfájlt küld, például WAV-ot vagy MP3-at | HTML, archívum vagy program | Nézd meg a telefonrendszered portálját |
| Sürgős fájl a „főnöködtől” | Szokásos csatornák és szokásos hangnem | Titkolózás, sietség, fizetési kérés | Erősítsd meg telefonon vagy személyesen |
| Új melléklet egy régi szálban | A személy saját hangján és a témáról szól | Általános „lásd a mellékletet”, olyan fájltípus, amelyet sosem küld | Keresd meg őket külön, mielőtt megnyitod |
Az álláskereső sora külön említést érdemel azoknak, akik felvesznek embereket. A felvétel pontosan az az eset, amikor ismeretlen emberek fájlokat küldenek neked, ezért utánozzák a támadók. Egy kitett szabály, hogy „csak PDF, archívum és link nélkül”, a valódi jelentkezőknek semmibe sem kerül, és a kockázat nagy részét megszünteti, mielőtt bármi megérkezne.
Kis csapatoknak
Ha egy csapat e-mailjeiért te felelsz, néhány kontroll csökkenti, mennyi múlik egy ember megítélésén egy zsúfolt délutánon. Állítsd be a levelezőszolgáltatást, hogy a nagy kockázatú típusokat, például a programokat és szkripteket, rögtön blokkolja, a külsőről érkező, jelszóval védett archívumokat pedig tartsa vissza átnézésre. Tedd közzé az SPF-et, a DKIM-et és a DMARC-ot a saját domainedhez, hogy a nevedet nehezebb legyen hamisítani, és olvasd a DMARC-jelentéseket, hogy lásd, ki küld a nevedben. A szervezeten kívülről érkező üzeneteken látható szalag segít észrevenni, ha „a főnök” máshonnan ír.
Belsőleg a megbízható platformról érkező megosztott linkek jobbak a mellékleteknél, mert így minden kívülről jövő melléklet kiugrik. Egyezzetek meg egy írott szabályban, hogy a bankadatok változását mindig telefonon erősítik meg, egy már nyilvántartott számon, bárki kéri és bármilyen sürgősnek látszik. És adj a munkatársaknak egykattintásos módot a gyanús levelek jelentésére, és köszönd meg azoknak, akik használják, azoknak is, akik már rákattintottak. Aki szégyenében hallgat, órákkal több időt ad a behatolónak.
Ha már megnyitottad
A gondos emberek is elkövetik ezt a hibát, általában fáradtan vagy elfoglaltan. Az első percek számítanak, és hogy mit tegyél, azon múlik, mi történt valójában.
Frissített megjelenítőben megnyitottál egy képet vagy PDF-et, és nem kattintottál semmire. A reális kockázat alacsony. Futtass vizsgálatot, és folytasd, figyelve a követő üzenetekre.
Futtattál valamit, kicsomagoltál valamit vagy engedélyezted a makrókat. Kövesd ezeket a lépéseket sorrendben:
- Zárd be a fájlt, és ne válaszolj tovább a felszólításaira. Ne adj meg jelszavakat.
- Kapcsold ki a Wi-Fit, vagy húzd ki a hálózati kábelt. Ez megakadályozhatja, hogy a kártevő további összetevőket töltsön le vagy adatot küldjön ki.
- Munkahelyi eszközön azonnal jelentsd egy másik eszközről, és ne próbáld magad megtisztítani. A korai jelentések lehetővé teszik az informatikának vagy a biztonsági munkatársaknak, hogy a terjedés előtt megfékezzék a problémát.
- Futtass teljes vizsgálatot. A Windows-biztonságban menj a Vírus- és fenyegetésvédelem, Vizsgálati beállítások részhez, ahol a Microsoft Defender offline vizsgálat újraindítja a számítógépet, és a Windows betöltődése előtt vizsgál.
- Egy másik, tiszta eszközről változtasd meg a fontos jelszavaidat, kezdve az e-maillel, mert az e-mail mindent vissza tud állítani. Utána jöhet a banki és minden, amibe az érintett gépen nemrég bejelentkeztél.
- Nézd át az e-mail-fiókod legutóbbi bejelentkezéseit, továbbítási szabályait, szűrőit és csatlakoztatott alkalmazásait. A támadók néha rejtett szabályt adnak hozzá, hogy a jelszóváltoztatás után is megkapják a leveleidet.
- Kapcsold be a többfaktoros bejelentkezést, vagy győződj meg róla, hogy még be van kapcsolva, a fontos fiókokon.
Jelszót gépeltél be egy oldalra, amelyet a melléklet nyitott meg. Tekintsd ellopottnak a jelszót. Változtasd meg a valódi oldalon, a címet magad gépelve be, és mindenhol máshol is, ahol használtad.
Kártyaadatokat adtál meg. Hívd a bankodat vagy a kártyakibocsátót a kártyára nyomtatott számon, és kérd a letiltását.
Az eszköz továbbra is furcsán viselkedik. Az új programok, a letiltott biztonsági eszközök és a böngésző-átirányítások arra utalnak, hogy a vizsgálat nem volt elég. A megbízható megoldás a visszaállítás egy ismerten jó mentésből vagy a rendszer újratelepítése, és ezért része a mellékletek biztonságának a gyakorlatban egy offline vagy verziózott mentés fenntartása.
Hol illeszkedik az ideiglenes postaláda, és hol nem
Mindaz, ami fent áll, azután hat, hogy egy kockázatos üzenet már megérkezett hozzád. A postaláda adatvédelme korábban dolgozik, azzal, hogy korlátozza, kik érhetik el egyáltalán a fontos címedet. Minden oldal, amely a valódi címedet tárolja, kiszivárogtathatja, eladhatja vagy feltörhetik. Ennek a kitettségnek a csökkentése később kevesebb ismeretlen feladót jelent, ami az alkalmankénti váratlan fájlt is könnyebben észrevehetővé teszi. A személyes e-mailek rendszerezéséről szóló cikkünk elmagyarázza, hogyan oszd fel a címeket a bizalom szintje szerint.
Az ideiglenes postaláda egy eszköz a legalsó szinthez. Ha egyszeri letöltéshez vagy egyetlen fórumkérdéshez használsz egyet, ahol az oldal feltételei engedik, az a feladó sosem tudja meg a fő címedet. A valódi e-mail nélküli regisztrációról szóló útmutatónk bemutatja, mikor helyénvaló ez, és mikor az állandó cím a helyes választás. A fejlesztők is használnak ideiglenes postaládákat annak ellenőrzésére, hogy a saját alkalmazásuk helyesen küld-e mellékleteket, anélkül hogy egy személyes postaládát töltenének fel.
Légy tisztában a korlátokkal. Az ideiglenes cím a címedet védi, nem az eszközödet. Amint letöltesz egy fájlt, a cikk minden ellenőrzése teljes mértékben érvényes. Az ideiglenes postaládák nem szerződésekhez, személyazonosító okmányokhoz, orvosi vagy pénzügyi nyilvántartásokhoz valók, és nem alkalmasak banki, hatósági szolgáltatásokhoz vagy bármilyen fiókhoz, amelyet helyre kell állítanod. Bárki megnyithatja a postaládát, aki ismeri vagy kitalálja a címet, ezért a véletlenszerű cím a biztonságosabb választás, és semmi bizalmas nem való oda.
A VookMailen a cím kész, amikor az oldal betöltődik, regisztráció nélkül. A mellékletek működnek a méretkorlátokon belül, és a postaláda megjeleníti az üzenetet, és felsorolja a fájlokat anélkül, hogy bármit futtatna. A gyakori programfájlokat, például az .exe-t, a .bat-ot és az .apk-t elutasítja, az archívumok, például a .zip figyelmeztetést mutatnak, ami hasznos emlékeztető a fenti archívumlépések alkalmazására. A domainjeink egy levélkézbesítő szolgáltatón keresztül fogadják a leveleket, amely HTTPS-en továbbítja nekünk. Az üzenetek és mellékletek körülbelül egy nap után törlődnek, ezért töltsd le gyorsan, amire szükséged van, és ne kezeld tárhelyként a postaládát. Az adatvédelmi irányelv és a módszertani oldal részletesebben elmagyarázza a kezelést.
A QR gomb a mellékletekkel való óvatosságban is segíthet. A címedet kódként mutatja, amelyet egy másik eszközön beolvashatsz, ahol az Új és ugyanaz a cím és domain megnyitja azt a postaládát, így ha egy kétes fájlt inkább telefonon vagy tartalék eszközön néznél meg, mint a fő számítógépeden, megteheted. Egy szándékosan letöltött fájlnak továbbra is egyeznie kell azzal, amit ígértek neked. Ha egy oldal PDF-útmutatót kínált, te pedig egy parancsikont tartalmazó ZIP-et kaptál, töröld.
Hibák, amelyeket érdemes elfelejteni
- Egy gyanús fájl továbbítása egy kollégának „ellenőrzésre”. Ez terjeszti a kockázatot. Használd inkább a szervezeted jelentési útvonalát.
- Egy archívum kicsomagolása, hogy lásd, mi van benne, amikor a tartalom listázása megmondta volna.
- Az ugyanabban az e-mailben megadott jelszó használata. Ez megadja a támadónak, amit akart, egy fájlt, amelyet a vizsgálód sosem látott.
- A Szerkesztés engedélyezése gombra kattintás megszokásból. Egy dokumentumnál, amelyet csak olvasni kell, semmi nem nyerhető vele.
- A tiszta vizsgálat bizonyítéknak tekintése. Azt jelenti, hogy ma egyetlen vizsgáló sem ismerte fel a fájlt.
- Bizalmas fájlok feltöltése nyilvános vizsgálókra, amelyek harmadik felekkel oszthatnak meg privát adatot.
- A frissítések halogatása. Sok mellékletes kihasználás olyan hibákat céloz, amelyeket az Office, a PDF-olvasók, a böngészők és az operációs rendszerek aktuális verziói már kijavítottak.
- Hallgatás egy rossz kattintás után. Munkahelyi fiókon egy óra csend senkinek sem használ, csak a támadónak.
Gyakori kérdések
Kaphatok vírust pusztán attól, hogy megnyitok egy e-mailt?
Frissített levelezőalkalmazásban egy üzenet megnyitása és elolvasása nagyon valószínűtlenül fertőz meg egy eszközt. A veszély általában akkor kezdődik, amikor megnyitsz vagy futtatsz egy mellékletet, engedélyezed a makrókat vagy rákattintasz egy linkre. A képek betöltése viszont elárulhatja a feladónak, hogy megnyitottad az üzenetet, ami adatvédelmi kérdés, nem fertőzés.
Megvéd a vírusirtó minden rosszindulatú melléklettől?
Nem. A vírusirtók és levélszűrők az ismert fenyegetések nagy részét elfogják, de az új vagy testre szabott fájlok átjuthatnak, és egy hamis bejelentkezési oldal egyáltalán nem tartalmazhat kártevőt. A vizsgálat egy réteg a feladó ellenőrzése, a fájltípusok ismerete, a blokkolt makrók és a frissítések mellett.
Megbízzak egy mellékletben, mert egy barátomtól jött?
Bízz a személyben, és az üzenetet így is ellenőrizd. A fiókokat eltérítik, ezért egy különös fájl egy olyan baráttól, aki szokatlanul rövid üzenetet írt, megér egy gyors üzenetet, hogy ők küldték-e.
Biztonságosabb egy gyanús fájlt a telefonomon megnyitni?
Lehet, a Windows-programok esetében, amelyek ott nem futnak. A hamis bejelentkezési oldalak ellen nem tesz semmit, és ezek a valószínűbb fenyegetések egy PDF-ben vagy HTML-fájlban. A telefon más kockázatot jelent, és ha valódi elkülönítést szeretnél, a tartalék eszköz vagy a sandbox a jobb választás.
Biztonságos mellékleteket fogadni egy ideiglenes postaládában?
A fogadás ugyanolyan, mint bármelyik postaládában, mert a szolgáltatás tárolja és megjeleníti a fájlt, és nem futtatja. Az számít, mi történik a letöltés után. Alkalmazd ugyanazokat az ellenőrzéseket, és tartsd távol a bizalmas dolgokat egy olyan postaládától, amelyet mások megnyithatnak, ha kitalálják a címet.