Wyobraź sobie małą drukarnię o 18:40 w piątek. Przychodzi e-mail od dostawcy papieru, któremu drukarnia płaci co miesiąc, w tym samym wątku co zamówienie z zeszłego miesiąca. Pisze: „Zaktualizowana faktura w załączniku, prosimy o realizację przed weekendem”, a załącznik nazywa się Invoice_4471.zip. Dostawca jest prawdziwy i wątek jest prawdziwy. Ale ten dostawca zawsze wysyłał zwykłe pliki PDF, nikt w drukarni nie spodziewał się korekty, a pracownicy księgowości w tej firmie zwykle nie piszą w piątkowy wieczór.
Właściwy ruch to zostawić ten plik zamknięty, dopóki ktoś u dostawcy nie potwierdzi go pod numerem telefonu, który drukarnia już ma. Ogólna zasada: załącznik jest względnie bezpieczny, gdy go oczekiwałeś, nadawca się zgadza, a typ pliku pasuje do historii. Zasługuje na poważną podejrzliwość, gdy zawiedzie którykolwiek z tych warunków, a niebezpieczeństwo zwykle zaczyna się, gdy coś uruchamiasz, rozpakowujesz lub „włączasz”, a nie gdy czytasz wiadomość. Większość tego artykułu dotyczy tego, jak szybko dokonać tych trzech ocen i jak ograniczyć szkody, gdy się nie da.
Rozbiór piątkowej faktury
Powyższy przykład jest przydatny, bo zwykła rada na nim zawodzi. „Nie otwieraj plików od nieznajomych” nie pomaga, gdy nadawcą jest ktoś, komu płacisz. Spójrz więc na to, co faktycznie się zmieniło. Zmienił się format, z PDF na skompresowane archiwum. Zmieniła się pora. Wiadomość naciska na działanie przed weekendem, gdy nikt nie może łatwo tego sprawdzić. Każda z tych rzeczy mogłaby mieć niewinne wyjaśnienie, ale razem wystarczą, by się zatrzymać i zweryfikować.
Dalej pojawia się możliwość, o której właściciel może nie pomyśleć: wiadomość mogła naprawdę przyjść ze skrzynki dostawcy. Przestępcy, którzy włamią się na jedno konto, często odpowiadają w istniejących rozmowach, bo stary wątek niesie zaufanie, jakiego nie ma zimna wiadomość. Nazywa się to przejęciem wątku (thread hijacking). Oznacza to, że poprawny adres nadawcy i znajomy temat o niczym nie przesądzają, i dlatego ostatnia kontrola musi odbyć się poza e-mailem.
Rozsądna kolejność dla właściciela wyglądałaby tak:
- Nie odpowiadaj na wiadomość z pytaniem, czy jest prawdziwa. Jeśli skrzynka jest przejęta, odpowiedź trafi do osoby prowadzącej oszustwo.
- Znajdź numer dostawcy na starej papierowej fakturze, w umowie albo w kontaktach telefonu. Nie używaj numeru ze stopki e-maila.
- Zadaj proste pytanie: „Czy wysłaliście dziś skorygowaną fakturę?”. Jeśli biuro jest zamknięte, faktura poczeka do poniedziałku. Prawdziwy dostawca przyjmie płatność w poniedziałek znacznie chętniej niż przestępca.
- Jeśli dostawca ma portal internetowy, zaloguj się, wpisując jego adres, i zobacz, czy faktura tam jest.
- Jeśli odpowiedź brzmi nie, ostrzeż dostawcę, że jego skrzynka może być przejęta, a potem zgłoś i usuń wiadomość.
Ten sam przykład ma cichszy wariant, którego żaden skaner nie wyłapie. Załącznik może być czystym, zwykłym plikiem PDF z całkowicie prawdziwą fakturą ze zmienionym jednym szczegółem: kontem bankowym. Nie ma tu złośliwego oprogramowania, a plik jest nieszkodliwy dla komputera, a mimo to pieniądze trafiają w złe miejsce. Każda zmiana danych do płatności zasługuje na ten sam telefon, bez względu na format pliku.
Co próbuje zrobić szkodliwy załącznik
Załączniki pozostają popularne wśród napastników z prostego powodu. Serwisy pocztowe nie mogą odrzucać każdego pliku, bo ludzie muszą wymieniać faktury, CV, umowy i zdjęcia, a odbiorca otwiera plik z własnej woli. Złośliwy plik zwykle dąży do jednego z czterech skutków, a wiedza, który z nich dopuszcza dany format, to większość umiejętności.
- Uruchamia kod bezpośrednio. Program lub skrypt startuje po dwukrotnym kliknięciu i ma takie same uprawnienia jak ty.
- Nakłania inną aplikację do uruchomienia kodu, używając makr, osadzonych obiektów lub błędu w oprogramowaniu.
- Wysyła cię gdzie indziej. PDF lub dokument zawiera tylko przycisk prowadzący na fałszywą stronę logowania, więc plik może być czysty, a atakiem jest cel.
- Zbiera to, co wpisujesz. Załącznik HTML otwiera się w przeglądarce jako lokalna strona imitująca ekran logowania i wysyła twoje hasło komuś innemu.
Zdjęcie JPEG w zaktualizowanej przeglądarce obrazów nie zrobi samo żadnej z trzech pierwszych rzeczy. Skrót systemu Windows może uruchomić wiersz poleceń, pokazując ikonę dokumentu. Ta różnica między formatami tłumaczy poniższą tabelę.
Typy plików uszeregowane według tego, co potrafią
Oceny zakładają, że plik przyszedł od nieznanego lub nieoczekiwanego nadawcy. To ocena oparta na tym, do czego zdolny jest każdy format, a kontekst może podnieść lub obniżyć plik. Arkusz .xlsm od twojego księgowego w sezonie podatkowym jest normalny. Ten sam plik z nieznanego adresu o niedoręczonej przesyłce już nie.
| Rozszerzenia | Co to jest | Ryzyko | Dlaczego |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Programy i instalatory Windows | Bardzo wysokie | Uruchamiają kod z twoimi uprawnieniami. „Wygaszacz ekranu” .scr to zwykły program. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Skrypty | Bardzo wysokie | Windows ma wbudowane interpretery do nich. Obcy prawie nigdy nie ma dobrego powodu, by je wysłać. |
| .lnk | Skrót systemu Windows | Bardzo wysokie | Może uruchomić polecenie z argumentami za niewinnie wyglądającą ikoną. |
| .iso, .img, .vhd, .vhdx | Obrazy dysków | Wysokie | Dwukrotne kliknięcie montuje je jak dysk, a używano ich do pakowania programów i skrótów. |
| .docm, .xlsm, .pptm, .xlam | Pliki Office z włączonymi makrami | Wysokie | Litera „m” oznacza, że plik może zawierać makra VBA. Uczciwe zastosowania istnieją, ale od obcych są rzadkie. |
| .doc, .xls | Starsze formaty Office | Średnie do wysokiego | Mogą zawierać makra bez żadnej wskazówki w nazwie i mają długą historię nadużyć. |
| .zip, .rar, .7z, .gz, .tar | Archiwa | Zależy od zawartości | Mogą zawierać wszystko z tej tabeli. Zaszyfrowanych nie da się przeskanować. |
| .html, .htm, .svg | Strony internetowe i obrazy wektorowe | Średnie do wysokiego | Otwierają się w przeglądarce i mogą pokazywać fałszywe formularze logowania, uruchamiać skrypty lub składać plik na miejscu. |
| .one | Notatnik OneNote | Średnie do wysokiego | Używano go do ukrywania skryptów za fałszywym przyciskiem „kliknij, aby wyświetlić”. |
| Przenośny dokument | Niskie do średniego | Głównie bierny, ale może zawierać linki, osadzone pliki i skrypty. | |
| .docx, .xlsx, .pptx | Nowoczesne pliki Office | Niskie do średniego | Nie mogą przechowywać makr VBA, ale mogą zawierać linki, odwołania zewnętrzne i osadzone obiekty. |
| .jpg, .png, .gif, .webp | Obrazy rastrowe | Niskie | Dane bierne. Ryzykiem jest rzadki błąd przeglądarki obrazów, który załatwiają aktualizacje. |
| .txt, .csv | Tekst i dane | Niskie, z jednym zastrzeżeniem | Tekst nie uruchomi się sam, ale CSV otwarty w arkuszu może zawierać formuły, więc odmawiaj na prośby o włączenie zawartości zewnętrznej. |
Dostawcy poczty wykonują część tego sortowania za ciebie. Gmail, na przykład, odrzuca listę typów plików, w której są .exe, .js, .lnk i .iso, a także zagląda do archiwów, gdy może. Outlook również blokuje wiele typów programów i skryptów. Dlatego przestępcy wolą formaty, które filtry muszą przepuścić, i dlatego nietypowy kontener bywa bardziej wymowny niż oczywiście groźna nazwa.
Jak ukrywa się prawdziwy typ pliku
Windows domyślnie ukrywa znane rozszerzenia, przez co najstarszy trik nadal działa. Plik o nazwie invoice.pdf.exe wygląda jak invoice.pdf. Wyłącz to raz, a zostanie wyłączone. W Windows 11 otwórz Eksplorator plików i wybierz Widok, Pokaż, Rozszerzenia nazw plików. W Windows 10 to pole wyboru na karcie Widok. Na Macu wejdź w Finder, Ustawienia, Zaawansowane i zaznacz Pokazuj wszystkie rozszerzenia nazw plików.
Inne przebrania wymagają większej uwagi. Długie nazwy dopełnione spacjami, takie jak statement.pdf .js, wypychają prawdziwą końcówkę poza wąską kolumnę. Znak sterujący Unicode, nadpisanie kierunku od prawej do lewej (U+202E), może odwrócić sposób wyświetlania końca nazwy, więc plik naprawdę kończący się na .exe może wyglądać, jakby kończył się na .pdf. Programy i skróty mogą też mieć dowolną ikonę, w tym PDF lub Worda, więc ikona niczego nie dowodzi.
Sam e-mail też może kłamać. Każdy załącznik ma deklarowany typ zawartości, taki jak application/pdf, ale tę etykietę wybiera nadawca. To, co dzieje się na twoim urządzeniu, zależy od prawdziwego formatu i rozszerzenia pliku. Sprawdź więc kolumnę Typ lub Właściwości pliku w Windows, Pobierz informacje na Macu oraz widok szczegółów w menedżerze plików na telefonie.
Dokumenty Office i dwa kolorowe paski
Pliki Office zasługują na osobną sekcję, bo są wszędzie i od dziesięcioleci są nadużywane. Makro to mały program napisany w Visual Basic for Applications, zapisany wewnątrz dokumentu, który może automatyzować przydatną pracę albo pobrać i uruchomić coś innego. Format pliku daje częściową wskazówkę: .docx i .xlsx nie mogą przechowywać makr VBA, a .docm i .xlsm mogą, i starsze pliki .doc i .xls też mogą, nie mówiąc o tym.
Gdy otwierasz plik z internetu lub z e-maila w Office dla Windows, zwykle spotkasz jeden z dwóch pasków. Żółty należy do Widoku chronionego, który otwiera dokument tylko do odczytu w trybie ograniczonym i oferuje Włącz edytowanie. Dopóki zostajesz w Widoku chronionym, plik ma znacznie mniej możliwości. Możesz go czytać, a w przypadku dokumentu, który musisz tylko przeczytać, nie ma powodu go opuszczać.
Czerwony to baner bezpieczeństwa. Microsoft zmienił Office dla Windows, a wdrażanie zaczęło się w 2022 roku, tak że makra VBA w plikach z internetu są domyślnie blokowane w Wordzie, Excelu, PowerPoincie, Accessie, Project, Publisherze i Visio. Baner mówi, że makra zablokowano, ponieważ źródło pliku jest niezaufane. Według dokumentacji Microsoftu ta zmiana nie obejmuje Office na Macu, na Androidzie i iOS ani w sieci, więc nie zakładaj, że wszędzie jest tak samo.
Blokada zależy od Mark of the Web, znacznika, który Windows dodaje do plików pochodzących z niezaufanej lokalizacji, takiej jak pobranie z przeglądarki lub załącznik e-maila. Człowiek może usunąć znacznik, zaznaczając Odblokuj we Właściwościach pliku, i to daje wyraźny znak ostrzegawczy. Jeśli dokument albo „pomocny” e-mail każe ci kliknąć plik prawym przyciskiem, zaznaczyć Odblokuj i otworzyć ponownie, prowadzą cię obok ochrony. Zamknij go.
Napastnicy odpowiedzieli perswazją. Typowy dokument-pułapka pokazuje rozmytą stronę i zdanie w rodzaju „Ten dokument utworzono w nowszej wersji. Włącz edytowanie i zawartość, aby go zobaczyć”. Żaden prawdziwy dokument nie potrzebuje makr tylko po to, by go przeczytać. Jeśli plik przyszedł od kogoś, kogo nie możesz zweryfikować, potraktuj ten komunikat jako odpowiedź na pytanie, czy jest bezpieczny.
Historia kotka i myszki tłumaczy część dziwnych formatów w tabeli. Obrazy dysków stały się popularne częściowo dlatego, że pliki wewnątrz ISO nie dostawały Mark of the Web, dopóki Microsoft tego nie naprawił w listopadzie 2022 (CVE-2022-41091). Potem wzrosły nadużycia plików OneNote, z osadzonymi skryptami i skrótami za fałszywymi przyciskami, a w 2023 roku Microsoft ogłosił, że OneNote dla Microsoft 365 i detaliczny Office będą blokować osadzone pliki z niebezpiecznymi rozszerzeniami. Każda poprawka popycha napastników do następnego kontenera, więc nieznany format od obcego to dość powodów, by się zatrzymać.
PDF-y, strony internetowe i obrazy
Zdecydowana większość plików PDF jest nieszkodliwa, a realistycznym ryzykiem rzadko jest sprytny exploit. O wiele częściej jest to jednostronicowy PDF z logo i dużym przyciskiem „Zobacz bezpieczny dokument” prowadzącym na fałszywą stronę logowania. PDF może też zawierać własne osadzone pliki, które przeglądarka może zaproponować otworzyć, i może zawierać JavaScript. Czytniki PDF miały przez lata luki bezpieczeństwa, więc aktualizuj swój. Otwarcie nieoczekiwanego PDF-a we wbudowanej przeglądarce aktualnej przeglądarki internetowej to rozsądne ustawienie domyślne, a jeśli używasz Adobe Acrobat Reader i rzadko potrzebujesz skryptów, możesz odznaczyć Włącz JavaScript programu Acrobat w Edycja, Preferencje, JavaScript. PDF, który istnieje tylko po to, by powiedzieć „twój dokument jest gotowy, kliknij tutaj”, to drzwi, a nie dokument.
Załączniki HTML są gorsze, niż wyglądają. Taki plik otwiera się w przeglądarce jako lokalna strona i może pokazać doskonałą kopię ekranu logowania z już wpisanym twoim adresem e-mail. Ponieważ w wiadomości nigdy nie było podejrzanego adresu internetowego, skanery linków w twoim serwisie pocztowym mogą go nigdy nie zobaczyć. Plik HTML może też zbudować plik w przeglądarce z zakodowanych danych i zaoferować go do pobrania, co nazywa się HTML smuggling i potrafi ominąć filtry sprawdzające tylko załączniki. Żadna prawdziwa firma nie potrzebuje, byś logował się z pliku dołączonego do e-maila. Każdą taką stronę traktuj jak phishing i wchodź do usługi, wpisując jej adres.
Pliki SVG wyglądają jak obrazy i są zdefiniowane w XML, co oznacza, że mogą zawierać skrypty i linki. W przeglądarce obrazów zachowują się jak obraz, a w przeglądarce internetowej mogą zachowywać się jak strona. Nieoczekiwany SVG od obcego zasługuje na tę samą wątpliwość co plik HTML.
Zwykłe pliki JPEG, PNG, GIF i WebP to dane bierne, a teoretyczne ryzyko błędu przeglądarki obrazów to właśnie to, czym zajmują się aktualizacje systemu. Praktyczne ryzyko jest inne: obraz może być po prostu przynętą, na przykład „zrzutem ekranu” faktury z poleceniem zadzwonienia pod numer telefonu. Plik jest bezpieczny, a instrukcje w nim nie.
Archiwa: oceniaj zawartość, a nie opakowanie
Plik ZIP nie jest ani bezpieczny, ani niebezpieczny. Jest dokładnie tak bezpieczny jak to, co w środku. Archiwa pasują napastnikom, bo wiadomość pokazuje tylko „documents.zip”, a prawdziwy typ pliku pozostaje ukryty, i bo archiwum w archiwum albo rzadszy format potrafi zmylić niektóre skanery.
Szyfrowanie dodaje dalszy problem. Narzędzia bezpieczeństwa poczty nie widzą wnętrza archiwum chronionego hasłem, dlatego wiadomość zawierająca zaszyfrowane archiwum i jego hasło razem to klasyczny wzorzec. Pomyśl, co ten układ daje: żadnej tajemnicy, bo każdy, kto ma e-mail, ma hasło, a jedyne, co robi niezawodnie, to oślepia skaner. Prawdziwy nadawca, który szyfruje plik, zwykle przekazuje hasło inaczej, na przykład telefonicznie albo w osobnym czacie.
Jeśli zweryfikowałeś, że archiwum powinno istnieć, i nadal chcesz zajrzeć do środka:
- Otwórz archiwum, by zobaczyć listę plików, niczego nie rozpakowując. Eksplorator plików w Windows i programy archiwizujące, takie jak 7-Zip, potrafią pokazać listę. Mac zwykle rozpakowuje domyślnie po dwukrotnym kliknięciu, więc użyj tam narzędzia do archiwów.
- Przeczytaj każdą nazwę i rozszerzenie. Jeden
.lnk,.js,.exelub.isow czymś opisanym jako papierkowa robota kończy sprawę, więc usuń archiwum. - Sprawdź, czy zawartość pasuje do historii. „Poradnik w PDF” powinien być PDF-em, a nie folderem ze skrótem.
- Rozpakuj tylko ten konkretny plik, którego potrzebujesz, a potem zastosuj te same kontrole do tego pliku.
Sprawdzanie nadawcy, w skrócie
Plik to połowa ataku, a wiarygodna historia wokół niego to druga połowa. Nasz poradnik o rozpoznawaniu e-maili phishingowych omawia to szczegółowo, więc tu są kontrole najważniejsze dla załączników.
Zacznij od prawdziwego adresu, bo nazwę wyświetlaną każdy może ustawić na cokolwiek. „Dział księgowości” może być billing@example-pay.example. Na komputerze najedź na nazwę lub kliknij ją, a na telefonie dotknij linii nadawcy. Szukaj domen z dodanymi słowami, myślnikami lub zamienionymi literami („rn” udające „m”), darmowych adresów webmail podających się za dział rozliczeń lub prawny firmy oraz domeny, która nie pasuje do strony, którą już znasz.
Potem sprawdź, dokąd trafiłaby odpowiedź. Wiadomość może przyjść z jednego adresu, a odpowiedzi kierować na inny. Listy mailingowe i systemy zgłoszeń, a także newslettery, które zasubskrybowałeś, czasem robią to z zwykłych powodów, ale osobiście wyglądająca notka o pilnej płatności nie powinna.
Kontrola techniczna zajmuje minutę. W Gmailu otwórz menu z trzema kropkami i wybierz Pokaż oryginał. W Outlooku w przeglądarce użyj Widok, Wyświetl źródło wiadomości. Szukaj spf=pass, dkim=pass i dmarc=pass. SPF wymienia, które serwery mogą wysyłać w imieniu domeny, DKIM to podpis kryptograficzny pokazujący, że domena autoryzowała wiadomość i nie została ona zmieniona, a DMARC wiąże te wyniki z widoczną domeną w polu Od i mówi odbiorcom, co robić w razie niepowodzenia. Czytaj wyniki tylko w jedną stronę. Niepowodzenie przy wiadomości podającej się za pochodzącą z twojego banku to mocne ostrzeżenie. Pozytywny wynik nie czyni wiadomości bezpieczną, bo przestępcy mogą zarejestrować domenę-sobowtóra i poprawnie ją uwierzytelnić, a przejęta skrzynka przechodzi każdą kontrolę.
Zostaje pytanie, na które żaden nagłówek nie odpowie: czy to pasuje do prawdziwej rozmowy? Chciałbyś móc powiedzieć, że spodziewałeś się tego pliku od tej osoby w tej sprawie i że zawiera szczegóły, które możesz zweryfikować na swoim koncie. Presja działa przeciwko temu. Pośpiech, tajemnica i strach („postępowanie prawne”, „nikomu nie mów”, „konto zamknięte dziś”) razem z plikiem to zwykły wzorzec. W razie wątpliwości skontaktuj się z nadawcą, używając danych, które miałeś, zanim ta wiadomość przyszła. Jeśli faktura jest prawdziwa, będzie też na twoim koncie.
Gdy musisz otworzyć plik od kogoś nowego
Czasem plik jest całym sensem: CV kandydata, pierwsza wycena dostawcy, odpowiedź na coś, co wystawiłeś na sprzedaż. Celem jest wtedy zobaczenie treści przy jak najmniejszej mocy pliku. Te opcje idą od najmniejszego do największego wysiłku i większość ludzi zatrzyma się na drugiej lub trzeciej.
Zapytaj, czy w ogóle musisz go otwierać. Jeśli plik jest nieoczekiwany, a historia ogólnikowa, usunięcie kosztuje niewiele, bo prawdziwi nadawcy odezwą się ponownie.
Użyj podglądu swojego serwisu pocztowego. Serwisy webmail często renderują pliki PDF, obrazy i dokumenty Office na własnych serwerach, więc plik jest wyświetlany, a nie uruchamiany na twoim urządzeniu. Najpierw podgląd, pobieraj tylko jeśli musisz. To pojedynczy najprzydatniejszy nawyk dla każdego, kto w pracy dostaje pliki od obcych.
Otwieraj dokumenty tylko do odczytu. Pozostanie w Widoku chronionym albo otwarcie pliku w internetowym pakiecie biurowym ogranicza jego możliwości. Zostaw w spokoju Włącz edytowanie i Włącz zawartość.
Przeskanuj go. W Windows możesz kliknąć zapisany plik prawym przyciskiem i przeskanować go w Microsoft Defender, a inne produkty bezpieczeństwa oferują to samo. Dla pliku, który nie zawiera niczego prywatnego, wieloskanerowy serwis online, taki jak VirusTotal, daje drugą opinię. Pliki wysłane do takich usług mogą być udostępniane firmom zajmującym się bezpieczeństwem i badaczom, więc nigdy nie wysyłaj umów, dokumentów tożsamości, faktur ani niczego poufnego. Czysty wynik też nie jest gwarancją, bo nowy lub dostosowany plik może jeszcze nie być przez nic wykrywany.
Poproś o inny format. Prawdziwy kandydat może przesłać CV ponownie jako standardowy PDF. Klient może wkleić tekst do treści e-maila. Prośba nic nie kosztuje, a ktoś, kto próbuje dostarczyć konkretny plik, zwykle się opiera.
Użyj odizolowanego środowiska do wszystkiego nietypowego. Windows Sandbox jest dostępny w edycjach Pro, Enterprise i Education systemu Windows, włącza się go przez Włącz lub wyłącz funkcje systemu Windows i wymaga włączonej wirtualizacji. Daje jednorazowy pulpit, a wszystko w środku jest odrzucane po zamknięciu. Domyślnie nadal ma dostęp do sieci, chyba że wyłączysz to w pliku konfiguracyjnym, więc plik uruchomiony w środku może sięgnąć do internetu i nie powinieneś się tam do niczego logować. Maszyna wirtualna lub zapasowe urządzenie służą temu samemu celowi.
Szybki test przed dwukrotnym kliknięciem
Przejdź przez to, gdy coś wydaje się nie tak. Dwie lub więcej niepokojących odpowiedzi to dość powodów, by usunąć wiadomość lub najpierw ją zweryfikować.
- Czy znam tego nadawcę i czy spodziewałem się tego pliku teraz?
- Czy prawdziwy adres i domena zgadzają się z tym, za kogo się podaje?
- Czy to typ pliku, jakiego spodziewałbym się przy tym temacie?
- Czy plik jest w kontenerze, zwłaszcza chronionym hasłem?
- Czy wiadomość wymusza pośpiech, tajemnicę, płatność lub logowanie?
- Czy dokument prosi mnie o włączenie edytowania, zawartości lub makr?
- Czy mogę to najpierw potwierdzić osobnym kanałem?
Telefony i Maki są inne, ale nie odporne
Programy i skrypty Windows po prostu nie działają na iOS ani Androidzie, a systemy mobilne zamykają aplikacje ściślej niż tradycyjne systemy komputerowe. To usuwa dużą klasę zagrożeń. Ale telefony mają własne słabości, a phishing działa co najmniej tak samo dobrze na małym ekranie, gdzie pełne adresy są ukryte, a fałszywy przycisk logowania wygląda jak każdy inny.
Na Androidzie głównym ryzykiem plikowym jest APK, pakiet aplikacji wysłany jako załącznik. Można go zainstalować tylko wtedy, gdy zezwoliłeś aplikacji, która go otworzyła, na instalowanie nieznanych aplikacji. Sprawdź to w Ustawienia, Aplikacje, Specjalny dostęp do aplikacji, Instalowanie nieznanych aplikacji, choć dokładna ścieżka różni się między producentami. Zostaw to wyłączone dla aplikacji pocztowej i przeglądarki i instaluj aplikacje tylko z oficjalnych sklepów. Na iPhonie i iPadzie uważaj na profile konfiguracyjne, które mogą zmieniać ustawienia, takie jak VPN i zaufane certyfikaty. Zainstalowane profile są w Ustawienia, Ogólne, VPN i zarządzanie urządzeniem. Nie instaluj żadnego dlatego, że prosił o to e-mail.
Aplikacje pocztowe na telefonach też zwykle ukrywają pełny adres nadawcy i rozszerzenie pliku, więc trzeba dotknąć, by je odsłonić. Jeśli plik wygląda na ważny, a nie możesz wygodnie przeczytać jego szczegółów, poczekaj, aż będziesz przy większym ekranie. Bardzo niewiele uczciwych załączników nie może poczekać godziny.
Maki mają własną ochronę, Gatekeeper, który sprawdza pobrane aplikacje przed pierwszym uruchomieniem i ostrzega przed oprogramowaniem od niezidentyfikowanego programisty. Oszukańcze instrukcje czasem każą obejść to ostrzeżenie, otwierając plik inaczej albo wklejając polecenie do Terminala. Traktuj te instrukcje tak samo jak „Włącz zawartość” w dokumencie Worda. Uważaj na pliki .dmg, .pkg, .app i .command od obcych, które są macowymi odpowiednikami pierwszych wierszy tabeli.
Ustawienia, które zmieniają szanse
Żadne z nich nie wymaga specjalistycznych narzędzi. Przejście tej listy raz zajmuje tyle co przerwa na kawę, a większości nigdy nie trzeba powtarzać.
| Ustawienie | Gdzie | W czym pomaga |
|---|---|---|
| Pokazuj rozszerzenia nazw plików | Menu Widok Eksploratora plików; Ustawienia Findera, Zaawansowane | Podwójne rozszerzenia i zamaskowane pliki |
| Automatyczne aktualizacje | Ustawienia systemu i sklepu z aplikacjami | Znane luki w przeglądarkach obrazów, przeglądarkach i Office |
| Włączone oprogramowanie zabezpieczające | Zabezpieczenia Windows lub wybrany produkt | Znane złośliwe oprogramowanie przy zapisie lub otwarciu plików |
| Widok chroniony i blokada makr | Office: Plik, Opcje, Centrum zaufania, Ustawienia Centrum zaufania (normalnie włączone) | Dokumenty uruchamiające kod bez twojej decyzji |
| Blokada instalacji nieznanych aplikacji | Android: Specjalny dostęp do aplikacji | Pliki APK otrzymane e-mailem |
| Standardowe konto bez uprawnień administratora do codziennej pracy | Ustawienia kont systemu | Łatwe zdobycie przez złośliwe oprogramowanie praw w całym systemie |
| Logowanie wieloskładnikowe na ważnych kontach | Strona bezpieczeństwa każdego konta | Przejęcie konta po kradzieży hasła |
| Osobny adres do rejestracji | Adres dodatkowy, alias lub skrzynka tymczasowa | Zamianie głównej skrzynki w cel |
Typowe załączniki i jak zwykle się mylą
Poniższe sytuacje to przykłady często spotykanych wzorców. W każdej liczy się różnica między tym, jak prawdziwa rzecz zwykle przychodzi, a tym, na co patrzysz.
| Deklaracja | Jak wygląda prawdziwa rzecz | Co powinno cię zatrzymać | Co zrobić |
|---|---|---|---|
| Faktura od firmy, z której nie korzystasz | Miałbyś konto lub zamówienie | Brak relacji, a często archiwum, plik HTML lub dokument z makrami | Usuń ją |
| Faktura od firmy, z której korzystasz | Widoczna na koncie, w zwykłym formacie | Nowy format, nowe dane bankowe, dziwna pora | Zaloguj się bezpośrednio lub zadzwoń pod znany numer |
| „Podgląd” udostępnionego dokumentu | Link z serwisu udostępniania, otwierający się tam, gdzie już jesteś zalogowany | Załączony plik HTML ze stroną logowania | Wejdź do usługi sam i poszukaj udostępnienia |
| CV lub portfolio | Standardowy PDF lub dokument | Archiwum, dokument z makrami lub link do dziwnej strony pobierania | Zobacz podgląd i poproś o standardowy format |
| Poczta głosowa lub powiadomienie o faksie | Wiele central telefonicznych wysyła plik audio, taki jak WAV lub MP3 | HTML, archiwum lub program | Sprawdź portal swojej centrali |
| Pilny plik od „kierownika” | Zwykłe kanały i zwykły ton | Tajemnica, pośpiech, prośba o płatność | Potwierdź telefonicznie lub osobiście |
| Nowy załącznik w starym wątku | Napisany głosem tej osoby i na temat | Ogólnikowe „proszę zobaczyć w załączniku”, typ pliku, którego nigdy nie wysyła | Skontaktuj się z nią osobno przed otwarciem |
Wiersz o kandydacie wymaga słowa dla każdego, kto zatrudnia. Rekrutacja to dokładnie ten przypadek, w którym nieznani ludzie mają ci wysyłać pliki, dlatego napastnicy ją naśladują. Opublikowana zasada „tylko PDF, bez archiwów i linków” nie kosztuje prawdziwych kandydatów nic i usuwa większość ryzyka, zanim cokolwiek przyjdzie.
Dla małych zespołów
Jeśli zajmujesz się pocztą dla zespołu, kilka zabezpieczeń zmniejsza zależność od oceny jednej osoby w ruchliwe popołudnie. Skonfiguruj serwis pocztowy tak, by blokował typy wysokiego ryzyka, takie jak programy i skrypty, i wstrzymywał do przeglądu archiwa chronione hasłem z zewnątrz. Opublikuj SPF, DKIM i DMARC dla własnej domeny, by trudniej było sfałszować twoją nazwę, i czytaj raporty DMARC, by zobaczyć, kto wysyła jako ty. Widoczny baner na wiadomościach spoza organizacji pomaga zauważyć, że „szef” pisze skądinąd.
Wewnętrznie udostępnione linki z zaufanej platformy są lepsze niż załączniki, bo wtedy każdy załącznik z zewnątrz się wyróżnia. Ustalcie spisaną zasadę, że zmiana danych bankowych jest zawsze potwierdzana telefonicznie, pod numerem już znanym, bez względu na to, kto prosi i jak pilne się to wydaje. I daj pracownikom sposób zgłaszania podejrzanej poczty jednym kliknięciem, a osobom, które z niego korzystają, dziękuj, także tym, które już kliknęły. Ktoś zawstydzony do milczenia daje intruzowi godziny dodatkowego czasu.
Jeśli już go otworzyłeś
Ostrożni ludzie też popełniają ten błąd, zwykle gdy są zmęczeni lub zajęci. Pierwsze minuty się liczą, a to, co zrobisz, zależy od tego, co faktycznie się stało.
Otworzyłeś obraz lub PDF w zaktualizowanej przeglądarce i niczego nie kliknąłeś. Realistyczne ryzyko jest niskie. Uruchom skan i działaj dalej, zachowując czujność na wiadomości następcze.
Coś uruchomiłeś, rozpakowałeś lub włączyłeś makra. Wykonaj te kroki po kolei:
- Zamknij plik i przestań odpowiadać na jego komunikaty. Nie wpisuj żadnych haseł.
- Wyłącz Wi-Fi albo odłącz kabel sieciowy. To może powstrzymać złośliwe oprogramowanie przed pobraniem kolejnych składników lub wysłaniem danych.
- Na urządzeniu służbowym zgłoś to od razu z innego urządzenia i nie próbuj czyścić go samodzielnie. Wczesne zgłoszenia pozwalają działowi IT lub bezpieczeństwa opanować problem, zanim się rozszerzy.
- Uruchom pełny skan. W Zabezpieczeniach Windows wejdź w Ochrona przed wirusami i zagrożeniami, Opcje skanowania, gdzie Skanowanie offline w programie Microsoft Defender restartuje komputer i skanuje przed załadowaniem Windows.
- Z innego, czystego urządzenia zmień ważne hasła, zaczynając od poczty, bo poczta resetuje wszystko inne. Potem bankowość i wszystko, gdzie ostatnio logowałeś się na zaatakowanej maszynie.
- Przejrzyj ostatnie logowania konta e-mail, reguły przekazywania, filtry i połączone aplikacje. Napastnicy czasem dodają ukrytą regułę, by dalej dostawać twoją pocztę po zmianie hasła.
- Włącz logowanie wieloskładnikowe albo potwierdź, że nadal jest włączone, dla ważnych kont.
Wpisałeś hasło na stronie, którą otworzył załącznik. Potraktuj to hasło jako skradzione. Zmień je na prawdziwej stronie, wpisując adres samodzielnie, i zmień wszędzie, gdzie je używasz.
Wpisałeś dane karty. Zadzwoń do banku lub wydawcy karty pod numer wydrukowany na karcie i poproś o jej zablokowanie.
Urządzenie nadal zachowuje się dziwnie. Nowe programy, wyłączone narzędzia bezpieczeństwa i przekierowania w przeglądarce to oznaki, że skan nie wystarczył. Przywrócenie z kopii zapasowej o znanej dobrej zawartości albo przeinstalowanie systemu to niezawodna naprawa i dlatego trzymanie kopii offline lub z wersjami jest w praktyce częścią bezpieczeństwa załączników.
Gdzie pasuje skrzynka tymczasowa, a gdzie nie
Wszystko powyżej działa po tym, jak ryzykowna wiadomość do ciebie dotarła. Prywatność skrzynki działa wcześniej, ograniczając, kto w ogóle może dotrzeć do twojego ważnego adresu. Każdy serwis przechowujący twój prawdziwy adres może go wyciec, sprzedać lub mieć wyciek. Zmniejszenie tego narażenia oznacza mniej nieznanych nadawców później, co też ułatwia zauważenie rzadkiego nieoczekiwanego pliku. Nasz artykuł o porządkowaniu prywatnej poczty wyjaśnia, jak dzielić adresy według poziomu zaufania.
Skrzynka tymczasowa to jedno z narzędzi dla najniższego poziomu. Jeśli użyjesz jej do jednorazowego pobrania albo jednego pytania na forum, tam gdzie regulamin serwisu na to pozwala, ten nadawca nigdy nie pozna twojego głównego adresu. Nasz poradnik o rejestracji bez prawdziwego e-maila omawia, kiedy to właściwe, a kiedy właściwym wyborem jest stały adres. Programiści używają też skrzynek tymczasowych, by sprawdzić, czy ich własna aplikacja poprawnie wysyła załączniki, bez zapełniania osobistej skrzynki.
Bądź jasny co do ograniczeń. Adres tymczasowy chroni twój adres, a nie twoje urządzenie. Gdy pobierzesz plik, w pełni obowiązują wszystkie kontrole z tego artykułu. Skrzynki tymczasowe nie są do umów, dokumentów tożsamości, dokumentacji medycznej ani finansowej, nie nadają się do bankowości, usług urzędowych ani żadnego konta, które musisz odzyskać. Każdy, kto zna lub odgadnie adres, może otworzyć tę skrzynkę, więc bezpieczniejszym wyborem jest adres losowy i nic poufnego tam nie należy.
W VookMail adres jest gotowy po załadowaniu strony, bez rejestracji. Załączniki działają, w granicach rozmiaru, a skrzynka wyświetla wiadomość i wymienia pliki, niczego nie wykonując. Popularne pliki programów, takie jak .exe, .bat i .apk, są odrzucane, a archiwa, takie jak .zip, pokazują ostrzeżenie, co jest przydatnym przypomnieniem, by zastosować powyższe kroki dla archiwów. Nasze domeny odbierają pocztę przez dostawcę dostarczania poczty, który przekazuje ją do nas przez HTTPS. Wiadomości i załączniki są usuwane po około dobie, więc pobieraj to, czego potrzebujesz, od razu i nie traktuj skrzynki jako magazynu. Polityka prywatności i strona o metodologii wyjaśniają obsługę dokładniej.
Przycisk QR też może pomóc w ostrożności wobec załączników. Pokazuje twój adres jako kod, który możesz zeskanować na innym urządzeniu, gdzie Nowy oraz ten sam adres i domena otwierają tę skrzynkę, więc jeśli wolisz obejrzeć wątpliwy plik na telefonie albo zapasowym urządzeniu niż na głównym komputerze, możesz. Plik pobrany celowo nadal powinien zgadzać się z tym, co ci obiecano. Jeśli serwis oferował poradnik w PDF, a dostałeś ZIP ze skrótem, usuń go.
Błędy warte oduczenia się
- Przesyłanie podejrzanego pliku koledze „do sprawdzenia”. To rozszerza ryzyko. Użyj zamiast tego drogi zgłaszania w swojej organizacji.
- Rozpakowywanie archiwum, by zobaczyć, co w środku, gdy wystarczyłoby wylistować zawartość.
- Używanie hasła podanego w tym samym e-mailu. To daje napastnikowi to, czego chciał: plik, którego twój skaner nie zobaczył.
- Klikanie Włącz edytowanie z przyzwyczajenia. Przy dokumencie, który musisz tylko przeczytać, nic to nie daje.
- Traktowanie czystego skanu jako dowodu. Oznacza on, że dziś żaden skaner nie rozpoznał pliku.
- Wysyłanie poufnych plików do publicznych skanerów, które mogą udostępniać prywatne dane osobom trzecim.
- Odwlekanie aktualizacji. Wiele exploitów na załączniki celuje w luki już naprawione w aktualnych wersjach Office, czytników PDF, przeglądarek i systemów operacyjnych.
- Milczenie po nieudanym kliknięciu. Na koncie służbowym godzina milczenia nikomu nie pomaga poza napastnikiem.
Pytania, które często się pojawiają
Czy można złapać wirusa samym otwarciem e-maila?
W zaktualizowanej aplikacji pocztowej otwarcie i przeczytanie wiadomości bardzo rzadko zainfekuje urządzenie. Niebezpieczeństwo zwykle zaczyna się, gdy otwierasz lub uruchamiasz załącznik, włączasz makra albo klikasz link. Ładowanie obrazów może jednak powiedzieć nadawcy, że otworzyłeś wiadomość, co jest kwestią prywatności, a nie infekcji.
Czy antywirus chroni mnie przed wszystkimi złośliwymi załącznikami?
Nie. Antywirus i filtry poczty łapią dużą część znanych zagrożeń, ale nowe lub dostosowane pliki mogą przejść, a fałszywa strona logowania może w ogóle nie zawierać złośliwego oprogramowania. Skanowanie to jedna warstwa obok sprawdzania nadawcy, znajomości typów plików, zablokowanych makr i aktualizacji.
Czy powinienem ufać załącznikowi, bo przyszedł od przyjaciela?
Ufaj osobie, a mimo to sprawdź wiadomość. Konta bywają przejmowane, więc dziwny plik od przyjaciela z niezwykle krótką notką wart jest szybkiego SMS-a z pytaniem, czy to on wysłał.
Czy bezpieczniej jest otworzyć podejrzany plik na telefonie?
Może być, w przypadku programów Windows, które tam nie zadziałają. Nie daje to nic przeciw fałszywym stronom logowania, a to one są bardziej prawdopodobnym zagrożeniem w pliku PDF lub HTML. Telefon to inne ryzyko, a zapasowe urządzenie lub sandbox to lepszy wybór, gdy chcesz prawdziwego oddzielenia.
Czy odbieranie załączników w skrzynce tymczasowej jest bezpieczne?
Odbieranie jest takie samo jak w każdej skrzynce, bo serwis przechowuje i wyświetla plik, a nie uruchamia go. Liczy się to, co dzieje się po pobraniu. Zastosuj te same kontrole i trzymaj wszystko poufne poza skrzynką, którą inni mogą otworzyć, jeśli odgadną adres.