Oto zmyślony przykład, napisany na potrzeby tego artykułu. Jego adresów nie da się osiągnąć, a pokazujemy go tylko po to, byś mógł poćwiczyć jego czytanie.
Przykład wiadomości phishingowej, nieprawdziwy
Od: „Wsparcie skrzynki” <helpdesk@mail-storage-notice.example>
Temat: Twoja skrzynka jest zapełniona w 98%, wiadomości są wstrzymane
Drogi użytkowniku, 14 wiadomości przychodzących nie mogło zostać dostarczonych, ponieważ skończyło się miejsce. Zweryfikuj konto w ciągu 24 godzin, aby je odblokować i uniknąć zawieszenia.
[Odblokuj moje wiadomości]
Zdradzają go: domena nadawcy, która nie należy do nikogo, z kim masz do czynienia, powitanie, które nie zna twojego imienia, termin połączony z groźbą i przycisk, który chce, byś się zalogował. Nic tu nie jest napisane z błędem, a to dziś typowe. Phishing rozpoznajesz, sprawdzając prawdziwy adres nadawcy, czytając, dokąd naprawdę prowadzą linki, traktując z podejrzliwością nieoczekiwane prośby o hasła, pieniądze lub otwarcie pliku oraz potwierdzając wszystko ważne drogą, której już ufasz, a nie przez samą wiadomość.
Phishing to wiadomość podszywająca się pod zaufaną osobę lub organizację, byś oddał dane logowania, zapłacił, zainstalował złośliwe oprogramowanie albo ujawnił informacje przydatne w późniejszym ataku. Porady oparte na złej gramatyce i niezgrabnych logotypach zestarzały się, bo skopiowanie wyglądu marki jest banalne, a narzędzia do tłumaczenia i pisania są dostępne dla każdego. Wiarygodne pozostaje to, o co wiadomość cię prosi, i to, co techniczne dowody mówią o jej pochodzeniu.
Które sygnały zasługują na twoją uwagę
Znaki ostrzegawcze nie są sobie równe. Ten ranking to ocena oparta na tym, jak działają ataki, a nie zmierzona statystyka, ale pokazuje, gdzie poświęcić kilka sekund uwagi.
| Sygnał | Ile mówi | Dlaczego |
|---|---|---|
| Link prowadzi do domeny innej niż deklarowana organizacja | Bardzo dużo | Niezgodność to sedno phishingu na dane logowania |
| E-mail prosi o hasło, jednorazowy kod lub pełny numer karty | Bardzo dużo | Uczciwe usługi nie zbierają tego e-mailem |
| „Pilna” zmiana danych do płatności e-mailem | Bardzo dużo | Standardowy wzorzec oszustwa na e-mail biznesowy |
| Domena nadawcy nie pasuje do organizacji | Dużo | Nadawcy z domenami łudząco podobnymi i darmowymi skrzynkami są powszechni |
| Nieoczekiwane archiwum, plik HTML lub dokument z makrami | Dużo | Częste sposoby dostarczenia złośliwego oprogramowania lub fałszywej strony logowania |
| DMARC nie przechodzi dla deklarowanej domeny | Dużo | Mocny dowód fałszerstwa, choć pozytywny wynik niewiele dowodzi |
| Silny pośpiech lub groźby | Średnio | Częste w phishingu, ale prawdziwe alerty bezpieczeństwa też bywają pilne |
| Ogólnikowe powitanie | Średnio | Używają go masowe kampanie, a celowane zwracają się do ciebie po imieniu |
| Błędy ortograficzne i gramatyczne | Mało do średnio | Współczesny phishing bywa dopracowany, a w prawdziwej poczcie zdarzają się literówki |
| Logo lub układ wygląda nie tak | Mało | Skopiowanie wyglądu marki zajmuje minuty |
Zauważ, że góra tabeli dotyczy celu i prośby, a dół wyglądu. Najbardziej pomocna zmiana myślenia to przestać pytać „czy to wygląda prawdziwie?”, a zacząć pytać „czego to ode mnie chce i jak mogę to sprawdzić bez korzystania z tej wiadomości?”.
Jak poprawnie czytać link
Jeśli z tego artykułu nauczysz się jednej umiejętności technicznej, niech będzie to ta, bo widoczny tekst linku i jego prawdziwy cel to dwie zupełnie osobne rzeczy. Przycisk „Zaloguj się na swoje konto” może prowadzić gdziekolwiek. Na komputerze najedź na link bez klikania i przeczytaj adres, który pojawi się na pasku stanu lub w podpowiedzi. Na telefonie naciśnij link i przytrzymaj, by zobaczyć podgląd, a potem anuluj.
Większość ludzi czyta adresy internetowe od lewej, a napastnicy na tym polegają. O własności decyduje prawy koniec nazwy hosta: zarejestrowana domena razem z końcówką, tuż przed pierwszym pojedynczym ukośnikiem. Wszystko na lewo od niej to subdomena, której właściciel może nadać dowolny tekst. Wszystko po ukośniku to ścieżka, która też może mówić cokolwiek. Weź te cztery przykłady, z których drugi, trzeci i czwarty są zmyślone:
https://accounts.google.com/signinnależy do Google, bo domena togoogle.com.https://accounts.google.com.secure-login.example/signinnależy dosecure-login.example. Nazwa marki to tylko subdomena.https://secure-login.example/accounts.google.com/też należy dosecure-login.example, a marka jest w ścieżce.https://www.paypal.com@203.0.113.7/wykorzystuje stary trik. Wszystko przed znakiem@jest traktowane jako nazwa użytkownika, a prawdziwym celem jest adres IP po nim.
Kilka innych wzorców linków powinno cię zwolnić. Skracacze adresów są dziwne w wiadomości od dużej marki, która nie ma powodu ukrywać własnej domeny. Linki do kreatorów formularzy lub serwisów udostępniania plików z prośbą o „zalogowanie się, by zobaczyć dokument” to ulubiony chwyt, bo strony phishingowe często są hostowane na uczciwych platformach chmurowych. Zaufana nazwa hostingu w adresie nie oznacza więc, że strona jest bezpieczna. Pytanie brzmi, czy domena należy do organizacji, z którą według ciebie masz do czynienia.
Kłódka też nie pomaga w żadną stronę. HTTPS mówi ci, że połączenie jest szyfrowane, a darmowe certyfikaty są dostępne dla wszystkich, także dla przestępców. Fałszywa strona banku z kłódką to szyfrowane połączenie ze złodziejem.
Uważaj też na międzynarodowe sobowtóry. Domeny mogą używać znaków z innych alfabetów, które wyglądają identycznie jak litery łacińskie, na przykład cyrylickie „а” zamiast łacińskiego „a”. Przeglądarki często wyświetlają je w zakodowanej postaci zaczynającej się od xn--, a zobaczenie tego przedrostka tam, gdzie spodziewałeś się znanej marki, to przydatna wskazówka.
Jak czytać nadawcę
Aplikacje pocztowe wyświetlają nazwę nadawcy dużą czcionką i często ukrywają adres, a nazwa wyświetlana to dowolny tekst, który wybiera nadawca. Wiadomość z napisem „Zespół konta Microsoft” może pochodzić z niepowiązanej domeny albo z przypadkowej przejętej skrzynki. Na komputerze najedź na nazwę lub kliknij ją. Na telefonie dotknij jej, by rozwinąć. Potem spójrz na część po znaku @, mając na uwadze te wzorce (domeny są tu przykładowe):
- Zamienione znaki, na przykład
rnzamiastmalbo cyfra1zamiast literyl. - Dodane słowa, na przykład
netflix-billing.example. Marki rzadko używają wariantów swojej nazwy z myślnikiem do poczty o koncie. - Inna końcówka, na przykład
yourbank.cotam, gdzie spodziewasz sięyourbank.com. - Darmowa skrzynka prywatna podająca się za bank, kancelarię prawną albo twojego prezesa.
Potem sprawdź adres do odpowiedzi. Wiadomość może pokazywać wiarygodne pole Od, a w polu Reply-To mieć skrzynkę napastnika, więc twoja odpowiedź pójdzie gdzie indziej. Wiele aplikacji pokazuje adres docelowy po naciśnięciu Odpowiedz, więc spójrz, zanim wyślesz.
Sprawdzanie nadawcy ma wyraźną granicę: nic nie mówi o przejętych kontach. Jeśli skrzynka prawdziwego współpracownika lub dostawcy została przejęta, adres będzie idealny. Wtedy jedynym sygnałem jest sama prośba, co prowadzi nas do następnego punktu.
Prośby, których żaden uczciwy nadawca nie wysyła e-mailem
Niektóre prośby są podejrzane bez względu na to, jak dobrze wygląda reszta wiadomości. Twoje hasło lub PIN. Jednorazowy kod, który dopiero co dostałeś SMS-em lub w aplikacji. Pełny numer karty z kodem bezpieczeństwa. Płatność kartą podarunkową lub kryptowalutą albo przelew na nowe konto. Zdalny dostęp do komputera z powodu problemu, którego nie zgłaszałeś. Poufne pliki lub dane pracowników wysłane na zewnętrzny adres „na potrzeby audytu”.
Prośbę o jednorazowy kod warto zrozumieć, bo wydaje się tak niewinna. Napastnik, który już zna twoje hasło, uruchamia logowanie, co wysyła ci prawdziwy kod z prawdziwej usługi. Potem pisze do ciebie, udając wsparcie, i prosi, byś „potwierdził” ten kod. Każdy, kto prosi o kod, który dostałeś, próbuje zalogować się jako ty.
Częstą przykrywką są też organy państwowe. Amerykański urząd skarbowy IRS, na przykład, deklaruje, że nie inicjuje kontaktu z podatnikami e-mailem, by prosić o dane osobowe lub finansowe, a wiele urzędów skarbowych w innych krajach publikuje podobne ostrzeżenia. Jeśli uważasz, że zwrot lub kara mogą być prawdziwe, wpisz adres urzędu sam i zaloguj się tam.
Dlaczego ostrożni ludzie też dają się nabrać
Phishing celuje bardziej w zachowanie niż w oprogramowanie. Dobrze zrobione wiadomości mają wywołać szybką emocjonalną reakcję, byś działał najpierw, a myślał potem. Oczywistą dźwignią jest pośpiech („konto zamknięte za 24 godziny”), obok strachu („nietypowe logowanie”, „oczekuje postępowanie prawne”) i autorytetu, gdy deklarowanym nadawcą jest prezes, bank lub pomoc techniczna IT. Działają też nagroda i ciekawość, czyli zwroty pieniędzy, nagrody i „zobacz, kto oglądał twój profil”. Jest wreszcie zwykła uczynność, gdy kolega pilnie potrzebuje, żeby ktoś obejrzał plik.
Rutyna może być najsilniejsza ze wszystkich. Fałszywa faktura, awizo dostawy czy udostępniony dokument wyglądają jak dziesiątki prawdziwych, które obsługujesz co tydzień, a najmniej uważasz na to, co robisz na autopilocie. Dlatego celem nie jest podejrzliwość wobec każdego e-maila, której nikt nie utrzyma. Celem jest zauważenie momentu, w którym wiadomość prosi o coś wrażliwego, i w tym momencie przejście z reagowania na sprawdzanie.
Rodzaje ataków i co każdy zmienia
Nazwy są mniej ważne niż wiedza, co dany wariant robi z powyższymi poradami. Niektóre z nich omijają zwykłe kontrole.
| Rodzaj | Co to jest | Co zmienia dla ciebie |
|---|---|---|
| Phishing masowy | Ogólna wiadomość do ogromnych list, na przykład o pełnej skrzynce lub zatrzymanej paczce | Najłatwiejszy do wyłapania, bo rzadko pasuje do twojego życia |
| Spear phishing | Dopasowany do ciebie, z imionami i szczegółami z mediów społecznościowych lub danych z wycieków | Osobiste szczegóły niczego nie dowodzą |
| Whaling | Spear phishing wymierzony w kadrę kierowniczą lub osoby kontrolujące pieniądze | Wysokie stanowisko robi z ciebie cel |
| Business email compromise | Podszywanie się pod albo przejęcie konta kierownika, dostawcy lub współpracownika, by przekierować pieniądze | Często bez linku i bez załącznika, więc skanery nic nie widzą |
| Clone phishing | Prawdziwy wcześniejszy e-mail skopiowany i wysłany ponownie z podmienionym linkiem lub plikiem | Znajoma treść nie jest dowodem |
| Przejęcie wątku | Odpowiedź w prawdziwej rozmowie z przejętej skrzynki | Sprawdzenie nadawcy wypada pomyślnie |
| Quishing | Kod QR zamiast linku | Przenosi cię na telefon, poza ochronę komputera i skanery linków |
| Consent phishing | Złośliwa aplikacja prosi o dostęp na prawdziwym ekranie „Zezwól” | Żadne hasło nie jest kradzione, a strona logowania jest prawdziwa |
| Callback phishing | Fałszywa faktura lub odnowienie podaje numer telefonu, pod który masz zadzwonić | Nie ma w co kliknąć, a oszustwo dzieje się podczas rozmowy |
| Device code phishing | Prosi się cię o wpisanie kodu na prawdziwej stronie logowania, co autoryzuje urządzenie napastnika | Kontrola domeny wypada dobrze, więc wskazówką jest nieoczekiwana prośba |
Ostatnim trzem należy się zdanie praktycznej rady. Czytaj listę uprawnień na każdym ekranie „Zezwól na dostęp” i odmawiaj, jeśli nieznana aplikacja chce czytać twoją pocztę. Nigdy nie dzwoń pod numer wydrukowany w nieoczekiwanej fakturze. I nigdy nie wpisuj kodu na stronie logowania dlatego, że ktoś w e-mailu lub czacie ci tak powiedział, chyba że sam zacząłeś ten proces na urządzeniu, które masz przed sobą.
Przykładowe wiadomości z komentarzem
Wszystkie poniższe są wymyślone na podstawie szeroko opisanych wzorców. Nazwy i domeny są fikcyjne.
Przykład: udostępniony dokument
Tylko przykład
Od: „Jordan (przez Dokumenty)” <jordan.m@partnerfirm-mail.example>
Temat: Jordan udostępnił ci „Harmonogram płatności Q3”
Otwórz w Dokumentach
To naśladuje powiadomienie o udostępnieniu, ale nadawca jest zewnętrznym adresem, którego nie znasz, a przycisk prowadzi na stronę proszącą o hasło do poczty, często z rzędem logotypów dostawców. Prawdziwe powiadomienia przychodzą z domeny samej platformy i otwierają się w sesji, w której już jesteś zalogowany. Jeśli znasz jakiegoś Jordana, zapytaj go. Niezależnie od wszystkiego nie wpisuj hasła na stronie, na którą trafiłeś z e-maila o „udostępnionym pliku”.
Przykład: nowe konto bankowe dostawcy
Tylko przykład
Od: „Dział należności” <ar@supplier-co.example>
Temat: RE: Faktura 4471
Informujemy, że z powodu audytu zmieniły się nasze dane bankowe. Prosimy o użycie nowych danych konta z załącznika przy tej i przyszłych płatnościach. Płatność jest przeterminowana, prosimy o realizację dzisiaj.
Może tu nie być żadnego linku, a wiadomość może pochodzić z prawdziwej, przejętej skrzynki dostawcy w prawdziwym wątku. Każda kontrola techniczna może wypaść dobrze. Czerwoną flagą jest prośba: zmiana danych do płatności e-mailem, w pośpiechu. Zanim cokolwiek zapłacisz, zadzwoń do dostawcy pod numer, który już masz w aktach, a nie pod ten z e-maila ani z jego stopki. Jeśli pieniądze już poszły, zadzwoń od razu do banku i zapytaj o wycofanie płatności, a w Stanach Zjednoczonych zgłoś to na ic3.gov.
Przykład: opłata za paczkę
Tylko przykład
Temat: Twoja paczka jest wstrzymana: nieopłacone cło
Próbowaliśmy dostarczyć twoją przesyłkę. Do ponownego umówienia dostawy potrzebna jest niewielka opłata. Zapłać teraz, aby uniknąć zwrotu do nadawcy.
Niewielka kwota usypia czujność, a celem są pełne dane twojej karty, których można potem użyć do większego oszustwa. Śledź przesyłki, korzystając z numeru ze strony zamówienia sprzedawcy lub z oficjalnej aplikacji kuriera.
Przykład: prezes, który jest „na spotkaniach”
Tylko przykład
Od: „Sam Rivera (prezes)” <sam.rivera.office@freemail.example>
Temat: szybka przysługa
Masz chwilę? Potrzebuję, żebyś dyskretnie załatwił coś dla klienta. Jestem na spotkaniach, więc tylko e-mail.
Prywatna skrzynka, prośba o dyskrecję i „tylko e-mail” razem tworzą ten wzorzec, a dalszy ciąg zwykle prosi o kody kart podarunkowych albo przelew. W samej wiadomości nie ma nic do przeskanowania. Skontaktuj się z prezesem przez firmowy katalog, czat lub telefon i powiadom dział IT.
Przykład: kod QR
Tylko przykład
Temat: Wymagana aktualizacja uwierzytelniania wieloskładnikowego
Twoje ustawienia MFA wygasają dzisiaj. Zeskanuj poniższy kod QR telefonem, aby zarejestrować się ponownie.
Ustawienia uwierzytelniania wieloskładnikowego nie wygasają przez e-mail. Kod przenosi cię na telefon, gdzie adres trudniej sprawdzić, a firmowa ochrona może nie działać. Nie skanuj go. Zapytaj dział IT albo sam zajrzyj w ustawienia bezpieczeństwa konta.
Przykład: zwrot podatku
Tylko przykład
Temat: Przysługuje ci zwrot podatku
Po rocznym rozliczeniu twojej działalności przysługuje ci zwrot. Prześlij formularz w ciągu 48 godzin.
Nieoczekiwany prezent plus formularz pytający o dane tożsamości i karty. Wejdź na oficjalny portal urzędu, wpisując jego adres, albo zadzwoń pod opublikowany numer urzędu.
Przykład: alert o koncie, który jest częściowo prawdziwy
Tylko przykład
Od: „Bezpieczeństwo konta” <no-reply@secure-acct-center.example>
Temat: Wymagane działanie: nietypowa aktywność logowania
Wykryliśmy próbę logowania z nowego urządzenia. Aby konto pozostało aktywne, zweryfikuj swoją tożsamość w ciągu 24 godzin. [Zweryfikuj teraz]
Prawdziwe usługi wysyłają alerty o logowaniu, więc ta kategoria wymaga większej uwagi niż reszta. Tutaj domena jest ogólnikowa, a wiadomość nawet nie wymienia nazwy usługi. Nie rozstrzygaj tego z wnętrza e-maila. Otwórz aplikację usługi albo wpisz jej adres i spójrz na stronę z ostatnią aktywnością. Jeśli nic tam nie ma, e-mail był fałszywy. Ten nawyk działa też przy prawdziwych alertach, bo one też się tam pokażą.
Sprawdzanie nagłówków, gdy nie jesteś pewien
Nagłówki zawierają techniczne dowody pochodzenia wiadomości. W Gmailu otwórz menu z trzema kropkami i wybierz Pokaż oryginał, co daje też krótkie podsumowanie na górze. W Outlooku w przeglądarce użyj Widok, Wyświetl źródło wiadomości. W Apple Mail użyj Widok, Wiadomość, Wszystkie nagłówki.
Za wynikami, które zobaczysz, stoją trzy standardy. SPF pozwala domenie opublikować, które serwery mogą wysyłać jej pocztę, a odbiorca porównuje z tą listą serwer nadawcy. DKIM dodaje podpis kryptograficzny, sprawdzany z kluczem publicznym w DNS domeny podpisującej, co pokazuje, że podpisane części nie zostały zmienione i że domena wzięła na siebie odpowiedzialność. DMARC wiąże je z domeną w widocznym polu Od, co nazywa się dopasowaniem (alignment), i mówi odbiorcom, co robić w razie niepowodzenia: nic, kwarantanna lub odrzucenie. Od 2024 roku Google i Yahoo wymagają od nadawców masowych publikacji rekordu DMARC, przez co te wyniki są częstsze.
Znajdź linię zaczynającą się od Authentication-Results:. Może wyglądać tak, w fikcyjnym przykładzie:
Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example
Tu każda kontrola przechodzi, a wszystkie domeny się zgadzają. Sfałszowana wiadomość może pokazywać dmarc=fail albo pozytywny wynik dla zupełnie innej domeny niż ta w polu Od. Ta tabela pokazuje, jak interpretować to, co znajdziesz.
| Wynik | Co oznacza | Czego nie oznacza |
|---|---|---|
| DMARC pass dla prawdziwej domeny marki | Wysłano przez tę domenę lub w jej imieniu | Nie wyklucza przejętego konta w tej firmie |
| DMARC pass dla domeny-sobowtóra | Napastnik jest właścicielem tej domeny i poprawnie ją skonfigurował | Wiadomość nie jest bezpieczna, a to częste w phishingu |
| DMARC fail dla domeny marki | Mocny znak fałszerstwa albo przekazywania, które zepsuło kontrolę | Listy mailingowe i przekazywanie czasem psują prawdziwą pocztę |
| Brak rekordu DMARC | Domena nie opublikowała żadnej polityki | Sam niczego nie dowodzi, ale fałszowanie tej domeny jest łatwiejsze |
Wniosek jest taki, że uwierzytelnianie mówi, kto wysłał wiadomość, a uczciwość to osobna sprawa. E-mail z idealnymi wynikami z bank-resolution-center.example nadal jest phishingiem. Łączna kontrola, o którą chodzi, to ta, że uwierzytelniona domena jest organizacją, za którą ją uważasz.
Linie Received: zapisują każdy serwer na trasie, z najnowszym na górze. Mogą pokazać, że e-mail „lokalnego banku” zaczął się na niepowiązanym serwerze, ale wszystko poniżej miejsca, w którym wiadomość przejął twój dostawca, można sfałszować, więc ufaj tylko wpisom dodanym przez serwery twojego dostawcy. Dla większości ludzi wystarczy linia uwierzytelniania i sprawdzenie domeny.
Załączniki i obrazy w e-mailu phishingowym
Załączniki dostarczają złośliwe oprogramowanie lub prowadzą do fałszywej strony logowania. Największej ostrożności wymagają archiwa i obrazy dysków, takie jak .zip, .rar, .7z, .iso i .img, pliki HTML otwierające lokalną fałszywą stronę logowania, dokumenty Office z prośbą o „Włącz zawartość” lub „Włącz edytowanie”, podwójne rozszerzenia jak invoice.pdf.exe, skrypty i skróty, takie jak .js, .vbs, .lnk i .bat, oraz pliki PDF zawierające tylko przycisk lub kod QR. Nasz poradnik o bezpieczeństwie załączników wyjaśnia, jak oceniać każdy typ i jak z mniejszym ryzykiem otworzyć wątpliwy plik.
Obrazy działają ciszej. Zdalny obraz może powiedzieć nadawcy, że twój adres jest aktywny, i tak powstają listy „zweryfikowanych” adresów. Jak to działa i które ustawienia temu zapobiegają, wyjaśniamy w artykule o pikselach śledzących w e-mailach. To mały powód, by ustawić aplikację pocztową tak, żeby pytała przed wyświetleniem obrazów zewnętrznych.
Dodatkowa ostrożność na telefonie
Telefony utrudniają to wszystko. Ekran jest mały, adresy są domyślnie ukryte, a podgląd linku wymaga długiego naciśnięcia. Kilka nawyków to równoważy. Dotknij nazwy nadawcy, by odsłonić adres, zanim zaufasz wiadomości. Przytrzymuj linki zamiast je tykać. W przypadku banków, sklepów i sieci społecznościowych otwieraj oficjalną aplikację zamiast iść za czymkolwiek z e-maila. Kody QR w e-mailach traktuj ze szczególną nieufnością, bo skanujesz je tym samym urządzeniem, na którym czytasz. Jeśli aparat pokazuje podgląd adresu przed otwarciem, czytaj go tak samo jak każdy link.
Te same sztuczki docierają też SMS-em i komunikatorami, zwykle nazywane smishingiem, a po e-mailu może zadzwonić telefon, by uwiarygodnić sprawę, co nazywa się vishingiem. Rozmówca, który wspomina o e-mailu, który właśnie dostałeś, niczego nie potwierdził, bo mógł go sam wysłać. Rozłącz się i zadzwoń pod numer, który już masz.
Co zrobić z podejrzaną wiadomością
- Nie klikaj, nie pobieraj, nie skanuj kodu i nie odpowiadaj. Odpowiedź z pytaniem „czy to prawda?” trafia do napastnika, który powie, że tak.
- Sprawdź adres nadawcy i cele linków, jak opisano wyżej.
- Zweryfikuj niezależnie. Otwórz oficjalną aplikację albo wpisz adres. Zadzwoń pod numer z tyłu karty, z faktury, którą już masz, lub z katalogu firmy.
- Zgłoś to swojemu dostawcy. W Gmailu menu z trzema kropkami ma Zgłoś wyłudzanie informacji. W Outlooku poszukaj pod Zgłoś opcji Zgłoś wyłudzanie informacji. W pracy użyj przycisku zgłaszania lub postępuj według instrukcji zespołu bezpieczeństwa i nie przesyłaj wiadomości koleżankom i kolegom z pytaniem, bo to rozsiewa przynętę.
- Zgłoś to organizacji, pod którą ktoś się podszywa, jeśli na swojej stronie bezpieczeństwa publikuje adres do zgłoszeń phishingu. Apple, na przykład, używa reportphishing@apple.com.
- Skorzystaj z publicznej usługi zgłoszeń, jeśli taka istnieje. W Wielkiej Brytanii National Cyber Security Centre przyjmuje przesłane e-maile pod report@phishing.gov.uk. W Stanach Zjednoczonych FTC przyjmuje zgłoszenia pod reportfraud.ftc.gov. Anti-Phishing Working Group przyjmuje przesłane wiadomości pod reportphishing@apwg.org. Inne kraje prowadzą podobne usługi, zwykle przez urząd ochrony konsumentów lub agencję ds. cyberprzestępczości.
- Usuń ją po zgłoszeniu.
Jeśli już kliknąłeś
Kliknięcie to częsta sprawa i zwykle do naprawienia. Nie pozwól, by wstyd cię opóźniał, bo szybkość pomaga tu bardziej niż cokolwiek innego. Znajdź przypadek poniżej, który pasuje do tego, co się stało.
Kliknąłeś i nic nie wpisałeś
Zamknij kartę i nie pobieraj niczego, co oferowała strona. Upewnij się, że przeglądarka i system są zaktualizowane, i uruchom skan bezpieczeństwa, jeśli coś pobrało się samo. Spodziewaj się kolejnych wiadomości, bo kliknięcie mogło potwierdzić, że twój adres jest czytany. W większości przypadków na tym koniec.
Wpisałeś hasło
- Wejdź na prawdziwą stronę, wpisując jej adres, i zmień hasło od razu.
- Zmień je wszędzie, gdzie używałeś tego samego lub podobnego hasła. Jeśli skradzione hasło dotyczyło poczty, potraktuj to jako pilne, bo poczta resetuje wszystko inne.
- Wyloguj się z pozostałych sesji. W koncie Google możesz przejrzeć Twoje urządzenia na stronie bezpieczeństwa i wylogować te, których nie rozpoznajesz, a szczegóły Ostatnia aktywność na koncie na dole skrzynki Gmail pokazują ostatnie dostępy. Inne usługi mają podobną kontrolkę.
- Włącz uwierzytelnianie dwuskładnikowe, najlepiej z kluczem dostępu (passkey), kluczem bezpieczeństwa lub aplikacją uwierzytelniającą.
- Poszukaj zmian, które mógł wprowadzić napastnik: adres e-mail i telefon do odzyskiwania, reguły przekazywania i filtry, połączone aplikacje, nieznane urządzenia.
- W przypadku konta służbowego powiadom dział IT natychmiast. Napastnicy często używają przejętej skrzynki, by w ciągu godzin atakować phishingiem twoich współpracowników.
Nasz poradnik o tym, co zrobić po wycieku danych, omawia porządki z hasłami głębiej, bo kroki się pokrywają.
Wpisałeś kod lub zatwierdziłeś prośbę
Załóż, że napastnik może mieć aktywną sesję. Zmień hasło, wyloguj wszystkie sesje, przejrzyj ustawienia bezpieczeństwa, a w przypadku konta służbowego powiadom dział IT. Nowoczesne zestawy „adversary-in-the-middle” przekazują twój login prawdziwej stronie w trakcie wpisywania i przechwytują powstałe ciasteczko sesji. Dlatego same jednorazowe kody ich nie zatrzymują.
Wpisałeś dane do płatności
Zadzwoń natychmiast do banku lub wydawcy karty, pod numer z karty. Poproś o zablokowanie karty i obserwowanie oszustw, a przez kolejne tygodnie przeglądaj wyciągi. Jeśli wpisałeś też dane tożsamości, sprawdź, co oferuje twój kraj. W Stanach Zjednoczonych IdentityTheft.gov daje plan naprawczy, a zamrożenie kredytu jest możliwe w biurach informacji kredytowej.
Otworzyłeś załącznik lub włączyłeś makra
Odłącz urządzenie od sieci, jeśli podejrzewasz złośliwe oprogramowanie, uruchom pełny skan, a w pracy skontaktuj się z działem IT, zanim zrobisz cokolwiek innego. Zmień ważne hasła z innego, czystego urządzenia.
Przyznałeś aplikacji dostęp
Wejdź w ustawienia bezpieczeństwa konta, znajdź listę aplikacji zewnętrznych z dostępem i usuń nieznaną. Sama zmiana hasła może nie odciąć aplikacji, która dostała dostęp, więc najpierw usunięcie. Potem zmień hasło na wszelki wypadek i sprawdź reguły skrzynki.
Ustaw wszystko tak, by jeden błąd kosztował mniej
Nie wyłapiesz wszystkiego za każdym razem, zwłaszcza w zły dzień. Dobre ustawienia domyślne sprawiają, że jedna wpadka robi mniej szkód, a niektóre z nich częściowo robią rozpoznawanie za ciebie.
Najmocniejsze z nich to klucze dostępu (passkeys) i sprzętowe klucze bezpieczeństwa. CISA, amerykańska agencja cyberbezpieczeństwa, opisuje uwierzytelnianie wieloskładnikowe odporne na phishing jako złoty standard i wskazuje FIDO oraz WebAuthn jako szeroko dostępną jego formę. Te poświadczenia są związane z prawdziwą domeną, więc po prostu nie zadziałają na fałszywej stronie, nawet idealnej kopii. Aplikacje uwierzytelniające zatrzymują większość ataków opartych tylko na haśle, ale słabiej radzą sobie z przekazywaniem na żywo, więc to dobry krok, a nie ostatni. Jeśli twój bank lub dostawca poczty oferuje klucze dostępu, włączenie ich to prawdopodobnie najcenniejsza rzecz, jaką możesz zrobić po przeczytaniu tego artykułu.
Menedżer haseł daje drugą, cichszą kontrolę. Zapamiętuje dokładną domenę dla każdego hasła. Gdy trafiasz na stronę-sobowtóra, a on nie proponuje zapisanego logowania, ta cisza jest ostrzeżeniem i tak wyłapuje się strony wyglądające co do piksela identycznie. Nie obchodź tego, kopiując i wklejając hasło. Jest jedno małe zastrzeżenie: menedżery haseł czasem nie rozpoznają prawdziwej strony, która zmieniła domenę logowania. Cisza oznacza więc „zatrzymaj się i wejdź na stronę, wpisując jej adres”, a nie „to na pewno fałszywka”.
| Zabezpieczenie | Co robi | Wysiłek |
|---|---|---|
| Klucze dostępu lub klucze sprzętowe | Zatrzymują phishing danych logowania i przekazywanie na żywo, bo poświadczenie jest związane z prawdziwą domeną | Mały do średniego |
| Menedżer haseł z autouzupełnianiem | Odmawia wypełnienia na fałszywych domenach i zapobiega ponownemu użyciu haseł | Mały po skonfigurowaniu |
| Aplikacja uwierzytelniająca | Zatrzymuje większość ataków opartych tylko na haśle | Mały |
| Ochrona w przeglądarce | Safe Browsing w Chrome i SmartScreen w Edge ostrzegają przed wieloma znanymi złymi stronami | Zwykle już włączona |
| Aktualizacje oprogramowania | Łatają luki wykorzystywane przez złośliwe pliki i strony | Mały |
| Widoczne rozszerzenia plików | Odsłaniają sztuczki z podwójnym rozszerzeniem | Jedno ustawienie |
| Pytanie przed załadowaniem zdalnych obrazów | Powstrzymuje wiele pikseli przed potwierdzeniem twojego adresu | Jedno ustawienie |
| Spisana zasada oddzwaniania przy zmianach płatności | Zatrzymuje większość oszustw fakturowych, niezależnie od tego, jak wygląda e-mail | Zmiana procedury |
| Ograniczanie, gdzie trafia twój prawdziwy adres | Mniej list i wycieków go zawiera | Nawyk |
Dla firmy zasada oddzwaniania to ta, którą warto spisać. Wskazówki FBI dotyczące przejęcia e-maila i zalecenia sektora bankowego zgadzają się co do sedna: każdą zmianę instrukcji płatności potwierdzaj poza e-mailem, pod numerem, który już masz. Działa, bo nie polega na tym, że ktoś coś zauważy, i daje młodszym pracownikom powód, by powiedzieć „muszę najpierw zadzwonić” komuś, kto wydaje się ich szefem.
Trzymaj swój główny adres z dala od list
Phisherzy wysyłają na adresy, które kupili, zeskrobali albo wyciągnęli z danych z wycieków. Za każdym razem, gdy oddajesz prawdziwy adres serwisowi o niskim zaufaniu, jest szansa, że trafi na jedną z tych list. Używanie osobnego adresu do jednorazowych rejestracji zmniejsza, jak często atakowana jest twoja główna skrzynka, i ułatwia ocenę pozostałej poczty, bo wiadomość o twoim banku, która przychodzi na adres podany tylko bankowi, znaczy więcej.
Skrzynka tymczasowa to jedna z opcji dla najniższego poziomu, tam gdzie regulamin serwisu na to pozwala. W VookMail adres jest gotowy po załadowaniu strony, bez rejestracji i hasła. Możesz nacisnąć Nowy, by wpisać nazwę użytkownika i wybrać spośród ponad 30 domen, albo nacisnąć żółty przycisk „Losowy”, by dostać losowy adres, co jest bezpieczniejszym wyborem, bo każdy, kto zna lub odgadnie adres, może otworzyć tę skrzynkę. Wiadomości i załączniki są usuwane po około dobie, więc jeśli adres dostanie później phishing, trafi on w miejsce odłączone od twojego banku, pracy i głównych kont.
Pasuje to do pobrania materiału, jednego pytania na forum albo testowania własnego formularza. Nie pasuje do kont, które musisz zachować lub odzyskiwać, a już nigdy do kont bankowych, urzędowych, medycznych, służbowych ani głównych kont społecznościowych. FAQ omawia właściwe użycie, a polityka prywatności wyjaśnia, jak przetwarzana jest poczta przychodząca.
Czerwone flagi obowiązują w każdej skrzynce, także jednorazowej. Co więcej, adres tymczasowy daje poręczny test: jeśli wiadomość tam prosi o zalogowanie się na twoje prawdziwe konto bankowe lub pocztowe, to niemal na pewno phishing, bo nigdy nie podałeś tym usługom tego adresu.
Błędne przekonania, które pomagają napastnikowi
- „Ma kłódkę.” To znaczy zaszyfrowane, a nie uczciwe.
- „Logo i nazwa się zgadzają.” Oba da się banalnie skopiować.
- „Gramatyka jest idealna.” Wiele kampanii jest dziś dobrze napisanych.
- „Po prostu zadzwonię pod numer z e-maila.” Ten numer może prowadzić prosto do napastnika.
- „Przyszło z prawdziwego adresu mojego kolegi.” Konta bywają przejmowane, więc prośbę nadal trzeba sprawdzić.
- „Kliknąłem, ale powiedzenie o tym działowi IT byłoby niezręczne.” Milczenie daje napastnikom więcej czasu i zwykle jest najdroższym wyborem.
- „Nie mam nic wartego kradzieży.” Twoja skrzynka może zresetować inne twoje konta i posłużyć do phishingu twoich kontaktów.
Lista kontrolna dla wiadomości, którą masz przed sobą
Gdy e-mail prosi cię o coś zrobić, te pytania zajmują mniej niż minutę. Jeśli któraś odpowiedź cię niepokoi, zatrzymaj się i zweryfikuj inną drogą.
- Czy się tego spodziewałem?
- Czy prawdziwy adres nadawcy należy do organizacji, za którą się podaje?
- Dokąd naprawdę prowadzą linki, gdy czytam domenę od prawej?
- Czy prosi o hasło, kod, płatność lub plik?
- Czy wymusza pośpiech, strach, tajemnicę lub nagrodę?
- Czy jest nieoczekiwany załącznik, kod QR lub prośba „włącz zawartość”?
- Czy mój menedżer haseł rozpoznaje stronę logowania?
- Czy mogę to sprawdzić, otwierając aplikację lub dzwoniąc pod znany numer?
Pytania o phishing
Czy mogę zostać zhakowany samym otwarciem e-maila phishingowego?
Przy zaktualizowanej aplikacji pocztowej otwarcie wiadomości zwykle niesie małe ryzyko. Niebezpieczeństwo wynika z klikania linków, wpisywania danych logowania, otwierania załączników, włączania makr lub odpowiadania z informacjami. Otwarcie może potwierdzić, że adres jest aktywny, jeśli załadują się obrazy, i to jeden z powodów, by blokować zdalne obrazy.
Dlaczego e-maile phishingowe przechodzą przez filtry spamu?
Napastnicy rejestrują nowe domeny, wysyłają z przejętych uczciwych kont, hostują strony w zaufanych usługach chmurowych i ciągle zmieniają sformułowania. Część phishingu przechodzi nawet SPF, DKIM i DMARC, bo pochodzi z domeny, którą napastnik naprawdę kontroluje.
Czy e-maile phishingowe zawsze są pełne błędów?
Nie. Wiele z nich jest dobrze napisanych i wygląda identycznie jak prawdziwe e-maile marek. Poświęć uwagę sygnałom technicznym i temu, o co jesteś proszony.
Prawdziwa firma przysłała mi link z prośbą o zalogowanie. Czy to zawsze phishing?
Nie. Firmy wysyłają uczciwe linki, a logowanie może być prawdziwe. Bezpieczny nawyk działa w obu przypadkach: opuść e-mail, otwórz usługę sam i sprawdź, czy coś wymaga twojej uwagi. Tracisz najwyżej kilka sekund.
Czy adres jednorazowy chroni mnie przed phishingiem?
Zmniejsza narażenie. Phishing skierowany na ten adres trafia do skrzynki niepowiązanej z twoimi prawdziwymi kontami i jest usuwany po około dobie. Nic nie daje przy poczcie docierającej do głównej skrzynki, więc tam nadal obowiązują powyższe kontrole.