Základy kyberbezpečnosti: Jak poznat phishing?

Vydávají se za vaše známé, renomované společnosti, kolegy či obchodní partnery. Ve skutečnosti vás ale neznají a chtějí se dostat k vaší identitě, citlivým údajům a vašim penězům. Co je phishing a jak ho poznat? V čem tkví jeho nebezpečnost?

Phishing

Není nic nového pod sluncem, a přesto stále funguje. Tento specifický a aktuálně velmi častý typ kyberútoku je založen na tzv. sociálním inženýrství a skládá se z několika prvků. Útočník/hacker se vydává za někoho, komu byste za normálních okolností důvěřovali – například za kurýrní společnost nebo banku. Z pozice této důvěryhodné autority se z vás snaží prostřednictvím e-mailu, SMS zprávy či telefonátu vymámit citlivá data.

S phishingovými zprávami se před loňskými Vánoci roztrhl pytel – dávejte si pozor ale i mimo svátky.

Zejména loni před Vánoci se s phishingovými zprávami doslova roztrhl pytel. SMS zprávy a e-maily informovaly například o tom, že vám kurýrní služba veze balík, který podléhá celnímu řízení – stačí jen zaplatit částku XY Kč pomocí vaší kreditní karty. Jednalo se o částku tak malou, že by se člověk skoro nepozastavil. Kdo ale měl již nějaké zkušenosti s celníky, prokoukl, že takto to s nimi nechodí.

Hacker může zajít i dál. Nemusí vystupovat pouze jménem instituce, ale i jménem konkrétní osoby. Klidně to může být osoba, kterou znáte, nebo o které jste slyšeli. Zfalšovat e-mail dnes pro zkušeného hackera není nic složitého.

Jak vám fulfillment ušetří náklady?

I když fulfillment samozřejmě není zadarmo, ve výsledku vám ušetří náklady. Na první pohled to tak možná nevypadá, ale když outsourcujete logistiku, nebudete muset najímat zaměstnance pro odbavování objednávek, řešit skladové prostory (ať už koupí, nebo pronájmem). Ušetříte za skladové vybavení a software pro správu skladových zásob. Navíc tím, že fulfillment společnosti neřeší jen vaše objednávky, ale objednávky desítky dalších firem, mají u dopravců nasmlouvané díky obrovským objemům mnohem výhodnější sazby, než by měl váš e-shop jako samostatná jednotka.

Důvěryhodnost a urgence – o tom je phishing

Ruku v ruce s důvěryhodností jde urgence. Útočník se ve vás formulací zprávy snaží vyvolat pocit, že je něco potřeba udělat teď hned, a případně přidá ještě výhružku. „Pokud nezaplatíte, zboží odešleme zpět.“ „Pokud si kliknutím na tento odkaz nezměníte heslo, vaše data nebudou v bezpečí.“ Troufalé, že?

Pozor i na vizuální podobu phishingových e-mailů.

Mnozí hackeři si dají s napodobením „důvěryhodné autority“ opravdu záležet. Kromě toho, že používají firemní loga, mají odkoukanou i textaci newsletterů atd. E-mail tak ve výsledku vypadá opravdu důvěryhodně.

Jak poznat phishing?

Existují vůbec možnosti, jak phishingový útok rozpoznat? Samozřejmě. Při čtení podezřelého e-mailu doporučujeme, abyste se zamysleli nad několika věcmi:

Je tento e-mail očekáván? Víte, že se vám šéf chystá poslat link k přihlášení do nového uživatelského rozhraní vaší firemní aplikace. Víte, že jste si objednávali zboží z Velké Británie a dle trackingu by mělo být na celnici… ale pozor. Dnešní hackeři si jsou schopní ledacos (například pomocí sociálních sítí) zjistit a zacílit na konkrétní osoby.
Nepřesvědčivý překlad – Dříve jsme byli u phishingových e-mailů zvyklí na velmi neumělé překlady. Pokud máte pocit, že vám píše mimozemšťan, a ne zaměstnanec kurýrní služby, banky nebo telefonního operátora, mějte se na pozoru. Nicméně není to jediné kritérium. Moderní phishingové zprávy jsou již velmi propracované a snadno čtenáře zmatou. Se špatně přeloženými phishingovými e-maily se ale stále můžete setkat.
Čtěte doporučení poskytovatelů služeb. Mnohé firmy se snaží proti phishingu, který hrozí jejich klientům, aktivně bojovat a vydávají prohlášení a návody, které mají klienty chránit. Například firma PayPal v minulosti upozornila své uživatele na to, že v e-mailech oslovuje každého jménem. E-maily, které začínají pouze pozdravem bez jména, jsou tudíž podezřelé.
Obecné pozdravení. Již zmíněné obecné pozdravení si zaslouží vlastní bod. Subjekt, který s vámi spolupracuje, vás zpravidla osloví jménem. „Vážený pane/paní XY…“, nestačí pouze „Dobrý den“ či „Hello“. Zpozorněte nad takovou zprávou.
Neshodné e-mailové domény. Většinou to není to první, na co se u příchozí pošty díváte, ale pokud vám zpráva přijde podezřelá, zaměřte se na e-mailovou adresu odesílatele – zejména pak na doménu. I drobná změna v ní je podezřelá. Renomované firmy, které se s phishingovými útoky potýkají, na svých webech často uvádí seznam domén, ze kterých můžete očekávat oficiální poštu, a naopak varují před podvodníky. „Dávejte si také dobrý pozor na drobné změny v legitimním názvu domény. Jako například micros0ft.com, kde je druhé „o“ nahrazené znakem 0, nebo rnicrosoft.com, kde je písmeno „m“ nahrazené písmeny „r“ a „n“. Jedná se o běžné podvodnické triky,“ uvádí kupříkladu podpora Microsoftu.

Co dělat, když otevřete phishingový e-mail?

Jen to, že vám phishingová zpráva (e-mail, SMS, zpráva na sociálních sítích) přijde, není nebezpečné. Na problém si nezaděláváte dokonce ani jejím otevřením. Kámen úrazu je kliknutí na odkaz a následné prozrazení hesla či přihlašovacích údajů, popřípadě otevření přílohy s virem.

Co ale dělat, když své heslo takto prozradíte? V první řadě je potřeba se do dané služby, za níž se phishingový útočník vydával, přihlásit klasickým způsobem a heslo si změnit. Pokud nepoužíváte unikátní heslo (což doporučujeme a věnovali jsme se tomu v prvním článku o kyberbezpečnosti) a máte jedno heslo pro více služeb, je potřeba své heslo změnit všude.

Dále je potřeba oznámit bezpečnostní incident provozovateli služby. Náš vedoucí ICT oddělení Jiří Polášek doporučuje pro firemní prostředí tiketovací systém, nástroj pro systematizaci interních úkolů a požadavků, provázaný s ICT. Informační oddělení se o incidentu touto cestou dozví nejrychleji a může hned konat.

Jak již bylo řečeno, phishing není v IT prostředí ničím novým. I přesto dokáže potrápit. Přizpůsobuje se adresátům útoku a reaguje na to, že se nenecháme hned tak napálit. Útoky jsou tak stále dokonalejší. I proto je potřeba v rámci kyberbezpečnosti zvýšit obezřetnost! Za celý E LINKX vám držíme palce, abyste svá citlivá data udrželi vždy v bezpečí!

DEJME SE DO TOHO