Phishing - na czym polega, jakie są rodzaje phishingu i co zrobić, by się przed nim ustrzec?

Co to jest phishing? Definicja pojęcia

Phishing jest to metoda oszustwa, polegająca na podszywaniu się przez cyberprzestępcę pod inną osobę lub instytucję. Celem przestępstwa jest wyłudzenie poufnych informacji (np. danych logowania do bankowości internetowej), zainfekowanie komputera szkodliwym oprogramowaniem lub nakłonienie ofiary do określonych działań (np. przelania pieniędzy na konto oszusta).

Dlaczego phishing jest skuteczny?

Bo bazuje na prawidłach psychologii społecznej. Cyberprzestępcy podszywają się pod osoby lub instytucje, cieszące się dużym zaufaniem społecznym (policja, banki, sądy, urzędy państwowe, znane firmy, itp.). Ponadto oszuści podczas akcji phishingowych silnie oddziałują na emocje swoich ofiar. Wzbudzają w nich nadzieję szybkiego wzbogacenia się bądź - dla odmiany - strach; jeszcze inni umiejętnie budują relację z ofiarą, zyskując jej zaufanie. Wszyscy phishingowcy wywierają na oszukiwane osoby presję czasu, przez co nie są one w stanie racjonalnie przeanalizować całej sytuacji. Cyberprzestępca, podający się za pracownika Twojego banku, często twierdzi, że tylko natychmiastowe podanie danych dostępu do bankowości elektronicznej uchroni Twoje pieniądze przed grupą hakerów, która złamała zabezpieczenia i opanowała serwery strażnika Twoich oszczędności…

Ostatnim czynnikiem skuteczności phishingu jest masowość. Oszuści podczas jednej akcji phishingowej kontaktują się z setkami lub nawet tysiącami osób. W tak dużej grupie zawsze znajdą się osoby niedoinformowane w kwestii zasad cyberbezpieczeństwa, roztargnione lub podatne na techniki wpływu przestępców.

Rodzaje phishingu

Podstawowym podziałem oszustw phishingowych jest podział ze względu na metodę kontaktu z potencjalnymi ofiarami. Wyróżniamy:

• phishing e-mail,
• phishing przez SMS,
• phishing telefoniczny,
• phishing w mediach społecznościowych.

Poniżej omówimy każdy z nich.

Phishing e-mail

Najbardziej klasyczny typ phishingu. Polega na rozsyłaniu e-maili do wytypowanych przez oszustów osób. Wiadomości te zawierają załączniki lub linki, których otwarcie doprowadzi do zainfekowania urządzenia złośliwym oprogramowaniem lub zachęcają do wyjawienia w mailu zwrotnym poufnych danych.

Phishing e-mail umożliwia skontaktowanie się z największą liczbą potencjalnych ofiar najmniejszym wysiłkiem. Przygotowanie spreparowanego maila to dla znającej się na rzeczy osoby najwyżej kilka godzin pracy. Taką elektroniczną wiadomość można potem w kilka sekund i bez żadnych kosztów wysłać do właściwie nieograniczonej liczby osób.

Phishing przez SMS

Wirtualny przestępca, korzystający z tej metody oszustwa, rozsyła masowo odpowiednio spreparowane SMSy. Szczególnie rozpowszechnionym przykładem SMS-owego phishingu jest podszywanie się pod firmę kurierską. Odbiorca komunikatu dowiaduje się z niego, że rzekomo ktoś nadał do niego paczkę, ale w celu jej odebrania konieczne jest wniesienie pewnej (najczęściej bardzo niewielkiej) opłaty.

Jak dowodzi pokłosie dotychczas przeprowadzonych akcji phishingowych tego typu zaskakująco wiele osób decyduje, że otrzymanie paczki o niewiadomej zawartości jest warte wniesienia symbolicznej opłaty. Pal sześć, gdy celem przestępcy było jedynie wyłudzenie paru złotych; o wiele częściej jednak kliknięcie w przesłany przez hakera "link do płatności" przekierowuje nas do fałszywego serwisu transakcyjnego. Podając tam dane karty lub login i hasło do bankowości internetowej gwarantujemy sobie utratę wszystkich oszczędności.

Phishing telefoniczny

Phishing telefoniczny polega na dzwonieniu do wybranych osób i podawaniu się za ich osoby bliskie lub pracownika cieszącej się zaufaniem instytucji. Następnie cyberprzestępca próbuje nakłonić swojego rozmówcę do podania poufnych danych lub przekazania pieniędzy. Celem tego typu oszustw stają się najczęściej osoby starsze (tzw. oszustwa "na wnuczka"). Jeśli dzwoni do Ciebie podejrzany numer, sprawdź go na stronie Kto dzwonił?

Phishing w mediach społecznościowych

Cyberprzestępcy w celu przeprowadzania ataków tego typu zakładają fałszywe profile w mediach społecznościowych. Za ich pomocą nawiązują kontakt z potencjalnymi ofiarami, starając się zbudować z nimi relację. Kiedy cyberprzestępca pozyska już zaufanie danej osoby, prosi ją o podanie poufnych danych, dokonanie przelewu na określoną kwotę albo przesyła jej podejrzane linki.

Jak chronić się przed phishingiem?

Przestrzeganie zaledwie kilku podstawowych zasad bezpieczeństwa powinno Cię zabezpieczyć przed większością ataków phishingowych.

• Po pierwsze - dane logowania do bankowości elektronicznej są tylko dla Ciebie. Nikt inny nie ma prawa ich znać - a już zwłaszcza "pracownik banku" czy "policjant z grupy zwalczającej cyberprzestępczość". Pozostałe dane poufne podawaj tylko w bezpiecznych sytuacjach uprawnionym osobom i instytucjom (np. dane karty kredytowej możesz bez obaw wpisać na zweryfikowanej stronie serwisu transakcyjnego w czasie dokonywania płatności).
• Po drugie - nigdy nie klikaj w linki z podejrzanych źródeł ani nie otwieraj pochodzących z takich źródeł załączników.
• Po trzecie - z bankowości internetowej korzystaj tylko w autoryzowanej przez Twój bank aplikacji mobilnej lub na stronie internetowej banku.
• Po czwarte - zawsze weryfikuj adres nadawcy maila. Oficjalny adres banku, instytucji państwowej czy firmy zawsze znajdziesz na ich stronach internetowych. Oszust nie może wysłać do Ciebie wiadomości z tego adresu - jego spreparowana domena e-mailowa będzie zawsze się nieznacznie różniła od oficjalnej. Choćby jednym znakiem!
• Po piąte - stale aktualizuj przeglądarkę internetową, system operacyjny, a także oprogramowanie swoich urządzeń. Zainstaluj dobry program antywirusowy - wiele z nich oferuje ochronę przed phishingiem (często funkcja ta jest dodatkowo płatna).

Ofiary phishingu powinny jak najszybciej zmienić przechwycone przez cyberprzestępców hasła i inne dane dostępowe. Bezwzględnie należy również poinformować o zdarzeniu policję oraz bank (jeżeli istnieje ryzyko przejęcia dostępu do konta).

Wszystkie wymienione powyżej środki nie zastąpią najważniejszej zasady cyberbezpieczeństwa: zasady ostrożności i ograniczonego zaufania podczas korzystania z Internetu. W sieci bądź czujny i rozważny tak samo, jak w prawdziwym życiu!