Phishing to jeden z najpopularniejszych typów ataków opartych o wiadomości e-mail lub SMS. Wykorzystuje inżynierię społeczną, czyli technikę polegającą na tym, że przestępcy internetowi próbują Cię oszukać i spowodować, abyś podjął działanie zgodnie z ich zamierzeniami.
Cyberprzestępcy podszywając się m.in. pod firmy kurierskie, urzędy administracji, operatorów telekomunikacyjnych, czy nawet naszych znajomych. Po co? W ten sposób starają się wyłudzić nasze dane do logowania np. do kont bankowych lub używanych przez nas kont społecznościowych, czy systemów biznesowych.
Czym jest phishing i jak się przed nim bronić?
Podstawowym oszustwem internetowym jest tzw. phishing – jest to angielskie sformułowanie, które oznacza „łowienie haseł”. Nie bez przyczyny oszustwo to jest tak nazwane, gdyż żeby zrozumieć jego mechanizm, najprościej porównać je do wędkowania. W prawdziwym życiu wędkarze łowią ryby w wodzie, natomiast oszuści internetowi próbują złowić twoje dane osobowe i poufne informacje w sieci.
Robią to, wysyłając fałszywe e-maile, SMS-y lub komunikaty internetowe, które wyglądają, jakby pochodziły od rzeczywistych firm lub instytucji, takich jak banki, sklepy internetowe czy serwisy społecznościowe.
W fałszywych wiadomościach, które do złudzenia przypominają te prawdziwe, oszuści namawiają do kliknięcia w link, który prowadzi do podrobionej strony logowania. Jeśli podamy tam swoje prywatne dane, przestępcy będą mogli je wykorzystać. A dysponując naszymi danymi, mogą nawet ukraść pieniądze z naszego konta bankowego.
Czasami wiadomości mogą zawierać szkodliwe załączniki, za pomocą których dochodzi do zainfekowania naszego urządzenia. Wykorzystując nasze emocje, np. lęk, strach, radość z wygranej, presję czasu (oferta jest aktualna tylko dziś), namawiają nas do podjęcia działań, które w rzeczywistości mogą mieć poważne konsekwencje.
Phishing: jak to się robi?
Najpopularniejsze tematy fałszywych wiadomości to:
➡ niezapłacona faktura;
➡ problemy z kontem bankowym (np. informacje o zablokowanym koncie lub podejrzanych aktywnościach na koncie);
wygrane w loterii, zniżki i kupony do popularnych sklepów;
➡ problemy z wypłaceniem dodatkowych świadczeń.
W jaki sposób możemy rozpoznać taką wiadomość?
➡ Dokładnie przeczytaj treść wiadomości i sprawdź, czy nie zawiera błędów językowych i stylistycznych, literówek. Nawet jeśli wiadomość wydaje się być prawdziwa, zweryfikuj nadawcę – należy sprawdzić adres e-mail, z którego pochodzi wiadomość. Jeśli informacja pochodzi z banku, a w e-mailu od nadawcy po znaku @ jest inna nazwa niż nazwa banku, to prawdopodobnie jest to oszustwo. Warto samodzielnie zadzwonić do firmy lub instytucji, która się z nami rzekomo kontaktuje i wyjaśnić sprawę telefonicznie lub w najbliższej placówce.
➡ Uważaj na wiadomości, które wykorzystują Twoje emocje (np. stres, lęk, presję czasu) i namawiają do podjęcia natychmiastowych działań.
➡ Jeśli coś wydaje się podejrzane lub zbyt dobre, aby było prawdziwe, zachowaj daleko idącą ostrożność i nie działaj na podstawie takich wiadomości.
Jak się chronić przed fałszywymi wiadomościami?
➡ Nie otwieraj wiadomości e-mail lub wiadomości tekstowych od nieznanych nadawców, osób, których nie znasz.
Nie klikaj w przesłane do Ciebie linki i nie otwieraj załączników, jeśli nie wiesz, co się w nich znajduje.
➡ Uważaj na żądania poufnych informacji: oszuści często proszą o podanie hasła, numery kart kredytowych czy dane bankowe. Nie podawaj takich informacji przez e-mail lub wiadomości tekstowe.
➡ Jeśli korzystasz z poczty elektronicznej, mediów społecznościowych i bankowości elektronicznej – włącz weryfikację dwuetapową na swoich kontach online. Zrób to wszędzie, gdzie jest taka możliwość. To dodatkowa warstwa bezpieczeństwa, która utrudnia dostęp oszustom.
➡ Stosuj silne, długie i bezpieczne hasła. Pamiętaj, aby Twoja hasła nie zawierały informacji o Tobie ani Twoich bliskich. Do każdej usługi internetowej stosuj inne hasło.
➡ Zachowaj ostrożność w mediach społecznościowych. Bądź rozważna(-ny) podczas przyjmowania zaproszeń od nieznanych osób na platformach społecznościowych. Unikaj udostępniania poufnych informacji publicznie na swoim profilu.
➡ Regularnie aktualizuj system operacyjny, przeglądarki internetowe i oprogramowanie antywirusowe, aby być chronionym przed lukami bezpieczeństwa.
Nie lekceważ komunikatów i alertów bezpieczeństwa, jakie wyświetlają się podczas korzystania z sieci.
➡ Naucz się rozpoznawać znaki ostrzegawcze wiadomości phishingowych i podziel się tą wiedzą z rodziną i przyjaciółmi.
➡ Jeśli otrzymasz podejrzaną wiadomość, zgłoś ją do zespołu CERT Polska. Poproś zaufaną osobę, aby pomogła Ci wypełnić formularz i przesłać zgłoszenie. Podejrzane wiadomości SMS możesz przekazywać bezpośrednio na numer 799-448-084.
Phishing w mediach społecznościowych
Cyberprzestępcy w celu przeprowadzania ataków phishingu wykorzystują również media społecznościowe i komunikatory. Zakładają fałszywe profile i podszywają się pod inne osoby. Nawiązują kontakt ze swoją ofiarą oraz starają się zdobyć jej zaufanie. Po pewnym czasie proszą o podanie prywatnych danych lub dokonanie przelewu na określoną kwotę.
Phishing – przykłady z życia wzięte
Poznaj rzeczywiste sytuacje, w których cyberprzestępcy zastosowali phishing. Przykłady dotyczą m.in. podszywania się pod bank, dostawcę poczty czy portal aukcyjny. Zachowaliśmy oryginalną treść komunikatów – często zawierają one błędy językowe.
Blokada dostępu do kont użytkowników banku PKO BP
W marcu 2023 roku cyberprzestępcy podszyli się pod bank PKO BP. Przesłali do jego klientów automatyczną wiadomość SMS, w której poinformowali o ich rzekomo podejrzanej aktywności.
„IPKO: Zablokowalismy Twoj dostep online z powodu podejrzanej aktywnosci. Zaloguj sie tutaj: LINK, aby odblokowac”.
Jeśli użytkownik kliknął w link, ukazał mu się formularz z prośbą o podanie poufnych informacji, w tym hasła logowania do banku, numeru PESEL oraz danych karty płatniczej. Dzięki ich pozyskaniu internetowi oszuści mogli włamać się na konta swoich ofiar i ukraść ich pieniądze.
Przeniesienie kart eSIM klientów Plus i Play
Internetowi oszuści w czerwcu 2023 roku wysłali e-maile na skrzynki klientów dwóch operatorów telefonii komórkowej – Plus i Play. W treści wiadomości informowali o przeniesieniu karty eSIM użytkownika i zachęcali do kliknięcia w link, aby anulować taką operację.
„Drogi kliencie, Dziękujemy za przeniesienie Sima do eSim, jeśli nie pytałeś o to przeniesienie, kliknij poniższy link, aby anulować zamówienie”.
Link przekierowywał na fałszywą stronę, która przypominała serwis operatora i służyła przejęciu danych logowania. Pozwalały one przestępcom uzyskać dostęp do kont klientów, a następnie ukraść dane osobowe czy aktywować lub wyłączyć usługi u operatora.
Phishing: inne sposoby
Przykład phishingu z wykorzystaniem kodów QR
W kwietniu 2023 roku cyberprzestępcy podszyli się pod Służbę Celno-Skarbową. Przesłali do wielu Polaków wiadomości e-mail z zawiadomieniem o zwrocie podatku. Poinformowali swoje ofiary, że mogą otrzymać należne pieniądze, jeśli zeskanują kod QR.
„Temat: Potwierdzenie zatwierdzonego wniosku o zwrot podatku za okres od stycznia 2023 do marca 2023
Drogi Obywatelu,
Mamy zaszczyt poinformować, że Pański wniosek o automatyczny zwrot podatku za okres od stycznia 2023 do marca 2023 został pomyślnie zatwierdzony.
Aby odebrać zwrot podatku, proszę odwiedzić najbliższe biuro administracji podatkowej i przedstawić swoje dane identyfikacyjne lub zalogować się na nasz portal internetowy poprzez skanowanie poniższego kodu QR:
KOD QR
Prosimy o użycie tymczasowego hasła podczas logowania.
HASŁO
Zwracamy uwagę, że tymczasowe hasło wygaśnie 24 godziny po otrzymaniu tej wiadomości, jako środek ostrożności mający na celu zapewnienie bezpieczeństwa transakcji.
Jeśli mają Państwo jakieś dodatkowe pytania lub potrzebują pomocy, prosimy o kontakt z nami.
Z poważaniem,
PUESC Polska”
Użytkownicy, którzy zeskanowali podany kod QR, zostali automatycznie przekierowani na stronę podszywającą się pod Krajową Administrację Skarbową. Następnie cyberprzestępcy nakłaniali do podania hasła z wiadomości e-mail, numeru PESEL i nazwiska panieńskiego matki, a także wybrania swojego banku.
Fałszywe wiadomości od Allegro Lokalnie
W marcu 2023 roku internetowi przestępcy przeprowadzili akcję phishingową, w ramach której podszyli się pod serwis Allegro Lokalnie. Wysłali do swoich ofiar wiadomość mailową, wykorzystując logo i kolorystykę Allegro.
„Witaj, przyjazne przypomnienie, że Twoje konto nadal zalega z opłatami. Jesteś winien opłaty.
Od pewnego czasu stan Twojego Konta na Allegro pokazuje zaległą kwotę.
Twoje zadłużenie na dzień 07.03.2023 wynosi 1,40 zł. Proszę dokonać tej płatności.”
Oszuści pod mailem umieścili przycisk Zapłać teraz. Przenosił on użytkowników na fałszywe strony, które służyły wyłudzaniu loginu i hasła logowania do serwisu Allegro oraz danych kart płatniczych.
Tak działają przestępcy
Zawiadomienie o zamknięciu skrzynki e-mail
W lutym 2023 roku do użytkowników poczty Onetu trafiła wiadomość od nadawcy, który podszył się pod administrację tej firmy.
„Onet Mail nie będzie już korzystać z aplikacji innych firm (takich jak poczta e-mail, kalendarz lub aplikacje innych firm) przy użyciu wygasłych metod logowania. Innymi słowy, niedawno zmieniliśmy nasze warunki korzystania z usługi i zamkniemy wszystkie adresy e-mail korzystające z naszych starych usług. Oznacza to po prostu, że Twoje konto e-mail zostanie wyłączone po 10.02.2023. Jeśli chcesz nadal korzystać z naszych usług e-mail, zaakceptuj nasze nowe warunki, aby uniknąć zamknięcia poczty.
Zalecamy rozpoczęcie procesu od przeczytania poniższej instrukcji:
Nowe warunki
Jeśli dokonałeś już niezbędnych zmian na swoim koncie, doceniamy szybkie działanie!
Z wyrazami szacunku,
Grupa Onet.pl S.A.”
Gdy użytkownik poczty kliknął w link „Nowe warunki”, został przekierowany na stronę z formularzem, który służył do przejęcia danych logowania na skrzynkę pocztową – nazwy użytkownika, hasła i adresu e-mail. Oszuści posłużyli się logo Onetu, aby uśpić czujność swoich ofiar.
Zawieszenie konta na Netflixie
W lipcu 2022 roku internetowi przestępcy podszyli się pod administracje Netflixa. Wysłali do swoich ofiar wiadomości e-mail, w których poinformowali o zawieszeniu kont z powodu błędu w autoryzacji płatności. Taką informację przesyłali do przypadkowych adresatów – bez względu na to, czy mieli oni konto na Netflixie.
„Drogi użytkowniku,
Nie byliśmy w stanie autoryzować Twojej płatności za kolejny cykl rozliczeniowy Twojej subskrypcji, dlatego zawiesiliśmy Twoje członkostwo. Ale Twoja obecna subskrypcja jest aktywna do momentu jej wygaśnięcia.
Oczywiście bardzo byśmy chcieli, abyś do nas wrócił, wystarczy kliknąć przycisk resetowania członkostwa, aby zaktualizować swoje dane i dalej cieszyć się najlepszymi programami telewizyjnymi i filmami bez przerwy.
Przywróć członkostwo
Zespół Netflix”
Jeśli ofiara kliknęła w link „Przywróć członkostwo”, znalazła się na fałszywej stronie Netflixa. Przestępcy nakłaniali ją do podania danych osobowych oraz informacji z karty płatniczej.
Albo taka ankieta
Ankieta od Ministerstwa Finansów
W czerwcu 2022 roku wielu Polaków otrzymało wiadomość SMS, której rzekomym nadawcą było Ministerstwo Finansów. Zostali oni poproszeni o wypełnienie ankiety.
„Akcja Ministerstwa Finansów
Zapraszamy do udziału w krótkiej ankiecie. Został stworzony wyłącznie w celu poprawy jakości obsługi klienta. Musimy poznaj Twoją opinię na temat prezentowanych produktów i usług bankowych. Za wypełnienie ankiety na konto lub kartę wpłacimy 250 zł.
Wypełnij ankietę”
Po kliknięciu w link „Wypełnij ankietę” użytkownicy znaleźli się na stronie, która podszywała się pod serwis Ministerstwa Finansów – oszuści zamieścili na fałszywej witrynie godło Polski i nazwę domeny gov.pl. Czujny użytkownik mógł dostrzec, że przycisk przechodzenia do kolejnej strony ankiety ma napis w języku angielskim („Large button”). Osoby, które wypełniły ankietę do końca, były następnie proszone o wybranie swojego banku i wprowadzenie danych, aby otrzymać należne wynagrodzenie. Przestępcy mogli w ten sposób przejąć dostęp do kont ofiar.
Phishing: gdzie najczęściej czatują oszuści. Czytaj TUTAJ
Źródło: netia.pl, gov.pl, policja.pl
Fot. pixabay.com