Jak bezpiecznie korzystać z poczty e-mail? W największym uproszczeniu: używaj zaufanych urządzeń, zabezpiecz konto dobrym hasłem i dodatkowym uwierzytelnianiem, nie klikaj bez zastanowienia w linki i nie otwieraj każdego otrzymanego załącznika. Bezpieczeństwo poczty nie sprowadza się do jednego programu czy ustawienia. To przede wszystkim kilka prostych nawyków, które po pewnym czasie wykonujesz automatycznie.

Dokładnie tak samo zachowujesz się przecież przy podejrzanym SMS-ie z informacją, że musisz dopłacić kilka złotych do paczki. Zanim podasz BLIK, hasło czy dane karty, zastanawiasz się, czy wiadomość ma sens. Z pocztą e-mail jest identycznie. Nadawca, logo banku czy nawet poprawnie wyglądająca stopka nie są jeszcze dowodem, że wiadomość rzeczywiście pochodzi od firmy, która jest w niej wymieniona.

• Korzystaj z poczty na zaufanych urządzeniach
• Zabezpiecz hasło i włącz dodatkowe logowanie
• Uważaj na linki i załączniki
• Spam to nie to samo co phishing
• Co zrobić z podejrzaną wiadomością?

Korzystaj z poczty na zaufanych urządzeniach

Najbezpieczniej logować się do poczty na własnym komputerze lub telefonie, nad którym masz kontrolę. Jeśli musisz wejść do skrzynki na cudzym albo publicznym komputerze, użyj prywatnego okna przeglądarki i po zakończeniu pracy wyloguj się oraz zamknij wszystkie jego okna. Nie zapisuj hasła w przeglądarce.

Tryb incognito nie tworzy jednak magicznej osłony wokół Twojego konta. Jego głównym zadaniem jest ograniczenie danych pozostawionych lokalnie po zakończeniu sesji. Jeśli komputer jest zainfekowany i działa na nim program przechwytujący klawisze, prywatne okno tego nie zatrzyma. Dlatego jeśli nie masz zaufania do urządzenia, a masz przy sobie własny telefon, zwykle rozsądniej jest skorzystać właśnie z niego.

Ta sama zasada dotyczy stanowiska pracy. Odchodzisz od biurka? Zablokuj komputer. Nawet jeśli idziesz tylko po kawę. Skrzynka pocztowa często daje dostęp do faktur, klientów, resetowania haseł i innych usług, więc otwarte konto e-mail jest znacznie większym problemem niż ktoś przypadkiem czytający jedną wiadomość.

Jeśli chcesz lepiej zrozumieć różnicę między pocztą otwieraną w przeglądarce a programem pocztowym, zobacz też poradnik czym jest poczta Webmail.

Zabezpiecz hasło i włącz dodatkowe logowanie

Hasło do poczty powinno być unikalne. Nie używaj tego samego hasła do skrzynki e-mail, sklepu, forum i Facebooka, bo wyciek z jednej mniej istotnej usługi może otworzyć komuś drogę do Twojej poczty.

Jeśli operator poczty oferuje uwierzytelnianie dwuskładnikowe lub wieloskładnikowe, włącz je. Dodatkowy kod, aplikacja uwierzytelniająca, potwierdzenie na telefonie albo klucz bezpieczeństwa tworzą kolejną barierę nawet wtedy, gdy ktoś pozna Twoje hasło. Google i administracja publiczna wprost wskazują MFA jako dodatkową warstwę ochrony przed przejęciem konta i phishingiem.

• używaj unikalnego hasła do poczty,
• włącz MFA lub logowanie dwuetapowe,
• zabezpiecz telefon kodem PIN, odciskiem palca lub rozpoznawaniem twarzy,
• nie zapisuj hasła na cudzym urządzeniu.

Jeżeli masz dużo różnych haseł, nie próbuj zapamiętywać wszystkich na siłę. Lepiej użyć menedżera haseł. Na emeil.pl znajdziesz też poradnik Menedżer haseł Google – jak odczytać zapisane hasła.

Uważaj na linki i załączniki w wiadomościach

Nie chodzi o to, żeby bać się każdego linku w mailu. Chodzi o to, żeby wiedzieć, dlaczego go klikasz i dokąd ma prowadzić. Jeśli bank, firma kurierska czy dostawca hostingu informuje Cię o pilnym problemie z kontem, możesz zamiast klikać przycisk w wiadomości samodzielnie otworzyć stronę tej firmy i zalogować się w znany Ci sposób.

Phishing bardzo często opiera się na presji: „konto zostanie zablokowane”, „paczka nie zostanie dostarczona”, „faktura wymaga natychmiastowej zapłaty”. Przestępca chce, żebyś najpierw kliknął, a dopiero później zaczął się zastanawiać. CERT Polska zwraca uwagę zarówno na sprawdzanie rzeczywistego adresu nadawcy, jak i domeny strony, na której zamierzasz podać dane logowania.

Tak samo traktuj załączniki. Fakt, że plik nazywa się faktura.pdf, nie oznacza jeszcze, że trzeba go otworzyć. Jeśli nie spodziewasz się faktury, zamówienia albo dokumentu od tej osoby, najpierw zweryfikuj nadawcę. Programy ochronne potrafią wykrywać wiele zagrożeń, a rozwiązania firmowe wykorzystują nawet izolowane środowiska do sprawdzania podejrzanych załączników, ale żaden filtr nie zastąpi rozsądku użytkownika.

Spam to nie to samo co phishing

Sam fakt, że otrzymujesz spam, nie oznacza jeszcze, że Twoja poczta jest źle zabezpieczona. Każdy może próbować wysyłać niechciane wiadomości, a filtry antyspamowe nie są nieomylne.

Newsletter, na który wcześniej się zapisałeś, nie staje się oszustwem tylko dlatego, że nie masz już ochoty go czytać. Z drugiej strony wiadomość wyglądająca jak zwykły e-mail biznesowy może być próbą wyłudzenia hasła, płatności albo danych. Filtr może przepuścić phishing do Odebranych, a prawidłową wiadomość wrzucić do Spamu. Dlatego folder, w którym znalazł się mail, traktuj jako podpowiedź systemu, a nie ostateczny werdykt.

Uważaj również na wiadomości pochodzące pozornie od znajomych i kontrahentów. CERT Polska opisywał kampanie, w których przestępcy korzystali również z przejętych prawdziwych skrzynek. To istotne, bo wtedy sam adres nadawcy może wyglądać całkowicie poprawnie.

Jeżeli więc znajomy, który nigdy wcześniej nie prosił Cię o pieniądze, nagle wysyła wiadomość „potrzebuję pilnie przelewu” albo firma przesyła nietypową zmianę numeru rachunku, zweryfikuj to drugim kanałem. Zadzwoń. Napisz SMS. Skontaktuj się z firmą przez numer podany na jej oficjalnej stronie. Kilkadziesiąt sekund weryfikacji jest tańsze niż późniejsze odzyskiwanie pieniędzy.

Co zrobić z podejrzaną wiadomością?

Jeśli coś Ci się nie zgadza, nie musisz od razu prowadzić własnego śledztwa. Nie klikaj linku, nie odpowiadaj i nie otwieraj załącznika. Sprawdź nadawcę, a jeśli wiadomość dotyczy znanej firmy, wejdź na jej stronę niezależnie od linku znajdującego się w mailu.

• sprawdź pełny adres nadawcy, nie tylko wyświetlaną nazwę,
• sprawdź adres strony przed podaniem loginu i hasła,
• nie wykonuj pilnej płatności tylko na podstawie wiadomości e-mail,
• w razie wątpliwości potwierdź prośbę innym kanałem.

Podejrzaną wiadomość możesz również zgłosić do CERT Polska. Serwis przygotował osobne instrukcje eksportowania i zgłaszania e-maili między innymi z Gmaila, Interii, Onetu, WP, Roundcube i Thunderbirda. Zobacz instrukcje zgłaszania podejrzanych wiadomości do CERT Polska.

Bezpieczne korzystanie z poczty e-mail nie wymaga życia w ciągłym strachu przed oszustwem. Wystarczy wyrobić sobie prosty odruch: jeśli wiadomość próbuje wywołać presję, prosi o hasło, pieniądze, otwarcie niespodziewanego pliku albo zalogowanie się przez otrzymany link – zatrzymaj się na chwilę i sprawdź, z czym naprawdę masz do czynienia. To właśnie ta chwila zastanowienia bardzo często stanowi najlepsze zabezpieczenie.

„`