Phishing e-mail to oszustwo, w którym nadawca podszywa się pod osobę, firmę lub instytucję, aby nakłonić Cię do wykonania określonej czynności. Może chodzić o podanie hasła, danych karty, kodu autoryzacyjnego, wykonanie przelewu, otwarcie załącznika albo zalogowanie się na podstawionej stronie internetowej.

Phishing wykorzystuje przede wszystkim socjotechnikę, czyli manipulowanie człowiekiem. Wiadomość ma wyglądać wiarygodnie i wywołać reakcję: strach, pośpiech, ciekawość albo przekonanie, że pisze do Ciebie ktoś, komu możesz zaufać. Dlatego współczesnego phishingu nie warto rozpoznawać wyłącznie po literówkach czy kiepskim języku. Fałszywy e-mail może wyglądać bardzo profesjonalnie, a część zawartych w nim informacji może być całkowicie prawdziwa.

• Co to jest phishing i na czym polega?
• Jak działa phishing?
• Jak rozpoznać phishing e-mail?
• Jakie są rodzaje phishingu?
• Phishing, spam, spoofing i malware – czym się różnią?
• Jak nie dać się oszukać przez phishing?

W tym artykule zebrałem dla Ciebie najważniejsze informacje o phishingu i staram się wyjaśnić je możliwie prostym językiem. Nie chcę zasypywać Cię terminologią tylko po to, żeby tekst brzmiał technicznie. Zależy mi na tym, żebyś po przeczytaniu wiedział, co właściwie dzieje się podczas takiego ataku, czego chce od Ciebie oszust i które elementy wiadomości powinny zwrócić Twoją uwagę. Przy phishingu jeden konkretny przykład tłumaczy zwykle więcej niż kilka definicji.

Co to jest phishing i na czym polega?

Phishing należy do ataków wykorzystujących inżynierię społeczną, czyli socjotechnikę. Zamiast przełamywać zabezpieczenia komputera, oszust próbuje przekonać użytkownika, aby sam zrobił coś, co umożliwi kradzież pieniędzy, danych albo dostępu do konta.

Sama nazwa dobrze podpowiada, jak działa ten mechanizm. Angielskie fishing oznacza łowienie ryb. Oszust przygotowuje przynętę – wiadomość wyglądającą na wiarygodną – i liczy na to, że odbiorca „połknie haczyk”. Haczykiem może być link, załącznik, kod QR, formularz logowania albo prośba o wykonanie konkretnej czynności. Nie musi złapać każdego. W masowej kampanii wystarczy niewielki odsetek osób, które akurat czekają na paczkę, mają konto w danym banku albo korzystają z usługi, pod którą podszywa się nadawca.

Klasyczny phishing e-mail wygląda bardzo prosto. Dostajesz wiadomość rzekomo od banku, operatora poczty, kuriera, sklepu, urzędu albo pracodawcy. Z treści wynika, że musisz szybko zalogować się do konta, potwierdzić płatność, dopłacić niewielką kwotę, pobrać dokument albo otworzyć załącznik. Problem polega na tym, że nadawca albo strona, do której prowadzi wiadomość, nie są tym, za kogo się podają.

Celem phishingu nie musi być wyłącznie hasło. Oszust może próbować zdobyć dane karty, kod BLIK, kod jednorazowy, dane osobowe albo skłonić Cię do wykonania przelewu. Wiadomość może również prowadzić do pobrania złośliwego oprogramowania. Dlatego phishing nie jest „wirusem w mailu”. To sposób nakłonienia człowieka do działania, a dopiero jego konsekwencją może być przejęcie konta, infekcja urządzenia albo strata pieniędzy.

Jak działa phishing?

Wyobraź sobie, że dostajesz wiadomość: „Wykryliśmy nietypową próbę logowania do Twojego konta. Jeśli to nie Ty, zabezpiecz konto w ciągu 30 minut”. Pod spodem znajduje się przycisk. Klikasz, widzisz znajomą stronę logowania i wpisujesz adres e-mail oraz hasło. Wszystko wygląda tak, jak powinno – poza jednym szczegółem: formularz nie należy do usługi, z której korzystasz.

W dużym uproszczeniu atak wygląda tak:

• przynęta – wiadomość dotyczy czegoś, co jesteś w stanie uznać za prawdopodobne,
• emocja albo presja – pojawia się strach, pośpiech, ciekawość, obietnica korzyści lub autorytet nadawcy,
• działanie – klikasz, logujesz się, otwierasz plik, skanujesz kod QR, odpowiadasz albo wykonujesz przelew,
• korzyść napastnika – zdobywa dane, pieniądze lub dostęp potrzebny do dalszego ataku.

Zwróć uwagę, że phishing ma Ci dać powód do działania właśnie teraz. Konto zostanie zablokowane. Paczka wróci do nadawcy. Dokument czeka na podpis. Ktoś próbuje się zalogować. Należy Ci się zwrot pieniędzy. Oszust nie musi Cię do niczego zmuszać – wystarczy, że stworzy sytuację, w której sam uznasz kliknięcie za rozsądne.

Jak rozpoznać phishing e-mail?

Nie szukaj jednego charakterystycznego objawu. Dobra wiadomość phishingowa może nie zawierać ani jednej literówki, wykorzystywać poprawne logo firmy i wyglądać niemal identycznie jak prawdziwa korespondencja. Znacznie ważniejsze jest sprawdzenie, kto do Ciebie pisze, czego od Ciebie oczekuje i dokąd prowadzą umieszczone w wiadomości linki.

Co sprawdzić?	Na co zwrócić uwagę?
Adres nadawcy	Sprawdź przede wszystkim domenę po znaku @. Podobna nazwa, dodatkowe słowo albo inna końcówka domeny powinny zwrócić Twoją uwagę.
Reply-To	Wiadomość może wyglądać jak wysłana z jednego adresu, a odpowiedź zostać skierowana na zupełnie inną skrzynkę.
Link	Sprawdź rzeczywisty adres, do którego prowadzi odnośnik. Nazwa banku lub sklepu widoczna w treści linku nie oznacza jeszcze, że prowadzi on do właściwej domeny.
Presja czasu	„Konto zostanie zablokowane”, „zapłać w ciągu godziny”, „przesyłka zostanie zwrócona” – wymuszanie szybkiej reakcji jest częstym elementem phishingu.
Prośba o dane lub pieniądze	Zachowaj szczególną ostrożność, gdy wiadomość wymaga podania hasła, kodu, danych karty, wykonania przelewu albo instalacji programu.
Załącznik	Nieoczekiwany dokument, archiwum lub plik wykonywalny może być próbą dostarczenia złośliwego oprogramowania.

Sam opis brzmi dość technicznie, więc spójrz na kilka prostych przykładów:

• „Microsoft Account” w nazwie nadawcy, ale właściwy adres to konto@support365-login.example,
• „Bank XYZ” wysyła wiadomość z domeny, która tylko przypomina właściwą nazwę banku,
• „Jan Kowalski – Księgowość” pojawia się jako nazwa nadawcy, ale wiadomość została wysłana z zupełnie obcej domeny.

Adres widoczny przy nazwie nadawcy również nie daje stuprocentowej pewności. Nadawcę można próbować podszyć technicznie, a przestępca może też korzystać z wcześniej przejętej, prawdziwej skrzynki e-mail. Wtedy wiadomość rzeczywiście może pochodzić z adresu osoby, którą znasz. Jeżeli masz wątpliwości, zajrzyj do pełnego nagłówka wiadomości e-mail. Pola takie jak From, Reply-To, Return-Path, Received i Authentication-Results dostarczają dodatkowych informacji o technicznym pochodzeniu wiadomości.

Jeżeli chcesz dobrze zrozumieć, co właściwie pokazuje program pocztowy w polu nadawcy, przyda Ci się również artykuł co oznacza pole From w wiadomości e-mail. To jeden z tych elementów, które wyglądają banalnie, dopóki nie zaczniemy analizować podejrzanej korespondencji.

Jakie są rodzaje phishingu?

Wokół phishingu powstało wiele dodatkowych określeń. Nie oznacza to, że za każdym razem mamy do czynienia z całkowicie innym mechanizmem. Często zmienia się przede wszystkim kanał komunikacji albo to, jak dokładnie napastnik przygotował przynętę.

• Phishing e-mail – próba oszustwa rozpoczynająca się od wiadomości e-mail.
• Smishing – podobny schemat realizowany przez SMS lub inną wiadomość tekstową.
• Vishing – manipulacja prowadzona podczas rozmowy telefonicznej lub komunikacji głosowej.
• Quishing – wykorzystanie kodu QR prowadzącego np. do podstawionej strony.
• Spear phishing – precyzyjnie przygotowany atak skierowany do konkretnej osoby, firmy albo organizacji.
• Whaling – odmiana spear phishingu wymierzona przede wszystkim w osoby zajmujące wysokie stanowiska, np. właścicieli firm, członków zarządu i dyrektorów.

Jeżeli zwykły phishing porównamy do zarzucenia szerokiej sieci, spear phishing przypomina polowanie na wcześniej wybraną rybę. Nadawca potrafi znać Twoje stanowisko, nazwisko przełożonego, nazwę klienta albo projekt, przy którym pracujesz. Dlatego poświęcam temu zagrożeniu osobny artykuł.

Phishing, spam, spoofing i malware – czym się różnią?

Te pojęcia regularnie pojawiają się obok siebie i łatwo zacząć używać ich zamiennie. Nie opisują jednak tego samego.

Pojęcie	Co opisuje?	Przykład
Phishing	próbę zmanipulowania odbiorcy i nakłonienia go do działania	fałszywy e-mail banku prowadzący do strony wyłudzającej dane
Spam	masową, niezamówioną dystrybucję wiadomości	tysiące identycznych reklam wysłanych do przypadkowych adresów
Spoofing	podszywanie się pod inne źródło lub fałszowanie informacji o nadawcy	wiadomość wygląda, jakby została wysłana przez znaną firmę lub osobę
Malware	złośliwe oprogramowanie	załącznik lub pobrany program kradnie dane z komputera

Jedna wiadomość może być wszystkim po trochu. Może zostać rozesłana jako spam, podszywać się pod bank poprzez spoofing, prowadzić do phishingowej strony logowania, a znajdujący się w niej załącznik może dostarczać malware. To nie są więc cztery konkurencyjne nazwy tego samego zagrożenia. Każda opisuje inny element ataku.

W środowisku firmowym warto znać jeszcze pojęcie BEC, czyli Business Email Compromise. To oszustwo wykorzystujące komunikację biznesową i zaufanie pomiędzy pracownikami, kontrahentami lub kadrą zarządzającą. Phishing albo spear phishing mogą być jednym z narzędzi używanych do przygotowania takiego ataku, ale BEC jest szerszym scenariuszem oszustwa.

Jak nie dać się oszukać przez phishing?

Nie da się zagwarantować, że nigdy nie otrzymasz phishingu. Filtry antyspamowe i mechanizmy bezpieczeństwa ograniczają liczbę takich wiadomości, ale najważniejsza decyzja nadal należy do Ciebie: nie przekazuj danych ani pieniędzy tylko dlatego, że otrzymana wiadomość wygląda wiarygodnie.

Jeżeli bank informuje o problemie z kontem, nie loguj się przez przycisk w wiadomości. Otwórz aplikację bankową albo samodzielnie wpisz znany Ci adres serwisu. Jeśli kontrahent niespodziewanie przesyła nowe dane do płatności, zweryfikuj zmianę innym kanałem. Gdy współpracownik wysyła nietypowy dokument, zadzwoń do niego lub napisz osobną wiadomość i zapytaj, czy rzeczywiście go przesłał. Nie korzystaj przy tym z numeru telefonu podanego właśnie w podejrzanym mailu – użyj danych kontaktowych, które znasz już wcześniej.

W przypadku linku prowadzącego do formularza logowania najważniejsza jest domena widoczna w pasku adresu przeglądarki. Wygląd strony nie stanowi potwierdzenia jej autentyczności – grafikę, logo i układ prawdziwego serwisu można skopiować bardzo dokładnie. Jeżeli korzystasz z uwierzytelniania wieloskładnikowego, też nie zatwierdzaj automatycznie każdej prośby o logowanie. Kod albo powiadomienie MFA ma znaczenie tylko wtedy, gdy sam przed chwilą rozpocząłeś logowanie.

Jeżeli korzystasz z firmowej skrzynki, nie zakładaj, że zgłoszenie podejrzanego maila do IT jest zawracaniem komuś głowy. Ty widzisz jedną wiadomość. Administrator może właśnie dostać piąte takie zgłoszenie od różnych pracowników i zauważyć, że firma jest celem konkretnej kampanii. Na podstawie adresu nadawcy, domeny, linku albo załącznika można później przygotować regułę blokującą podobne wiadomości dla pozostałych użytkowników. Dlatego samo „to jakiś spam, usunę” nie zawsze jest najlepszą reakcją. Nie bójmy się nazywać zagrożeń po imieniu – szczególnie tam, gdzie prywatna ostrożność jednego pracownika przekłada się na bezpieczeństwo całej organizacji.

Jeżeli chcesz uporządkować podstawy ochrony swojej skrzynki również poza samym phishingiem, zajrzyj do poradnika jak bezpiecznie korzystać z poczty e-mail.

Pozostając przy temacie zagrożeń poczty elektronicznej, zapraszam Cię również do przeczytania:

• Spam – co to jest i czym różni się od newslettera? – jeśli chcesz uporządkować różnicę między masową, niezamówioną korespondencją a phishingiem.
• Spear phishing – co to jest i czym różni się od phishingu? – o atakach przygotowanych pod konkretną osobę albo firmę.
• BEC (Business Email Compromise) – co to jest i jak działa? – o oszustwach wykorzystujących firmową korespondencję, relacje biznesowe i procesy płatnicze.

Phishing działa najlepiej wtedy, gdy przynęta pasuje do sytuacji odbiorcy na tyle dobrze, że przestaje on analizować samą wiadomość. Dlatego zamiast zapamiętywać kilkanaście nazw ataków, zapamiętaj ich wspólny mechanizm: ktoś próbuje wzbudzić zaufanie lub emocję i doprowadzić Cię do działania, którego bez tej wiadomości prawdopodobnie byś nie wykonał.