Zwykły phishing działa trochę statystycznie: wysłać wiadomość do dużej grupy i liczyć, że ktoś akurat czeka na paczkę, ma konto w danym banku albo przestraszy się komunikatu o blokadzie konta. Spear phishing działa odwrotnie. Najpierw wybierana jest konkretna osoba albo firma, a dopiero później powstaje wiadomość.
To zmienia bardzo dużo. E-mail może zawierać Twoje prawdziwe imię, nazwę firmy, stanowisko, nazwisko przełożonego, klienta, z którym naprawdę pracujesz, a nawet odnosić się do projektu, o którym pisałeś publicznie kilka dni wcześniej. I właśnie dlatego spear phishing jest trudniejszy do rozpoznania: część informacji w fałszywej wiadomości jest prawdziwa.
- Co to jest spear phishing?
- W spear phishingu najpierw wybiera się cel, dopiero potem przynętę
- Dlaczego spear phishing działa inaczej niż zwykły phishing?
- Jak może wyglądać spear phishing?
- Jak rozpoznać spear phishing, skoro wiadomość zna prawdziwe szczegóły?
- Spear phishing, whaling i BEC – jak są ze sobą powiązane?
- Jak ograniczyć ryzyko spear phishingu?
Dlaczego wiadomość skierowana specjalnie do Ciebie działa inaczej niż masowy phishing. Nie będę powtarzał całego poradnika o phishingu, bo ten temat opisałem osobno. Tutaj interesuje nas przede wszystkim selekcja celu, wcześniejsze rozpoznanie i personalizacja – czyli to, co sprawia, że fałszywy e-mail zaczyna wyglądać jak zwykły element Twojej pracy.
Co to jest spear phishing?
Spear phishing to ukierunkowana forma phishingu przygotowana dla konkretnej osoby, firmy, zespołu albo grupy odbiorców. Napastnik nie wysyła po prostu tej samej wiadomości do tysięcy przypadkowych adresów. Najpierw zbiera informacje, wybiera cel i buduje przynętę tak, aby pasowała do jego sytuacji.
Jeżeli klasyczny phishing porównamy do zarzucenia szerokiej sieci, spear phishing bardziej przypomina łowienie konkretnej ryby. Wiesz już, czego szukasz, dobierasz miejsce, porę i przynętę. To właśnie oznacza słowo spear – włócznię lub harpun. Nie chodzi więc tylko o inną nazwę tego samego ataku, ale o zupełnie inne podejście do wyboru ofiary.
Najważniejsze jest jednak to, że spear phishing nadal opiera się na tej samej podstawie co zwykły phishing: ktoś chce skłonić Cię do określonego działania. Różnica polega na tym, że zanim zobaczysz wiadomość, ktoś po drugiej stronie mógł już poświęcić czas na sprawdzenie, kim jesteś i co może zabrzmieć dla Ciebie wiarygodnie.
W spear phishingu najpierw wybiera się cel, dopiero potem przynętę
To moim zdaniem najlepszy sposób na zrozumienie spear phishingu. Atak nie zaczyna się od pisania e-maila. Zaczyna się od researchu.
Napastnik może sprawdzić stronę firmy, LinkedIn, profile pracowników, komunikaty prasowe, wpisy w social media, listę partnerów, wydarzenia branżowe czy publiczne dokumenty. Z takich drobiazgów da się zbudować całkiem dokładny obraz organizacji. Kto odpowiada za finanse? Kto pracuje w HR? Kto właśnie awansował? Kto jest na urlopie? Z jakiego systemu korzysta firma? Który klient jest dla niej ważny? Jeśli wcześniej przejęto jakieś konto albo pozyskano dane z wycieku, materiału jest jeszcze więcej. I dopiero wtedy powstaje wiadomość.
Typowy ciąg wygląda mniej więcej tak:
- wybór celu – konkretna osoba, dział albo organizacja,
- rozpoznanie – zebranie informacji o stanowisku, relacjach, narzędziach i bieżących sprawach,
- stworzenie pretekstu – takiego, który pasuje do codziennej pracy odbiorcy,
- personalizacja wiadomości – prawdziwe nazwiska, projekty, dokumenty, marki lub sytuacje,
- dostarczenie przynęty – e-mail, formularz, załącznik, link, komunikator,
- działanie ofiary – kliknięcie, logowanie, przekazanie danych, uruchomienie pliku albo wykonanie polecenia.
W masowym phishingu oszust liczy na skalę. W spear phishingu liczy na jakość przygotowania.
Dlaczego spear phishing działa inaczej niż zwykły phishing?
Nie dlatego, że wykorzystuje zupełnie inne narzędzia. Link nadal może prowadzić do fałszywej strony, załącznik nadal może być złośliwy, a wiadomość nadal może próbować wyłudzić hasło. Różnica leży w kontekście.
| Phishing | Spear phishing |
|---|---|
| najczęściej masowy | ukierunkowany na konkretny cel |
| generyczna wiadomość | wiadomość spersonalizowana |
| niewielka wiedza o odbiorcy | wcześniejszy research i zbieranie danych |
| ta sama przynęta dla wielu osób | przynęta dopasowana do roli, relacji lub sytuacji |
| duża liczba odbiorców | jedna osoba, zespół albo wybrana organizacja |
I tutaj pojawia się coś, co łatwo przeoczyć: to, że wiadomość zna Twoje nazwisko, nie znaczy, że zna Cię człowiek. Część informacji, które jeszcze kilka lat temu wyglądałyby na „tajne”, dzisiaj leży publicznie w Internecie. Stanowisko z LinkedIna, zdjęcie identyfikatora z konferencji, informacja o nowym kontrakcie na stronie firmy, komentarz pracownika pod postem klienta – dla napastnika to gotowe elementy układanki.
Jak może wyglądać spear phishing?
Najlepsze przykłady spear phishingu nie brzmią jak scenariusz z filmu. Brzmią zwyczajnie – i właśnie dlatego działają.
- Fałszywa skarga klienta: przełożony „przekazuje” Ci wiadomość z informacją, że klient złożył skargę na Twoją obsługę. Masz sprawdzić szczegóły w załączniku lub dokumencie. Naturalna reakcja? Chcesz od razu zobaczyć, czego dotyczy problem.
- „New voicemail” dla konkretnego pracownika: dostajesz informację o nowej wiadomości głosowej z nazwą firmy i własnym adresem e-mail. Link prowadzi do strony przypominającej Outlook lub Microsoft 365 i prosi o ponowne zalogowanie.
- Dokument dla działu finansowego: wiadomość od osoby wyglądającej jak kontrahent informuje o zmianach w zamówieniu albo nowej fakturze. Treść wykorzystuje prawdziwą nazwę projektu, klienta lub osoby odpowiedzialnej za zakup.
Zwróć uwagę, że w każdym przypadku przynęta uderza w coś, co jest dla odbiorcy osobiście istotne: reputację, obowiązek służbowy, pieniądze albo bieżący projekt. To dużo mocniejsze niż przypadkowy komunikat „Twoje konto zostanie zamknięte”.
W spear phishingu nie trzeba też zawsze podawać fałszywych informacji. Oszust może wykorzystać prawdziwe nazwisko przełożonego, prawdziwą nazwę klienta i prawdziwy termin wydarzenia. Fałszywy pozostaje dopiero link, załącznik, instrukcja albo osoba, która kontroluje dalszy etap.
Jak rozpoznać spear phishing, skoro wiadomość zna prawdziwe szczegóły?
To jest najtrudniejsza część. W zwykłym phishingu często pomaga pytanie: „czy ja w ogóle korzystam z tej usługi?”. W spear phishingu odpowiedź może brzmieć „tak”. Możesz rzeczywiście znać nadawcę, rzeczywiście pracować przy tym projekcie i rzeczywiście czekać na dokument. Dlatego zamiast sprawdzać wyłącznie treść, trzeba sprawdzić również czy sposób kontaktu i żądanie pasują do normalnego procesu.
Ja patrzyłbym przede wszystkim na takie sytuacje:
- ktoś, kogo znasz, nagle korzysta z innego adresu lub domeny,
- wiadomość zawiera dużo prawdziwych informacji, ale prowadzi do nietypowego logowania,
- pojawia się prośba o wykonanie czynności, której wcześniej nie robiłeś w ten sposób,
- załącznik albo link pojawia się w kontekście, który wywołuje presję, ciekawość lub obawę o własną reputację,
- nadawca prosi, żeby sprawy nie potwierdzać innym kanałem albo działać wyjątkowo szybko.
Jeżeli wiadomość budzi wątpliwości, sprawdź pełny nagłówek wiadomości e-mail i zwróć uwagę na właściwy adres nadawcy, pole From, Reply-To oraz domenę. Ale pamiętaj: technicznie prawidłowa wiadomość także może być elementem ataku, jeśli przestępca korzysta z przejętego konta. Dlatego analiza techniczna i znajomość firmowego procesu powinny się uzupełniać.
Właśnie tutaj najłatwiej popełnić błąd polegający na myśleniu: „przecież on zna moje nazwisko i nazwę klienta, więc wiadomość musi być prawdziwa”. Nie musi. Dzisiaj personalizacja nie jest dowodem autentyczności. Jest jednym z narzędzi napastnika.
Spear phishing, whaling i BEC – jak są ze sobą powiązane?
Te pojęcia są blisko siebie, ale opisują różne rzeczy.
| Pojęcie | Co opisuje? |
|---|---|
| Spear phishing | ukierunkowaną próbę oszustwa przygotowaną dla konkretnej osoby lub organizacji |
| Whaling | spear phishing skierowany do osób na wysokich stanowiskach, np. prezesa, właściciela firmy lub dyrektora |
| BEC | scenariusz oszustwa biznesowego wykorzystujący firmową komunikację, zaufanie i procesy finansowe |
Business Email Compromise może być poprzedzony spear phishingiem. Napastnik najpierw przygotowuje wiadomość dla konkretnego pracownika, przejmuje jego konto albo zdobywa potrzebne informacje, a później wykorzystuje dostęp do fałszywej faktury, zmiany rachunku czy podszywania się pod kontrahenta. Spear phishing opisuje sposób dojścia do celu, a BEC cały scenariusz oszustwa biznesowego.
Whaling natomiast nie wymaga osobnej filozofii działania. To po prostu spear phishing skierowany wyżej w hierarchii. Prezes, dyrektor finansowy czy właściciel firmy są atrakcyjnymi celami, bo ich konto, decyzja albo autorytet mogą otworzyć drogę do dużo większych strat.
Jak ograniczyć ryzyko spear phishingu?
W spear phishingu największym błędem jest przekonanie, że wystarczy nauczyć pracowników „nie klikać podejrzanych linków”. Przecież cała idea tego ataku polega na tym, żeby link albo wiadomość nie wyglądały podejrzanie.
Dlatego lepiej oprzeć ochronę na kilku prostych zasadach: nietypowe prośby potwierdzamy innym kanałem, nie zatwierdzamy logowania, którego sami nie rozpoczęliśmy, ważnych zmian w płatnościach lub dostępie nie wykonujemy na podstawie jednej wiadomości, a podejrzany e-mail zgłaszamy zamiast tylko usuwać. Dobrze działa również MFA, ograniczenie uprawnień oraz monitorowanie nietypowych logowań, ale techniczne zabezpieczenia nie zastępują weryfikacji kontekstu.
Jeżeli pracujesz w większej firmie, nie zakładaj, że zgłoszenie jednej dziwnej wiadomości niczego nie zmieni. Ty widzisz jeden e-mail. Zespół IT może właśnie widzieć piąty podobny przypadek w różnych działach i na tej podstawie zauważyć całą kampanię. W spear phishingu kontekst organizacyjny ma ogromne znaczenie, bo to, co dla jednej osoby wygląda jak „dziwna wiadomość”, dla administratora może być sygnałem celowanego ataku.
Jeżeli chcesz szerzej uporządkować zasady ochrony konta i skrzynki, zajrzyj również do poradnika jak bezpiecznie korzystać z poczty e-mail oraz tekstu jak dbać o bezpieczeństwo podczas logowania.
Pozostając przy temacie zagrożeń poczty elektronicznej, zapraszam Cię również do przeczytania:
- Co to jest phishing e-mail i jak go rozpoznać? – jeśli chcesz zacząć od podstaw i zobaczyć cały mechanizm phishingu.
- BEC (Business Email Compromise) – co to jest i jak działa? – o oszustwach, w których firmowa komunikacja i zaufanie są wykorzystywane do wyłudzania pieniędzy lub danych.
- Spam – co to jest i czym różni się od newslettera? – jeśli chcesz zobaczyć, czym masowa niezamówiona korespondencja różni się od ukierunkowanego ataku.
Jeżeli miałbym zostawić Ci jedną myśl, byłaby bardzo prosta: w spear phishingu najbardziej podejrzane nie musi być to, co fałszywe. Najbardziej niebezpieczne bywa to, co jest prawdziwe i zostało użyte w fałszywym kontekście. Dlatego im bardziej wiadomość wygląda jak coś „tylko dla Ciebie”, tym bardziej warto sprawdzić, skąd nadawca zna te informacje i czy prośba naprawdę pasuje do sposobu, w jaki zwykle pracujesz.