Nie daj się złowić w sieci

32

Jest wędka, przynęta i haczyk. Na to, na co dają się nabrać ryby, nabierają się i ludzie. Phishing, bo o nim mowa, polega na wyłudzaniu danych do logowania lub innych informacji dotyczących kont w internecie. Wszystko to, by dobrać się do waszych pieniędzy.

Eksperci z firmy zajmującej się bezpieczeństwem komputerowym Kaspersky Lab podsumowali informacje dotyczące cyberzagrożeń, wykorzystywanych do kradzieży pieniędzy użytkowników w 2014 r. Z badania wynika, że w minionym roku 28,8 proc. ataków phishingowych miało na celu kradzież danych finansowych. Porównując wszystkie ataki phishingowe, odsetek phishingu finansowego zmniejszył się w ubiegłym roku o 2,7 proc. w porównaniu z 2013 r. – głównie na skutek spadku poziomu phishingu bankowego. Jednocześnie zwiększył się proporcjonalnie odsetek phishingu atakującego inne kategorie finansowe.

Cyberprzestępcy wykorzystywali nazwy dobrze znanych banków w 16,3 proc. ataków; w 2013 r. odsetek phishingu bankowego wynosił 22,2 proc. W kategorii systemy płatności cyberprzestępcy brali na celownik głównie dane należące do użytkowników kart Visa (31,02 proc. ataków), PayPal (30,03 proc.) oraz American Express (24,6 proc.). Nie zabrakło również wykorzystywania nazwy znanych sklepów internetowych, których odsetek wynosił 7,3 proc. ze wszystkich ataków (6,5 proc. w 2013 r.). Przestępcy najczęściej podszywali się pod sklep Amazon – 31,7% ataków, na drugim miejscu znalazł się sklep Apple – 14,13% ataków. W trzeciej kolejności przestępcy wykorzystywali nazwę sklepu internetowego Ebay. Ataków z wykorzystaniem tej marki było 10,66 proc.

Atak phishingowy to specyficzny rodzaj cyberprzestępczości. Przestępcy tworząc prawie idealną kopię strony np. banku bądź innej instytucji finansowej, próbują nakłonić nas do przekazania im wrażliwych danych, takich jak loginy, hasła czy numery PIN. Oszuści bardzo się starają, by wszystko wyglądało idealnie – to samo logo, ta sama grafika i układ, do których jesteśmy przyzwyczajeni.

Ten rodzaj cyberataku zaczyna się zazwyczaj od maili z informacją o zablokowaniu konta i prośbą o weryfikację danych. Zdarza się również, że w treści użytkownicy przekonywani są, że instytucja zmienia infrastrukturę techniczną i w związku z tym uprasza się o powtórne przekazanie danych i tym samym ich potwierdzenie.

Specjaliści ostrzegają, by do takich poleceń nigdy się nie stosować. Żadne instytucje nie prowadzą autoryzacji w ten sposób i nie wymagają podawania kodów ani korzystania z przysyłanych linków. W przypadku otrzymania takiej korespondencji pod żadnym pozorem nie należy klikać na jakiekolwiek linki, które zostaną przysłane, nie wolno też otwierać żadnych załączników. Należy natomiast przyjrzeć się wszystkim danym w polu nadawcy wiadomości, zwłaszcza adresowi. W przypadku próby wyłudzenia dostępu do konta zwykle adres jest minimalnie zmodyfikowany w stosunku do oryginalnego. Na przykład zamiast literami „com” kończy się literami „eu” lub innymi mniej popularnymi końcówkami adresów. Mogą też pojawić się znaki, takie jak podkreślnik. Cyberprzestępcy używają również adresów www, które są podobne do nazw znanych instytucji, lecz są w jakiś sposób zmienione poprzez dodanie, opuszczenie albo przestawienie liter. Przykładowo zamiast adresu bankofamerica.com oszuści mogą stosować bankoamerica.com bądź baknofamerica.com. Jest to tak zwane typosquatting czy cybersquatting i ma na celu uśpienie naszej czujności.

Jak w każdym przypadku oszustwa, ważna jak zwykle jest ostrożność, ale w tym wypadku również dobre zabezpieczenie komputera programem antywirusowym. Coraz częściej oszuści próbują na naszych komputerach zainstalować programy, które działają w tzw. tle, a użytkownik nie wie o ich istnieniu. Szkodliwy program uaktywnia się w momencie zalogowania do bankowości elektronicznej. Przy próbie wysłania przelewu na konto, którego numer wpiszemy na zasadzie „kopiuj-wklej”, program automatycznie zmienia numer konta. W ten sposób przelewamy pieniądze na konto oszusta. Ważne więc by dokładnie weryfikować numery kont na każdym etapie, a zwłaszcza przed ostatecznym zatwierdzeniem przelewu kodem, zwykle przysyłanym przez bank na numer telefonu komórkowego.

Logując się do serwisu transakcyjnego należy zawsze upewnić się, czy połączenie jest szyfrowane, sprawdzając, czy adres strony w oknie przeglądarki rozpoczyna się od https:// oraz czy na pasku u dołu lub u góry ekranu (w zależności od wykorzystywanej przeglądarki) pojawia się ikona z zamkniętą kłódką – obecność kłódki świadczy o tym, że strona jest zabezpieczona certyfikatem bezpieczeństwa, a połączenie jest szyfrowane. Po kliknięciu na kłódkę można sprawdzić poprawność oraz aktualność certyfikatu.

Phishingu przestępcy dokonują również przy pomocy telefonów, lecz schemat działania jest zbliżony do tego, który stosują oni w emailach. Zazwyczaj kierują cię do numeru telefonu, pod którym osoba lub automat czeka na podanie przez ciebie numeru konta, PIN-u, hasła, czy innych wartościowych danych osobowych.

Jeśli padniecie ofiarą phishingu, to warto byście jak najszybciej podjęli kilka ważnych działań. Po pierwsze zmieńcie hasła i loginy na wszystkich kontach, które według was zostały przejęte przez przestępców. Wiadomym krokiem jest zgłoszenia przestępstwa, zarówno do danej instytucji, w której mieliście konto, jak i na policję. Im szybciej to zrobimy, tym lepiej dla nas. Nie warto utrzymywać dalej danego konta, lepiej założyć nowe, to zminimalizuje ryzyko powtórzenia się sytuacji w przyszłości. By nasza reakcja na kradzież była możliwie jak najszybsza, w przypadku banków warto często sprawdzać wyciągi z konta i wyłapywać ewentualne transakcje, których nie dokonaliśmy. Nie bądźcie także leniwi i nie klikajcie w linki podane w waszych emailach. Lepiej wpisać je bezpośrednio w adres przeglądarki, a wtedy będziecie pewni, że wchodzicie na stronę, o którą wam chodzi. A jeśli już mowa o przeglądarkach internetowych, to ważne byśmy używali ich najświeższych wersji i zezwalali na wszelkie aktualizacje dotyczące bezpieczeństwa.

Phishing, choć w wymowie kojarzy się ze słowem „fishing”, czyli wędkowaniem, to z tym spokojnym i bezpiecznym hobby ma niewiele wspólnego. Jeśli nie chcecie wpaść w hakerskie sieci, miejcie oczy szeroko otwarte, bo chodzi o pieniądze… wasze pieniądze.

Autor: Przemek Cebula