Nie daj się złowić, czyli okazyjne wyłudzanie danych
2018-12-13 Łukasz Walicki
W poprzedniej części powiedzieliśmy sobie kilka słów na temat ogólnych zagrożeń jakie „czyhają” na nas w Internecie, skupiając się finalnie na jednym z najczęściej chyba występujących obecnie, czyli phishingu. Dziś chciałbym zasugerować kilka „praktycznych” rzeczy, które każdy nawet zwykły – nieposiadający „tajemnego informatycznego wykształcenia” użytkownik, może zrobić, żeby być odrobinę bardziej bezpiecznym w sieci.
Jeśli chodzi o sam phishing, to wiąże się z nim jedna bardzo pocieszająca informacja: na 99% jesteśmy najprawdopodobniej tylko jednymi z wielu w kierunku których „zarzucana jest przynęta”. Dokładnie tak, jak z rybakiem idącym na połów. Zarzucając wędkę, raczej nie skupia się na tym, żeby złowić tę jedną – konkretną rybę. Liczy bardziej na efekt skali – jeśli zarzucił dobrą przynętę pośród ławicy ryb, ma spore szanse na to, że któraś się w końcu złapie. No właśnie, więc jak nie dać się złapać?
Dziś chciałbym się skupić na wiadomościach email – to chyba największa „zmora” dzisiejszych czasów. Codziennie jesteśmy zasypywani dziesiątkami (jeśli nie stekami) wiadomości przeróżnej treści: reklamy, propozycje zainwestowania naszych pieniędzy, treści erotyczne i wiele innych. I w tym gąszczu komunikacyjnym oszuści także niestety „wywęszyli” swoja szansę.
Posłużmy się w tym miejscu przykładem. Otrzymujemy na swoją skrzynkę mailową taką wiadomość:
Wiadomość taką naprawdę dostałem kilka dni temu na swoją skrzynkę J
Na pierwszy rzut oka – rachunek, wezwanie do zapłaty. Ok, nie kojarzę od razu, ale kto wie, często robię zakupy w Internecie, może to jakaś „zaginiona” faktura? Należałoby otworzyć i sprawdzić prawda…? Nie! W takich właśnie sytuacjach powinna zaświecić się nam lampka alarmu. Przyjrzyjmy się bliżej tej wiadomości:
– Nadawcą jest pan Krzysztof W (co nie budzi podejrzeń bo przecież nie jest to jakieś dziwnie brzmiące imię w stylu „Mbawa Putinho Garcia” – taki mail zapewne zostałby przez nas skasowany bez przeczytania). Ale – pierwszy sygnał alarmowy – dlaczego pan Krzysztof wysyła nam maila z adresu ticket@2b41.org?? W porządku, będę dociekliwy i sprawdzę czy na przykład strona www.2b41.org w ogóle istnieje. Jakież jest moje zaskoczenie kiedy wpisuję adres w przeglądarkę….a strony tam nie ma.
– Sama treść maila nie budzi w sumie większych zastrzeżeń – ot standardowe powitanie, lakoniczna notka z linkiem do rzekomego rachunku i… podpis. No właśnie – kolejny sygnał alarmowy – dlaczego Pan Krzysztof podpisuje się jako Pani Kamila M?? Niech będzie, jestem dociekliwy więc poświęcę jeszcze chwilę czasu, żeby sprawdzić, czy firma podana w mailu w ogóle istnieje. Uruchamiam przeglądarkę, wpisuję nazwę i…jest, faktycznie taka firma istnieje. Co teraz?
Podstawowe pytanie, jakie powinniśmy sobie zadać na samym początku to „czy ja kiedykolwiek miałem do czynienia z firma o podanej w stopce nazwie? Czy kupowałem coś od tej firmy, lub czy być może (co sugeruje treść maila) wykonywała na jakieś prace na moje zlecenie?” Zapewne nie J I na tym na dobra sprawę powinniśmy zakończyć nasze „śledztwo” i od razu usunąć taka wiadomość. Ale…pójdźmy jeszcze krok dalej J
– Wisienka na trocie, czyli link. Nie ma w nim ani śladu nazwy firmy podanej w stopce, to raz. Dwa, domeną na pewno nie jest również ta podana w mailu. Trzy – delikatnie mówiąc link wygląda „podejrzanie”
Jeśli kiedykolwiek dostaniecie takiego (lub podobnego) maila – po prostu go usuńcie. Ale żeby zaspokoić Waszą ciekawość, pokusiłem się i w odizolowanym i zabezpieczonym środowisku otworzyłem podany w mailu link. Nie trudno się było domyślić (poza tym, że system antywirusowy zaczął bić na alarm), że pod tym adresem mamy do pobrania plik *.zip wewnątrz którego znajduje się plik *.vbs – skrypt, który może w sobie zawierać naprawdę dowolny złośliwy kod.
Oczywiście powyższy przykład jest dość oczywisty do zinterpretowania – mail od nieznanej firmy, dziwny adres, dziwny link – do kosza. Ale co jeśli dostanę podobną wiadomość, która do złudzenia będzie przypominała wiadomość z mojego….banku? Zasada jest ta sama. Zanim cokolwiek „klikniecie” poświęćcie 60 sekund na analizę wspomnianych powyżej rzeczy. A jeśli dalej będziecie mieć wątpliwości, zadzwońcie po prostu do banku i zweryfikujcie, czy faktycznie wysyłał on do Was taka wiadomość.
