Phishing i spear phishing – jak łatwo firma może paść ofiarą cyberprzestępstwa?

Phishing to przemyślana metoda wyłudzania danych, instalowania złośliwego oprogramowania, niekiedy także wyłudzania pieniędzy. Natomiast spear phishing to precyzyjne manipulowanie ofiarą bazujące na dokładniejszych informacjach na jej temat. Przestępstwo powoduje, że osoba zaatakowana przekazuje dobrowolnie dane lub pieniądze, ponieważ jest przekonana, że rozmawia z kimś, komu może zaufać, np. z osobą z banku, urzędu, ze współpracownikiem itd.

Phishing i spear phishing to metody polegające na podszywaniu się przez cyberprzestępców pod instytucje lub osoby w celu nakłonienia ofiary do określonych działań. Adresaci tego ataku podejmują aktywność w odpowiedzi na otrzymane wiadomości w przekonaniu, że prowadzą konwersację ze znanymi im podmiotami lub ludźmi. Ofiarą bardzo często padają pracownicy firm, a wraz z nimi przedsiębiorstwa, które w wyniku oszustwa tracą pieniądze lub kontrolę nad ważnymi danymi.

Czym jest phishing?

Phishing to metoda polegająca na podszywaniu się pod instytucje lub osoby stosowana przez cyberprzestępców w celu nakłonienia do przekazania poufnych danych czy zainstalowania złośliwego oprogramowania. Ofiara wykonuje pewne działania w przekonaniu, że prowadzi komunikację z kimś godnym zaufania, jak przedstawiciel banku czy znajomy. W jego efekcie można utracić kontrolę and ważnymi danymi lub kontem w banku czy w mediach społecznościowych. Niekiedy przestępcom udaje się doprowadzić do zainstalowania na urządzeniu oprogramowania typu malware.

Czym jest spear phishing?

Spear phishing to rodzaj phishingu, który jest wysoko spersonalizowany. Wymaga od cyberprzestępców dokładniejszego zapoznania się z sytuacją adresata ataku. Oszuści najczęściej dysponują dokładnymi danymi dotyczącymi ofiary. Efekty takiego ataku mogą być o wiele bardziej dotkliwe, gdyż w takich sytuacjach zakres działań, do których przekonywany jest adresat spear phishingu, może być stosunkowo szeroki. Przestępcy podszywając się pod partnera biznesowego czy instytucje, mogą wyłudzić pieniądze, uzyskać dostęp do tajemnicy handlowej przedsiębiorstwa lub pozyskać bardzo wrażliwe informacje.

Przykład oszustwa typu spear phishing

W połowie września 2023 roku poinformowano, że Prokuratura Regionalna w Łodzi bada sprawę dotyczącą oszukania urzędników samorządów przez grupę cyberprzestępców podszywających się pod pracowników banków. Ze wstępnych danych wynika, że przeprowadzony przez nich spear phishing miał doprowadzić do uszczuplenia budżetów samorządowych o 11 milionów złotych. To właśnie taką kwotę urzędnicy przekazali – jak sądzili – na lokaty terminowe o preferencyjnych warunkach. Po czasie okazało się, że środki finansowe zostały przelane na rachunki, których właścicielami są osoby pełniące role „słupów”. Pieniądze skradzione samorządom – a więc podatnikom – przestępcy przeznaczali na zakup kryptowalut. Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) wskazało, że działania typu phishing podejmowane były względem 93 urzędów miast, gmin i starostw powiatowych. 

Atak typu phishing wymaga przygotowania

Oszustwo typu phishing wymaga odpowiedniego przygotowania. Przestępcy planują z większą (szczególnie w przypadku spear phishingu) bądź mniejszą precyzją swoje działania, tak aby skutecznie wprowadzić ofiary w błąd. W przedstawionym przykładzie – według danych CBZC – wśród podejrzanych znajdowały się osoby z doświadczeniem w sprzedaży usług finansowych dla sektora korporacyjnego. Tym samym w przestępstwo zaangażowani byli specjaliści znający zasady sprzedaży produktów bankowych, takich jak lokaty. Osoby te doskonale zdawały sobie sprawę z tego, w jaki sposób przebiega komunikacja w trakcie negocjacji i ustalania warunków podpisywania umów dotyczących tego typu usług. 

W przypadku spear phishing ważnym aspektem jest również dokładne poznanie ofiary. Dotyczy to znajomości struktury podmiotu, do którego kierowana jest komunikacja, a także bardziej szczegółowych informacji na temat adresata wiadomości. Najczęściej struktura urzędu jest możliwa do zweryfikowania z wykorzystaniem informacji dostępnych w Internecie. Niekiedy do pozyskania dodatkowych danych niezbędne jest wykonanie kilku telefonów. W każdym jednak przypadku określone informacje są jawne, więc sam fakt próby ich pozyskania nie wzbudza podejrzeń. 

Podobnie sprawa wygląda w wielu firmach. Dane udostępniane są na stronach internetowych i w mediach społecznościowych przez same przedsiębiorstwa. Pracownicy przekazują dodatkowe informacje za pośrednictwem social media czy też w komunikacji z różnymi osobami oraz podmiotami. Wielokrotnie relatywnie krótki research wystarczy do zebrania wielu interesujących danych.

Phishing – jak działają przestępcy?

W przypadku oszustwa typu phishing przestępcy wykorzystują dwa mechanizmy: rutynowość i wyjątkowość sytuacji. Można na pierwszy rzut oka stwierdzić, że oba czynniki stoją ze sobą w sprzeczności. W tym wypadku jednak idealnie się uzupełniają. 

Z jednej strony – czytanie wiadomości mailowych wykonywane jest rutynowo i automatycznie, z pominięciem wielu szczegółów. Automatyczne przetwarzanie informacji przebiega szybko, jednak pozbawione jest analizy charakterystycznej dla przetwarzania kontrolowanego. Stąd podczas odczytywania wiadomości pomijane są detale, na których skupilibyśmy się dłużej, gdybyśmy nie traktowali ich jako coś oczywistego czy standardowego. 

Z drugiej – poczucie nadarzającej się okazji lub niestandardowej sytuacji wymagającej szybkiego działania powoduje, że decyzja zapada szybko, zdecydowanie zbyt szybko. Wzmacnia to wyżej opisane negatywne konsekwencje automatycznego przetwarzania informacji. W efekcie oba mechanizmy razem sprawiają, że ofiara pomija szczegóły, których dostrzeżenie mogłyby uchronić ją przed oszustwem.

Sama treść przesłana przez przestępców zawiera elementy uwiarygadniające, znane odbiorcy i przez to usypiające jego czujność. Takimi informacjami, które budują zaufanie mogą być:

• znane ofierze imię i nazwisko opiekuna klienta;
• nazwa banku, w którym ofiara lub jej firma posiadają konto;
• nawiązanie do znanych sytuacji z przeszłości dotyczących ofiary lub firmy;
• nawiązania do bieżących faktów z życia ofiary oraz jej tożsamości (np. stanowiska ofiary, danych osobowych, harmonogramu dnia itp.).

W najbliższym czasie możliwe stanie się także szersze wykorzystanie sztucznej inteligencji do tworzenia treści deepfake. Będą one zawierały sfałszowane filmy, do których podłożono dialogi wygenerowane przez algorytmy AI, a ruch ust postaci dopasowano do wypowiadanych kwestii. W ten sposób można podszyć się pod wybraną osobę, w celu uwiarygodnienia komunikacji. Wskazane ryzyko wymaga dokładniejszego dopracowania prawa w zakresie tworzenia treści za pomocą sztucznej inteligencji.

Domena zdradza phishing

Najczęściej phishing można rozpoznać poprzez sprawdzenie domeny w adresie e-mail. W większości przypadków część adresu e-mail za małpą będzie taka sama, jak adres strony internetowej firmy. Oczywiście zdarza się, że firma posiada osobną domenę na potrzeby poczty, a strona czy sklep internetowy znajdują się na innej domenie. Tak czy inaczej, adres mailowy przedsiębiorstwa zazwyczaj znajduje się na jego stronie internetowej w zakładce „Kontakt” lub w stopce. Jeżeli wiadomość, którą otrzymaliśmy, wysłana została z innej domeny, to znak, że należy zachować czujność.

Przestępcy zdają sobie z tego sprawę. Stąd wykorzystują do oszustwa domeny łudząco podobne do tych „oryginalnych”. Technika ta nazywa się typosquatting. Spójrzmy na poniższy przykład z zastosowaniem typografii wiadomości odczytywanej za pomocą strony w poczcie Gmail.

Wiadomość e-mail została wysłana z adresu: kontakt@gabrieladluqosz.pl zamiast: kontakt@gabrieladlugosz.pl. W fałszywej domenie „g” zastąpiono literą „q”. Przy krótkim kontakcie wzrokowym różnica ta może zostać pominięta. Na ogół zapoznanie się z adresem e-mail to właśnie szybkie, automatyczne spojrzenie. 

Można oczywiście podać różne przykłady zastosowania techniki typosquatting, np. kontakt@rnbank.pl zamiast kontakt@mbank.pl (litera „m” została zastąpiona literami „r” i „n”). W tym przypadku nie bez znaczenia jest fakt, że mózg ludzki wykazuje tendencję do odczytywania bodźców wizualnych w zgodzie z tym, czego się spodziewamy. We wskazanym przykładzie spodziewając się określonej domeny, przy krótkim kontakcie wzrokowym z treścią możemy dostrzec „m” w zlepku „rn” oraz „g” w literze „q”. Treść wiadomości w przypadku phishingu tworzona jest w taki sposób, aby przypominała wiarygodną korespondencję, co dodatkowo usypia czujność.

W powyżej zaprezentowanej wiadomości możliwe byłoby zastosowanie linku o kotwicy – czyli treści – „Wejdź na blog” kierującego na domenę z literą „q”, gabrieladluqosz.pl. Taka domena jest w pełni kontrolowana przez przestępców, którzy mogą na niej umieścić złośliwe oprogramowanie lub formularze zachęcające do podania poufnych danych.

Kiedy można paść ofiarą phishingu?

Powyższy przykład pokazuje, że zazwyczaj możliwe jest wyłapanie informacji wskazujących, że mamy do czynienia z phishingiem. Dlaczego zatem część osób daje się oszukać? 

Wynika to z faktu, że czytanie wiadomości e-mail to czynność rutynowa, a tym samym przy jej wykonywaniu pomijane są niektóre szczegóły. Zerknięcie na adres e-mail jest wykonywane automatycznie, szybko i bez dokładnej analizy. Analityczne podejście jest charakterystyczne bowiem dla przetwarzania kontrolowanego, które wymaga czasu i wysiłku. Przez automatyczne przetwarzanie drobne różnice czy literówki w domenie są pomijane przez odbiorcę. Dodatkowo presja związana z niecodzienną sytuacją i krótkim czasem na zastanowienie się odciągają uwagę od detali. 

Przy odpowiednio przygotowanej treści wiadomości możliwe jest wykształcenie w ofierze błędnego przekonania, że prowadzi korespondencję z kimś, komu może ufać. Cyberprzestępcy mogą podszywać się pod opiekunów klienta z banku, znajomych z pracy, kontrahentów czy klientów. Warto zwrócić uwagę na fakt, że na wielu stanowiskach pracownicy przetwarzają ogromną liczbę wiadomości w ciągu dnia, zarówno od obcych sobie osób, jak i od tych, z którymi prowadzą regularną korespondencję. W takich okolicznościach nie jest trudno o błąd. 

Oszukany pracownik to oszukana firma

Jeżeli ofiarą oszustwa typu phishing padnie pracownik w ramach wykonywanych obowiązków służbowych, to traci na tym firma. Podanie poufnych danych, przelanie pieniędzy na niewłaściwe konto lub zainstalowanie złośliwego oprogramowania, które spowoduje zaszyfrowanie ważnych plików – to tylko przykłady potencjalnych strat. 

Z tego względu warto pomyśleć o cyberbezpieczeństwie. Oczywiście najczęściej można usłyszeć od menedżerów, że pracownicy zostali przeszkoleni, o czym świadczą podpisane potwierdzenia znajomości zasad bezpieczeństwa, RODO itd. Pytanie: ile z tych szkoleń wynieśli i czy procedury oraz techniczne rozwiązania stosowane w firmie sprzyjają cyberbezpieczeństwu? W końcu w prywatnych przedsiębiorstwach nie traci się w wyniku przestępstwa pieniędzy podatników, a 11 milionów złotych piechotą nie chodzi.

Więcej na temat opisanego powyżej oszustwa typu spear phishing można znaleźć na stronie Policji. Kliknij tutaj, jeżeli chcesz przejść na stronę.