Phishing nie zawsze wygląda podejrzanie. Jak go rozpoznać?

Pierwsze skojarzenie z phishingiem? Mail napisany łamaną polszczyzną, dziwny adres nadawcy i wielki przycisk „KLIKNIJ NATYCHMIAST”. Takie wiadomości nadal istnieją. Problem w tym, że te lepsze wyglądają zupełnie inaczej.

Mogą mieć poprawne logo firmy, sensowną treść i informacje, które pasują do sytuacji odbiorcy. Czasem nie ma w nich żadnego oczywistego błędu. Dlatego zamiast uczyć się rozpoznawania „brzydkich maili”, lepiej wyrobić kilka prostych nawyków.

Wiadomość, na którą akurat czekałeś

Wyobraźmy sobie zwykły dzień. Zamówiłeś paczkę. Następnego dnia przychodzi SMS:

Nie udało się dostarczyć przesyłki. Uzupełnij adres i opłać 1,49 zł.

Brzmi prawdopodobnie. Nie dlatego, że oszust musi wiedzieć, że czekasz na przesyłkę. Po prostu bardzo wiele osób każdego dnia na jakąś czeka.

Link może prowadzić do strony wyglądającej jak serwis firmy kurierskiej. Dalej pojawia się formularz, płatność albo logowanie. I właśnie w tym miejscu warto zatrzymać się na kilka sekund.

Nie korzystaj z linku z wiadomości. Otwórz samodzielnie aplikację firmy kurierskiej albo wpisz jej adres w przeglądarce. Jeżeli rzeczywiście jest problem z przesyłką, informacja powinna być widoczna również tam.

Presja czasu jest częścią ataku

„Twoje konto zostanie zablokowane”. „Wykryliśmy podejrzane logowanie”. „Potwierdź dane w ciągu 30 minut”. W takich komunikatach najważniejszy bywa nie link, lecz emocja, którą wiadomość ma wywołać.

Kiedy pojawia się stres, człowiek chce szybko zamknąć problem. Zaczyna działać zanim zdąży sprawdzić, czy problem w ogóle istnieje. Oszustowi właśnie o to chodzi.

Jeżeli wiadomość dotyczy banku, Microsoftu, Google czy innej usługi, zwykle nie ma potrzeby korzystania z przesłanego linku. Można wejść na stronę albo do aplikacji samodzielnie. To kilka dodatkowych sekund, które potrafią zrobić dużą różnicę.

Sprawdź nie tylko nazwę nadawcy

Nazwa wyświetlana w skrzynce pocztowej niewiele znaczy. Nadawca może nazywać się „Microsoft Security”, „Księgowość” albo „Zarząd”, a rzeczywisty adres może prowadzić do zupełnie innej domeny.

Nie trzeba znać się na technicznych szczegółach domen. Warto po prostu rozwinąć adres nadawcy i przeczytać go do końca. Jeżeli wiadomość rzekomo pochodzi od banku albo współpracownika, a adres nie pasuje do organizacji, jest to dobry powód, żeby niczego nie robić automatycznie.

A jeśli wiadomość wygląda idealnie?

To się zdarza. Dobra wiadomość phishingowa może być poprawnie napisana i pojawić się w bardzo wiarygodnym kontekście. Dlatego jedna z najskuteczniejszych zasad brzmi: nietypową prośbę potwierdź innym kanałem.

• Przełożony prosi o pilny przelew? Zadzwoń pod znany numer.
• Współpracownik prosi o poufny dokument? Potwierdź prośbę na Teamsie lub osobiście.
• Bank informuje telefonicznie o podejrzanej operacji? Zakończ rozmowę i samodzielnie zadzwoń na oficjalny numer.

Nie chodzi o brak zaufania. Chodzi o upewnienie się, że rozmawiamy rzeczywiście z tą osobą lub instytucją, z którą myślimy, że rozmawiamy.

Co zrobić, jeśli już kliknąłeś?

Samo kliknięcie nie zawsze oznacza katastrofę. Najgorsze, co można zrobić, to udawać, że nic się nie stało. Jeżeli podałeś dane logowania, zatwierdziłeś operację albo pobrałeś podejrzany plik, reakcja powinna być szybka i zgodna z procedurą organizacji.

W pracy oznacza to przede wszystkim zgłoszenie zdarzenia do właściwej osoby lub zespołu. Prywatnie może oznaczać zmianę hasła z bezpiecznego urządzenia, kontakt z bankiem albo zablokowanie karty. Konkretne kroki zależą od tego, co dokładnie się wydarzyło.

Kilka sekund przed kliknięciem

Phishing często działa nie dlatego, że ktoś „nie zna się na komputerach”. Działa, bo wiadomość trafia w moment, kiedy jesteśmy zajęci, zmęczeni albo działamy w pośpiechu.

Nie da się obiecać, że człowiek rozpozna każdą próbę oszustwa. Znacznie bardziej realistyczny cel to wyrobienie odruchu: „To jest trochę nietypowe. Sprawdzę, zanim kliknę.”

Phishing nie kończy się na e-mailach i SMS-ach. Podobną presję oszuści wykorzystują przez telefon — zobacz też jak bezpiecznie zweryfikować telefon od osoby podającej się za pracownika banku.