Phishing to atak socjotechniczny, w którym przestępca podszywa się pod zaufaną osobę lub instytucję, aby skłonić odbiorcę do ujawnienia danych, kliknięcia w szkodliwy link albo otwarcia załącznika. Atak zwykle nie polega na przełamaniu zabezpieczeń systemu, lecz na wykorzystaniu emocji i nieuwagi użytkownika.
Czym jest phishing?
Nazwa phishing nawiązuje do angielskiego „fishing”, czyli łowienia. Przestępca zarzuca cyfrową „wędkę” – przygotowuje wiadomość, link lub załącznik, który ma wyglądać wiarygodnie i zachęcić odbiorcę do określonego działania. Przynętą może być informacja o rzekomej blokadzie konta, nieopłaconej przesyłce, zwrocie pieniędzy albo pilnej wiadomości od pracodawcy.
Phishing jest formą socjotechniki. Oznacza to wpływanie na zachowanie człowieka za pomocą manipulacji, a nie wykorzystywanie wyłącznie technicznej luki w oprogramowaniu. Celem może być przejęcie hasła, danych logowania do bankowości, numeru karty, danych osobowych lub nakłonienie do instalacji złośliwego programu. Zasady higieny cyfrowej promowane między innymi przez bezpiecznypc.pl sprowadzają się tu do jednej podstawowej czynności: przed reakcją sprawdź, kto naprawdę wysłał komunikat i dokąd prowadzi zawarty w nim link.
Jak przebiega atak phishingowy?
Typowy atak składa się z kilku etapów. Nie każda kampania wykorzystuje wszystkie elementy, ale schemat pomaga zrozumieć, gdzie można przerwać działanie przestępcy:
- Kontakt – wiadomość trafia do ofiary e-mailem, SMS-em, przez komunikator lub media społecznościowe.
- Przynęta – treść wywołuje pośpiech, strach, ciekawość albo nadzieję na korzyść. Nadawca może grozić blokadą konta lub sugerować, że trzeba natychmiast potwierdzić dane.
- Działanie – odbiorca ma kliknąć link, zalogować się na stronie, podać kod, odpowiedzieć na wiadomość albo otworzyć załącznik.
- Skutek ataku – fałszywa strona przechwytuje wpisane dane, a załącznik lub pobrany plik może zainfekować urządzenie. Informacje mogą zostać wykorzystane do kradzieży pieniędzy, przejęcia konta lub dalszych oszustw.
Odmianą phishingu jest spear phishing, czyli atak celowany. Wiadomość jest wtedy dopasowana do konkretnej osoby lub organizacji, na przykład zawiera jej imię, stanowisko albo informacje związane z wykonywaną pracą. Taki komunikat może wyglądać bardziej wiarygodnie, ale nadal opiera się na tej samej manipulacji.
Jak rozpoznać próbę phishingu?
Jeden błąd językowy nie przesądza jeszcze o oszustwie, a poprawnie napisana wiadomość nie musi być bezpieczna. Najlepiej oceniać kilka cech jednocześnie. Pomaga porównanie typowego komunikatu z sygnałami ostrzegawczymi:
| Cecha | Komunikat bezpieczny | Phishing |
|---|---|---|
| Nadawca | Adres zgadza się z oficjalną domeną instytucji, a wiadomość pasuje do wcześniejszej korespondencji. | Adres zawiera literówki, nietypową końcówkę domeny albo pochodzi z prywatnej skrzynki. |
| Ton wiadomości | Treść jest rzeczowa i nie wymusza natychmiastowej reakcji. | Komunikat wywołuje strach, presję, ciekawość lub obiecuje wyjątkową korzyść. |
| Link | Adres prowadzi do oczekiwanej domeny, którą można niezależnie potwierdzić. | Link prowadzi do skróconego, dziwnie zapisanego lub podobnego do prawdziwego adresu. |
| Załączniki | Załącznik był oczekiwany i wynika z wcześniejszej rozmowy. | Pojawia się niespodziewany plik, zwłaszcza dokument proszący o włączenie makr lub podanie danych. |
| Żądanie danych | Instytucja nie prosi w ten sposób o hasło, kod jednorazowy ani pełne dane karty. | Nadawca żąda poufnych informacji lub przekazania kodu pod presją czasu. |
Szczególną uwagę zwróć na rzeczywisty adres URL widoczny po najechaniu kursorem na link. Sama nazwa wyświetlana w wiadomości może brzmieć wiarygodnie, ale właściwa domena może być zupełnie inna. Na telefonie sprawdź adres po przytrzymaniu odnośnika, bez jego otwierania.
Co zrobić po otrzymaniu podejrzanej wiadomości?
Najpierw przerwij kontakt z komunikatem, a dopiero później sprawdzaj jego wiarygodność. W przypadku podejrzenia phishingu wykonaj następujące czynności:
- Nie klikaj linku, nie otwieraj załącznika i nie odpowiadaj na wiadomość.
- Sprawdź adres nadawcy oraz pełny adres URL, ale nie korzystaj w tym celu z odnośnika zawartego w komunikacie.
- Wejdź na stronę instytucji ręcznie, używając zapisanej zakładki lub wpisując jej adres, i skontaktuj się z nią oficjalnym kanałem.
- Zgłoś próbę oszustwa administratorowi poczty, operatorowi usługi albo CERT Polska.
- Jeśli podałeś dane, natychmiast zmień hasło, wyloguj aktywne sesje i skontaktuj się z bankiem lub właścicielem przejętej usługi.
Jeżeli dane logowania lub finansowe zostały już wpisane na fałszywej stronie, liczy się szybka reakcja, ale nie należy działać chaotycznie. Skontaktuj się z właściwą instytucją przez numer lub adres znaleziony niezależnie od podejrzanej wiadomości. Nie przekazuj nikomu kodów autoryzacyjnych, nawet jeśli rozmówca twierdzi, że pomaga zabezpieczyć konto.
Phishing działa wtedy, gdy odbiorca zaufa komunikatowi szybciej, niż sprawdzi jego źródło. Zatrzymanie się na chwilę, ręczne sprawdzenie domeny i kontakt z instytucją oficjalnym kanałem często wystarczą, aby przerwać cały łańcuch ataku.
