Kiedy ostatnio widziałeś/aś reklamę bardzo obiecującej inwestycji lub otrzymałeś/aś SMS-a z niedopłatą do rachunku za energię elektryczną lub PIT? Jeśli tak, to mamy nadzieję, że nie dałeś/aś się przekonać. A jeśli nie, to masz farta, bo ominęły cię najczęściej przypuszczane w minionym roku ataki stosowane przez cyberprzestępców.
Reklama.
Phishing metodą na fałszywe oferty inwestycji. O tych i innych zagrożeniach możemy przeczytać w raporcie CERT Orange Polska za 2022 rok. Magnet.me / Unsplash
Reklama.
Największa z plag, która niezmiennie od lat stanowi zagrożenie dla naszego bezpieczeństwa w sieci, to różnego rodzaju oszustwa, znane pod nazwą phishing. Wielu pewnie słyszało gdzieś to słowo. Tak określa się oparte o wiadomości e-mail lub SMS oszustwa z wykorzystaniem socjotechniki zwanej też inżynierią społeczną. Ta z kolei to ogół metod z zakresu manipulacji, zmierzających do tego, by ofiara podjęła działania zgodnie z intencją manipulanta.
Ostatnimi czasy oszuści internetowi upodobali sobie wyłudzania danych i pieniędzy metodą na fałszywe oferty inwestycji. Tworzone przez nich phishingowe wiadomości, rozsyłane głównie poprzez SMS-y, ale i mejle z linkami do fałszywych stron, zawierają oferty szybkiego zarobku niebotycznych kwot pieniędzy. Na ogół nadawcy proponują zainwestowanie środków finansowych w akcje znanych firm czy giełd kryptowalut.
– Jeszcze kilka lat temu miażdżącą większość wykrywanych cyberzagrożeń, od 80 do 90 proc., stanowiło złośliwe oprogramowanie. Z upływem czasu następował stopniowy spadek udziału tego rodzaju zagrożenia w sieci. Dziś na topie są wszelkiego rodzaje akcje phishingowe. Choć te nadal jako jednym ze środków do celu posługują się malwarem, nakłaniając do jego pobrania lub uruchomienia – tłumaczy Robert Grabowski, szef CERT Orange Polska.
Jak twierdzi ekspert, najrozsądniejszym zachowaniem przeciwdziałającym tego rodzaju oszustwom jest powstrzymanie się od bezwiednego klikania linków w otrzymanych wiadomościach czy sensacyjnych newsów na portalach społecznościowych. Czerwona lampka w głowie powinna zapalić się od razu, gdy wiadomość zawiera skrócone adresy stron internetowych czy odsyłacze do stron, których nazwy zupełnie nie odzwierciedlają spodziewanej treści (np. składające się z samych cyfr w domenie .xyz).
O "inwestycyjnym" phishingu, a także o innych popularnych metodach cyberoszustów, możemy przeczytać w opublikowanym właśnie raporcie CERT Orange Polska za 2022 rok. Dokument został opracowany przez ekspertów z zespołu ds. cyberbezpieczeństwa, który na co dzień monitoruje, rozpoznaje i eliminuje najpoważniejsze zagrożenia (i ich skutki), jakie czyhają na użytkowników internetu
W minionym roku CyberTarcza, posiłkujące się sztuczną inteligencją narzędzie działające w sieci Orange Polska, ochroniło ponad 5 mln internautów i zablokowało ponad 130 tys. fałszywych stron internetowych do wyłudzania danych i pieniędzy. Według danych z tegorocznej edycji raportu w czołówce cyberzagrożeń 2022 r. znalazły się właśnie oszustwa phishingowe (42 proc.), na kolejnych miejscach ataki typu DDoS (20 proc.) i złośliwe oprogramowanie (16 proc.).
Podobnie, jak w kontaktach "na żywo", także korzystając z komputerów i smartfonów, musimy zachować czujność i być sceptyczni co do rewelacyjnie brzmiących propozycji przedstawianych w sieciach komunikacyjnych. – Oszuści działają zgodnie z naszymi nawykami. Próby oszustwa mają jeden wspólny mianownik – emocje. Phishing to nic innego, jak umiejętne na nich granie. Aby nie stać się ofiarą takiego oszustwa, działajmy spokojniej i zawsze zastanówmy się chwilę, zanim klikniemy – podkreśla Robert Grabowski.
Ważne jest także reagowanie – jeśli otrzymamy wiadomość z linkiem SMS-em lub na komunikatorze, która wzbudza nasz niepokój czy choćby niepewność, lub zauważymy podejrzaną reklamę w mediach społecznościowych, warto zgłosić ją zespołowi bezpieczeństwa – klienci Orange mogą to zrobić darmowym SMS-em na 508 700 900. Nawet jeśli sami nie daliśmy się nabrać, to takie zgłoszenie pomoże szybko zablokować fałszywą stronę i może uchronić od skutków oszustwa wiele innych osób, które są mniej zorientowane.
Innym zagrożeniem o jeszcze mniej znanej nazwie, z którym można się spotkać, korzystając wyłącznie z telefonu, jest Caller ID spoofing. Mechanizm ten wykorzystywany jest przez przestępców w celu uwiarygodnienia podszycia się pod inne osoby czy instytucje (banki, firmy, urzędy państwowe, operatorów telekomunikacyjnych) dla wyłudzenia od swoich ofiar danych lub pieniędzy.
Jak wygląda przykładowy scenariusz takiego ataku? "Pracownik" banku dzwoni z wykorzystaniem numeru banku do klienta z informacją, że jego rachunek bankowy znalazł się na celowniku włamywaczy. Rzekomy konsultant prosi o podanie danych do konta w banku, twierdząc, że w ten sposób będzie mógł włączyć dodatkowe zabezpieczenia.
– W przypadku popularnych oszustw w sieciach telekomunikacyjnych z wykorzystaniem CLI spoofingu najważniejszym narzędziem jest manipulacja, socjotechnika. Tak więc zdecydowanie sprawdza się zasada "ograniczonego zaufania". Pod żadnym pozorem nie podajemy przez telefon poufnych danych, takich jak loginy i hasła do konta, czy jednorazowych kodów do płatności. Pamiętajmy, że nawet jeśli numer, z którego przychodzi połączenie, wygląda tak samo, jak ten podany na oficjalnej stronie instytucji, to połączenie może być i tak sfałszowane! Lepiej się rozłączyć, odczekać jakiś czas i samemu zadzwonić do np. banku – radzi Wojciech Maciejczak, dyrektor Bezpieczeństwa Regulacyjnego Orange Polska.
Caller ID spoofing to rodzaj wykorzystującego połączenia telefoniczne oszustwa, które polega na podszywaniu się przestępców pod różne instytucje. dolgachov / 123rf.com
Czego możemy spodziewać się w przyszłości? Jak przewidują eksperci CERT Orange Polska, doskonalenie sztucznej inteligencji w wymiarze głosu może przełożyć się na jej wykorzystanie w działaniach phishingowych czy spoofingowych. – AI odegra dużą rolę też w rozpowszechnianiu dezinformacji i fake newsów. Spodziewamy się także nieustających ataków na infrastrukturę 5G i urządzenia IoT – prognozują.
– Pomimo tego, że rośnie świadomość cyberzagrożeń wśród użytkowników internetu, należy postawić na edukację, aby chronić społeczeństwo przed zalewem socjotechnicznych ataków – puentuje Robert Grabowski.
