Phishing, smishing, vishing nagroźniejsze w czasie wyprzedaży

Przeczytaj także: Cyberbezpieczeństwo 2021. Co nam zagrażało?

Zagrożenia socjotechniczne nie dotyczą wyłącznie użytkowników komputerów stacjonarnych

W ostatnim czasie nasilają się takie formy popularnego phishingu, których celem są smartfony lub inne urządzenia mobilne. Telefoniczna wersja phishingu jest czasami określana jako „vishing”, a oszustwa z wykorzystaniem wiadomości tekstowych nazywane są „smishingiem”. Próby phishingu mobilnego dotykają szczególnie często kupujących w sklepach internetowych. Więcej użytkowników niż kiedykolwiek używa do zakupów swoich smartfonów.

Chociaż urządzenia te mogą wydawać się mniej podatne na zagrożenia, w rzeczywistości tak nie jest. Klienci sklepów internetowych mogą otrzymywać fałszywe wiadomości tekstowe, które wydają się pochodzić na przykład od znanych im sprzedawców – tłumaczy Jolanta Malak, dyrektor Fortinet w Polsce. – Wiadomości tego rodzaju zazwyczaj zawierają link, który po kliknięciu przekierowuje na fałszywą stronę internetową. Wygląda ona jak prawdziwa strona sprzedawcy, ale ma na celu wyłudzenie informacji umożliwiających identyfikację użytkownika. Złośliwe aplikacje, szczególnie na urządzenia z systemem Android, mogą być również wykorzystywane do wyłudzania danych finansowych i uwierzytelniających.

W przypadku vishingu cyberprzestępcy wykorzystują połączenia telefoniczne, aby uzyskać osobiste informacje od rozmówców, a stosują wobec nich różne sztuczki socjotechniczne (np. podają „pilną” wiadomość o ostatnim zamówieniu), aby nakłonić ich do przekazania np. danych logowania. Paradoksalnie, w celu przeprowadzenia takich ataków przestępcy często wykorzystują naturalny strach przed oszustwami. Przykładowa wiadomość na poczcie głosowej może brzmieć: „Uwaga, twoje konto bankowe zostało zablokowane z powodu podejrzanej aktywności. Zadzwoń do nas natychmiast, aby przywrócić dostęp”. Następnie, gdy ofiara oddzwania, jest proszona o podanie poufnych informacji, które są później wykorzystywane w szkodliwy sposób.

Aby uniknąć konsekwencji vishingu i smishingu, przed podaniem jakichkolwiek informacji należy upewnić się, że numer telefonu, z którego otrzymano połączenie lub wiadomość tekstową, rzeczywiście należy do firmy, która twierdzi, że ją wysłała. Warto też pamiętać, że banki i instytucje w zasadzie nigdy nie oczekują podawania tego typu danych przez swoich klientów. Dobrą praktyką jest wykonanie telefonu do swojego banku z pytaniem o otrzymaną wiadomość. Jeśli okaże się, że było to oszustwo, ten incydent powinien być zgłoszony odpowiednim służbom – radzi ekspertka z Fortinet.

Cyberzagrożenia na styku dwóch światów

Nową, niedawno zaobserwowaną metodą oszustw, jest naklejanie przez przestępców kodu QR na popularnych produktach lub drukowanie materiałów marketingowych i pozostawianie ich w sklepach. Ofiara widzi produkt, który jej się podoba, a obok niego znak informujący, że może go dostać szybciej lub ze zniżką, a wszystko, co musi zrobić, to wejść na stronę internetową lub zeskanować kod QR. Ten z kolei prowadzi ją do phishingowej strony internetowej lub do pobrania złośliwego oprogramowania.

Jakie z tego wszystkiego płyną wnioski? Nigdy nie wolno ślepo wierzyć e-mailom, wiadomościom tekstowym czy rozmówcom, a już zwłaszcza tym, którzy łączą się z nieznanych lub ukrytych numerów. Zawsze należy zachować zdrowy rozsądek i czujność, aby nie przegapić oznak phishingu. Regularnie trzeba zmieniać hasła do logowania, a najlepiej korzystać z menedżerów haseł. I, oczywiście, przekazywać informacje o dobrych praktykach wszystkim, którzy mogą z nich skorzystać. Edukacja jest najlepszą bronią w walce z cyberprzestępczością.