Bezpieczni w sieci z OSE: internetowi oszuści i socjotechnika

SMS z prośbą o dopłatę do paczki, e-mail z informacją o wygranej w konkursie, alarmujący telefon z banku w sprawie podejrzanego ruchu na naszym koncie… Takie informacje łączy jedno: mają wzbudzić w nas emocje i skłonić do wykonania określonego działania. A stąd już tylko krok od utraty danych osobowych czy pieniędzy.

W kolejnej aktualności z serii „Bezpieczni w sieci z OSE” podpowiadamy Wam, jak rozpoznać ataki socjotechniczne i jak się ich wystrzegać. Krok pierwszy: pohamować emocje!

Socjotechnika, czyli co?

Myśląc o cyberprzestępcach czy oszustach internetowych, najczęściej wiążemy ich z zaawansowanymi narzędziami czy nowoczesnymi technologiami, które pomagają im wykradać nasze dane czy pieniądze. Warto jednak wiedzieć, że zamiast kosztownych środków najczęściej wykorzystują nasze… emocje.

U podstaw wielu działań cyberprzestępców leży socjotechnika, czyli różne sposoby wywierania wpływu, np. przy użyciu perswazji, manipulacji, zastraszania, szantażu. Okazuje się bowiem, że najłatwiejszą metodą kradzieży informacji czy zainfekowania urządzenia złośliwym oprogramowaniem jest nakłonienie nas do udostępnienia swoich danych, kliknięcia w niebezpieczny link czy ściągnięcia np. niebezpiecznej aplikacji.

Ataki socjotechniczne w praktyce

Do przeprowadzenia ataku socjotechnicznego cyberprzestępcy wykorzystują różne środki, m.in. pocztę e-mail, komunikatory, SMS-y, rozmowy telefoniczne, bywa nawet, że kontaktują się ze swoimi ofiarami osobiście. Aby złapać nas na swój haczyk, próbują uśpić naszą uwagę i stosują różne sztuczki: mamią obietnicą wygranej w konkursie, oferują bezpłatne oprogramowanie lub straszą konsekwencjami nieuregulowania fałszywej należności.

Brzmi znajomo? Z pewnością, jeśli zetknęliście się już z pojęciem phishingu. Ta forma oszustwa bazuje właśnie na socjotechnice! Więcej o phishingu dowiecie się z naszej aktualności „Bezpieczni w sieci z OSE: phishing”.

Pamiętajcie: celem oszusta jest nakłonienie nas do wykonania określonej czynności, np. podania danych logowania do bankowości mobilnej. Będzie on starał się dopiąć swego za wszelką cenę – użyje różnych kanałów komunikacji, podszyje się pod pracownika zaufanej instytucji, a przede wszystkim spróbuje wykorzystać naszą niewiedzę, nieświadomość, a nawet samotność i naiwność, by okraść swoje ofiary lub zdobyć cenne informacje.

Na co trzeba uważać? Na każdą podejrzaną próbę kontaktu w internecie: za pośrednictwem osobistych bądź służbowych kont e-mail i serwisów społecznościowych. Niech nigdy nie zwiedzie Was obietnica szybkiej wygranej, informacja o dużym spadku czy zbyt atrakcyjnej ofercie pracy! Wystrzegajcie się też fałszywych sklepów internetowych, w których „płacimy tylko za dostawę”, oraz uważajcie na nieautoryzowane oferty sprzedaży biletów na popularne koncerty czy wydarzenia.

W internecie możemy wiele stracić, ufając jedynie emocjom. Jeśli otrzymacie e-mail, w którym wymusza się na Was natychmiastowe działanie, wpłacenie okupu za odzyskanie utraconych plików czy podanie danych osobowych, np. danych do logowania w bankowości elektronicznej – zignorujcie tę wiadomość. Zastanówcie się też dwa razy, gdy o dużą pożyczkę poprosi Was ktoś, kogo znacie jedynie z internetu.

Czerwona lampka!

Najwłaściwszą szczepionką na ataki socjotechniczne jest zasada ograniczonego zaufania i… zdrowy rozsądek. Co powinno wzbudzić Waszą czujność?

• Konieczność natychmiastowego działania. Oszuści mogą zmuszać Was do popełniania błędów, więc będą wywierać presję, nakłaniać do natychmiastowego podania danych czy zainstalowania szkodliwej aplikacji.
• Naleganie na ignorowanie procedur bezpieczeństwa. Jeśli w podejrzanej wiadomości ktoś namawia Was na omijanie zasad bezpieczeństwa, najprawdopodobniej macie do czynienia z oszustem.
• Próby wyłudzenia poufnych informacji. Pamiętajcie, że pod żadnym pozorem nie powinniście z nikim dzielić się danymi, do których nikt nie powinien mieć dostępu, np. loginami i hasłami do bankowości mobilnej czy poczty e-mail oraz danymi karty kredytowej.
• Wiadomości od (nie)znajomego. Może się okazać, że oszust spróbuje podszyć się pod kogoś, kogo znacie, np. współpracownika. Jeśli wiadomość, mimo że podpisana przez znajomego, zawiera dziwne sformułowania i błędy – uważajcie!
• Pułapka ciekawości. Nagroda w konkursie, w którym nie braliście udziału, opóźnienie nadania niezamawianej paczki, wiadomość o dużym spadku po obcej osobie? To oszustwo – nie pozwólcie, by ciekawość zwyciężyła nad rozsądkiem.

Jak się chronić?

Cyberataki z wykorzystaniem socjotechnik są poważnym zagrożeniem bezpieczeństwa w internecie, dlatego warto wiedzieć, jak się przed nimi chronić. Co najważniejsze: włączyć myślenie i zachowywać zimną krew. W każdej sytuacji, która wydaje się podejrzana, warto też zweryfikować rozmówcę lub nadawcę wiadomości, a przede wszystkim – nie reagować na jego ponaglenia.

Aby zmusić ofiary do osiągnięcia swoich celów, oszuści próbują wzbudzać w nich cały wachlarz emocji – od strachu i onieśmielenia, aż po ciekawość i podekscytowanie. Na każdą propozycję, która jest zbyt piękna, by mogła być prawdziwa, zawsze starajcie się więc spoglądać możliwie chłodno.

Warto też wiedzieć, że… socjotechnika działa w dwie strony. Pamiętajcie więc o właściwym zadbaniu o sprzęt, z którego korzystacie – instalujcie bieżące aktualizacje i pobierajcie oprogramowanie tylko z zaufanych źródeł. Uważajcie też na dane osobowe, które zamieszczacie w sieci. Jak zawsze sprawdzi się tu zasada mniej znaczy więcej.

Koniecznie przesyłajcie podejrzane wiadomości SMS do CSIRT NASK – na numer 799 448 084, używając funkcji „przekaż” albo „udostępnij”. Inne próby wyłudzenia danych zgłaszajcie za pośrednictwem formularza internetowego dostępnego na stronie CERT Polska.

Więcej o atakach socjotechnicznych przeczytacie w biuletynie „OUCH!” (nr 11/2020). Sięgnijcie też po nasz najnowszy poradnik „ABC cyberbezpieczeństwa” – znajdziecie w nim wiele porad, które pomogą Wam zadbać o bezpieczeństwo w sieci.