Europejski Miesiąc Cyberbezpieczeństwa z OSE: niebezpieczne wiadomości

Trwa Europejski Miesiąc Cyberbezpieczeństwa (ECSM): ogólnoeuropejska kampania, która podnosi świadomość bezpieczeństwa w internecie. Jak co roku również Ogólnopolska Sieć Edukacyjna (OSE) włącza się w tę akcję – raz w tygodniu publikujemy w aktualnościach kolejne odcinki naszej serii artykułów poświęcone tematowi przewodniemu ECSM, którym są zagadnienia związane z socjotechniką.

Pisaliśmy już o socjotechnice i niebezpiecznych znajomościach, dziś czas na podejrzane wiadomości SMS i e-maile spływające do naszych skrzynek.

Chcecie dowiedzieć się więcej o ECSM, a może zgłosić własną inicjatywę dotyczącą cyberbezpieczeństwa? Wszystkie szczegółowe informacje znajdziecie na stronie bezpiecznymiesiac.pl.

Ludzie listy piszą

Zacznijmy od przypomnienia, na czym polega phishing. To najpopularniejsza i niezwykle skuteczna forma ataku z wykorzystaniem wcześniej wspomnianej socjotechniki.

Phishing to typ ataku, podczas którego oszuści w specjalnie przygotowanych wiadomościach – najczęściej SMS, przesyłanych w komunikatorach lub e-mailach – próbują wprowadzić nas w błąd i nakłonić do określonego działania: otwarcia zainfekowanego załącznika, kliknięcia w złośliwy link lub zalogowania się w oknie fałszywej strony, np. bramki do płatności elektronicznych. Jeśli wykonamy te czynności, narazimy się na stratę pieniędzy lub istotnych informacji.

Czy łatwo paść ofiarą takiego działania? Niestety tak. Według danych z raportu CERT Polska w 2023 r. zarejestrowano 41 423 przypadki phishingu, co stanowiło blisko 52% wszystkich incydentów (CERT Polska, 2024). Warto pamiętać, że oszuści stosują specjalne sztuczki socjotechniczne, żebyśmy zrobili dokładnie to, na czym im zależy.

Jeśli otrzymacie podejrzaną wiadomość, której się nie spodziewaliście, nie działajcie pod wpływem emocji! Przeanalizujcie na chłodno całą sytuację. Oto kilka sygnałów, które powinny Was zaniepokoić:

• Wiadomość wywołuje w Was potrzebę natychmiastowego działania, w przeciwnym razie ominie Was prawdziwa okazja lub wydarzy się coś złego, np. stracicie pieniądze, dostęp do Waszych kont, zostaniecie bez prądu lub nie dotrze do Was paczka.
• Atakujący próbuje Was nakłonić do zignorowania wszelkich zasad bezpieczeństwa w sieci, np. wymaga od Was podania danych uwierzytelniających (loginów i haseł), kodów autoryzacyjnych, numerów kart płatniczych lub żąda instalacji dodatkowego oprogramowania.
• Adresat wiadomości to zazwyczaj odbiorca ogólny, o czym świadczą zwroty typu „Szanowny Kliencie”, „Witaj!”.
• Oszust twierdzi, że jest ze znanej organizacji, ale jego e-mail zawiera błędy językowe lub jest wysłany z ogólnodostępnych adresów, np.: @gmail.com, @wp.pl lub @hotmail.com.
• Nadawca wiadomości pyta o informacje, które potencjalnie powinien już znać.

• Wydaje się Wam, że otrzymana wiadomość pochodzi od znajomego, ale ton wypowiedzi i zastosowane zwroty temu przeczą. Zadzwońcie do tej osoby i zweryfikujcie, czy rzeczywiście kontaktowała się z Wami (por. OUCH, 2018).

Masz wiadomość!

W obecnych czasach nie wystarczy uważać na e-maile – trzeba zwracać też baczną uwagę na SMS-y i wiadomości w komunikatorach. Tę szybką i wygodną formę komunikacji niestety wykorzystują również przestępcy. Rozsyłają komunikaty do przypadkowych odbiorców, mając do dyspozycji ograniczoną pulę dziewięciocyfrowych numerów. Jest więc duże prawdopodobieństwo, że któryś z niebezpiecznych SMS-ów trafi również do Was.

Zazwyczaj przestępcom chodzi o to, byśmy po odczytaniu wiadomości działali szybko i bez namysłu. W rezultacie, pod wpływem emocji, ignorując podstawowe zasady bezpieczeństwa, ujawniamy poufne informacje, takie jak: login, hasło (np. do bankowości internetowej), numery karty płatniczej, swój PESEL czy numer dowodu osobistego, co może prowadzić do kradzieży naszej tożsamości lub oszczędności.

CERT Polska przestrzega przed aktualnie krążącymi szkodliwymi wiadomościami SMS:

1. Fałszywe wiadomości z informacjami o tym, że paczka nie może zostać dostarczona do odbiorcy z powodu braku numeru ulicy w adresie. Adresat wiadomości ma kliknąć w podany link i uzupełnić dane, w przeciwnym razie paczka zostanie zwrócona do nadawcy. Celem oszustów jest wyłudzenie naszych danych z karty płatniczej.
2. SMS-y, w których oszuści podszywają się pod Ministerstwo Spraw Wewnętrznych i Administracji oraz informują odbiorców o konieczności aktualizacji ich danych osobowych pod groźbą kary. Załączony link kieruje do fałszywej strony łudząco podobnej do witryn rządowych. Wypełniając przygotowany przez przestępców formularz, udostępniamy swoje dane osobowe, a bramka płatności przejmuje dane naszej karty płatniczej.

1. Wiadomości przesyłane za pośrednictwem aplikacji WhatsApp, mające na celu wyłudzenie pieniędzy za pośrednictwem kodu BLIK na telefon. Schemat wygląda następująco: rodzic dostaje wiadomość z nieznanego numeru rzekomo od swojego dziecka. Nadawca pisze, że zgubił, zniszczył lub stracił telefon i prosi o pomoc – przesłanie pieniędzy na nowy smartfon.

Jak się chronić?

Dobra wiadomość jest taka, że z niebezpiecznymi wiadomościami każdy z nas może walczyć. Ponadto CERT Polska podejmuje konkretne działania, by tego typu niebezpiecznych wiadomości docierało do nas coraz mniej.

Jeśli dostaliście podejrzany SMS, koniecznie zgłoście to do CERT Polska! Skorzystajcie z bezpłatnego numeru 8080 i funkcji „przekaż” albo „udostępnij”, skontaktujcie się przez WhatsApp: 780 907 000 lub skorzystajcie z funkcji „Bezpiecznie w sieci” w aplikacji mObywatel. To ważne, bo eksperci NASK na podstawie tych zgłoszeń codziennie tworzą wzorce niebezpiecznych wiadomości, a od kwietnia 2024 r. operatorzy telekomunikacyjni mają obowiązek automatycznego blokowania groźnych SMS-ów.

Oprócz reagowania na szkodliwe komunikaty pamiętajcie też o zachowaniu podstawowych zasad cyberbezpieczeństwa!

• Nikomu pod żadnym pozorem nie podawajcie wrażliwych danych: haseł i loginów, numerów kart płatniczych, danych osobowych.
• Nie klikajcie w podejrzane linki i nie otwierajcie załączników z nieznanych źródeł.
• Dostaliście podejrzaną wiadomość od znajomego lub kogoś z rodziny? Zweryfikujcie to! Może się zdarzyć, że czyjeś konto w mediach społecznościowych zostało przejęte i służy do przesyłania niebezpiecznych treści.
• Ignorujcie dziwne wiadomości wysyłane z nieznanych numerów. Nawet niewinny SMS zawierający jedno słowo – „Cześć” – może być próbą nawiązania kontaktu przez przestępców.
• Jeśli Wasze smartfony posiadają opcję blokady spamu, czyli podejrzanych SMS-ów bądź połączeń – włączcie tę funkcję.
• Zadbajcie o swoje urządzenia cyfrowe: aktualizujcie oprogramowanie (również antywirusowe), aplikacje (także służące do przesyłania wiadomości), przeglądarki internetowe.
• Chrońcie swoje dane – stosujcie silne hasła, a najlepiej uwierzytelnianie dwuskładnikowe –(2FA) lub wieloskładnikowe (MFA), czyli oprócz hasła logujcie się do usług cyfrowych dodatkowymi składnikami, np. kodem otrzymanym SMS-em.
• Jeśli natkniecie się w sieci na fałszywą stronę, zgłoście ją do CERT Polska, wypełniając formularz dostępny na PL – zgłoś incydent. Szkodliwe witryny zostaną wpisane na „Listę ostrzeżeń przed niebezpiecznymi stronami”, co oznacza, że dostęp do nich będzie blokowany automatycznie.

• Śledźcie aktualne cyberzagrożenia. CERT Polska ostrzega przed najnowszymi kampaniami na stronie cert.pl w zakładce „Aktualności”.

Źródła:

Aktualności na stronie ose.gov.pl: „Bezpieczni w sieci z OSE na wakacje” letni phishing”, „Bezpieczni w sieci z OSE na wakacje: letni smishing” [online, dostęp dn. 17.10.2024].

CERT, (2024), „Krajobraz bezpieczeństwa polskiego internetu. Raport roczny z działalności CERT Polska 2023”, Warszawa: Państwowy Instytut Badawczy NASK [online, dostęp dn. 17.10.2024].

Dudley T., (2018), „Powstrzymać phishing”, „OUCH! Biuletyn Bezpieczeństwa Komputerowego”, nr 4 [online, dostęp dn. 17.10.2024].

Gańko K., Kania D., Troszczyńska E., (2022), „ABC cyberbezpieczeństwa”, Warszawa: Państwowy Instytut Badawczy NASK [online, dostęp dn. 17.10.2024].