Europejski Miesiąc Cyberbezpieczeństwa z OSE: socjotechnika

SMS z prośbą o dopłatę do paczki, e-mail z informacją o wygranej w konkursie, alarmujący telefon z banku w sprawie podejrzanego ruchu na naszym koncie… Takie informacje łączy jedno: mają wzbudzić w nas emocje i skłonić do wykonania określonego działania. A stąd już tylko krok od utraty danych osobowych czy pieniędzy.

Ogólnopolska Sieć Edukacyjna (OSE) po raz kolejny włącza się w Europejski Miesiąc Cyberbezpieczeństwa (ECSM – European Cybersecurity Month). Z tej okazji raz w tygodniu będziemy publikować dla Was tekst, w którym podpowiemy, jak radzić sobie z socjotechnicznymi sztuczkami i nie dać się złapać w pułapki oszustów. Bądźcie z nami w każdy czwartek października!

Socjotechnika, czyli sztuczki

Myśląc o cyberprzestępcach czy oszustach internetowych, najczęściej wiążemy ich z zaawansowanymi narzędziami czy nowoczesnymi technologiami, które pomagają im wykradać nasze dane czy pieniądze. Warto jednak wiedzieć, że zamiast kosztownych środków najczęściej wykorzystują nasze… emocje.

U podstaw wielu działań cyberprzestępców leży socjotechnika, czyli różne sposoby wywierania wpływu, np. przy użyciu perswazji, manipulacji, zastraszania, szantażu. Okazuje się bowiem, że najłatwiejszą metodą kradzieży informacji czy zainfekowania urządzenia złośliwym oprogramowaniem jest nakłonienie nas do udostępnienia swoich danych, kliknięcia w link niewiadomego pochodzenia czy ściągnięcia np. niebezpiecznej aplikacji.

Najpopularniejszą i niezwykle skuteczną formą ataku z wykorzystaniem socjotechniki jest phishing. Na czym polega? Oszust próbuje podszywać się pod znaną osobę, markę lub instytucję, starając się namówić do wykonania określonej czynności – kliknięcia w link, pobrania załącznika czy aplikacji, dokonania pozornie drobnej wpłaty czy podania swoich danych logowania. Wysyła w tym celu ponaglające maile, SMS-y z prośbą o dopłatę do paczki zdarza się też, że rzekomy pracownik banku telefonicznie informuje nas o dużym ruchu na koncie lub prosi o potwierdzenie tożsamości. Cyberprzestępcy liczą na to, że zareagujemy w pośpiechu, nie przyglądając się treści wiadomości i nie próbując jej zweryfikować. Gdy wykonamy jego żądanie, możemy spodziewać się dotkliwych konsekwencji: być może oszust przechwyci i wykorzysta nasze dane osobowe, loginy i hasła, włamie się na konto bankowe lub skłoni nas do zainstalowania złośliwego oprogramowania na smartfonie czy laptopie.

Na co trzeba uważać?

Najwłaściwszą szczepionką na ataki socjotechniczne jest zasada ograniczonego zaufania i… zdrowy rozsądek. Co powinno wzbudzić naszą czujność?

• Konieczność natychmiastowego działania. Oszuści mogą zmuszać nas do popełniania błędów, więc będą wywierać presję, nakłaniać do natychmiastowego podania danych czy zainstalowania szkodliwej aplikacji.
• Naleganie na ignorowanie procedur bezpieczeństwa. Jeśli w podejrzanej wiadomości ktoś namawia nas na omijanie zasad bezpieczeństwa, najprawdopodobniej mamy do czynienia z oszustem.
• Próby wyłudzenia poufnych informacji. Pamiętajmy, że pod żadnym pozorem nie powinniśmy z nikim dzielić się danymi, do których nikt nie powinien mieć dostępu, np. loginami i hasłami do bankowości mobilnej czy poczty e-mail oraz danymi karty kredytowej.
• Wiadomości od (nie)znajomego. Może się okazać, że oszust spróbuje podszyć się pod kogoś, kogo znamy, np. współpracownika. Jeśli wiadomość, mimo że podpisana przez znajomego, zawiera dziwne sformułowania i błędy – uważajmy!

• Pułapka ciekawości. Nagroda w konkursie, w którym nie braliśmy udziału, opóźnienie nadania niezamawianej paczki, wiadomość o dużym spadku po obcej osobie? To oszustwo – nie pozwólmy, by ciekawość zwyciężyła nad rozsądkiem.

Nie reaguj, ale zgłaszaj!

Cyberataki z wykorzystaniem socjotechnik są poważnym zagrożeniem bezpieczeństwa w internecie, dlatego warto wiedzieć, jak się przed nimi chronić. Co najważniejsze: włączyć myślenie i zachowywać zimną krew. W każdej sytuacji, która wydaje się podejrzana, warto też zweryfikować rozmówcę lub nadawcę wiadomości, a przede wszystkim – nie reagować na jego ponaglenia.

Aby zmusić ofiary do osiągnięcia swoich celów, oszuści próbują wzbudzać w nich cały wachlarz emocji – od strachu i onieśmielenia, aż po ciekawość i podekscytowanie. Na każdą propozycję, która jest zbyt piękna, by mogła być prawdziwa, zawsze starajmy się więc spoglądać możliwie chłodno. Uważajmy na groźby, próby wyłudzenia poufnych informacji i podejrzane wiadomości rzekomo pochodzące od znajomych.

Warto też wiedzieć, że… socjotechnika działa w dwie strony. Pamiętajmy więc o właściwym zadbaniu o nasz sprzęt – instalujmy bieżące aktualizacje i pobierajmy oprogramowanie tylko z zaufanych źródeł. Uważajmy też na dane osobowe, które zamieszczamy w sieci. Jak zawsze sprawdzi się tu zasada mniej znaczy więcej.

Na koniec ważna rada: koniecznie przesyłajmy podejrzane wiadomości SMS na numer 8080, używając funkcji „przekaż” albo „udostępnij”. Inne próby wyłudzenia danych zgłaszajmy za pośrednictwem formularza internetowego dostępnego na stronie CERT Polska.

ECSM 2024

Europejski Miesiąc Cyberbezpieczeństwa to inicjatywa organizowana przez Europejską Agencję ds. Cyberbezpieczeństwa (ENISA) oraz Komisję Europejską. To 31 dni warsztatów, konferencji, kampanii i inicjatyw, które mają podnieść świadomość bezpieczeństwa w internecie.  Oficjalnym mottem ECSM jest hasło „Zastanów się, zanim klikniesz”, a tegorocznym tematem przewodnim – socjotechnika.

Zachęcamy Was do wzięcia udziału w tej akcji: możecie uczestniczyć w zorganizowanych wydarzeniach i sami planować aktywności, które poszerzą wiedzę o bezpieczeństwie w sieci w Waszych lokalnych społecznościach. Wykaz działań prowadzonych w ramach kampanii jest dostępny na stronie internetowej Europejskiego Miesiąca Cyberbezpieczeństwa, a szczegółowe informacje o inicjatywach, w tym formularz zgłoszeniowy, można znaleźć na stronie bezpiecznymiesiac.pl.

Źródła [online, dostęp dn. 3.10.2024].:

„Bezpieczni w sieci z OSE: internetowi oszuści i socjotechnika”, (2023), aktualność na stronie ose.gov.pl.

Gańko K., Kania D., Troszczyńska E., (2022), „ABC cyberbezpieczeństwa”, Warszawa: Państwowy Instytut Badawczy NASK.